Kod QR telah menjadi alat harian untuk membuat pembayaran, mengakses menu dan berhubung dengan perkhidmatan digital. Tetapi kebiasaan ini juga telah dieksploitasi oleh penjenayah siber untuk memberi rangsangan baharu kepada penipuan dalam talian. Syarikat keselamatan ESET telah mengesan peningkatan ketara dalam quishing, satu varian pancingan data yang menggunakan kod bertitik ini untuk mengarahkan pengguna ke laman web berniat jahat tanpa mereka dapat membaca URL destinasi.
Angka terkini menunjukkan dengan sendirinya : Laporan Ancaman ESET H1 2026 menunjukkan bahawa kod QR berniat jahat muncul dalam 11% daripada semua e-mel pancingan data, dengan purata lebih 100.000 pengesanan sebulan. Malah, Sepanyol berada di kedudukan kedua di dunia dalam bilangan serangan jenis ini, kedua selepas Amerika Syarikat.
Apakah itu quishing dan mengapa ia sedang berkembang pesat?
Quishing pada asasnya merupakan varian pancingan data klasik, tetapi dengan elemen tambahan: pautan berniat jahat tersembunyi dalam kod QR. Pengguna mengimbas imej dan berakhir di laman web palsu yang boleh mencuri kata laluan bank, kelayakan log masuk atau memasang perisian hasad pada peranti mereka.
Salah satu sebab kejayaannya adalah kerana destinasi pautan tersebut tidak dapat dilihat serta-merta. Dalam e-mel yang mencurigakan, anda boleh melihat domain yang tidak sah; di sini, semuanya dimampatkan menjadi piksel segi empat sama. Tambahan pula, kod ini dibenamkan dalam mesej sebagai imej atau PDF yang dilampirkan, memintas banyak penapis keselamatan e-mel. Dan caranya lebih berkesan kerana ia mengalihkan komunikasi dari komputer kerja ke telefon bimbit, peranti yang selalunya tidak mempunyai tahap perlindungan yang sama.
Kejuruteraan sosial juga memainkan peranan penting. Penjenayah menggunakan imej jenama terkenal, seperti DocuSign atau Microsoft, dan mengeksploitasi situasi mendesak, contohnya, dengan memberi amaran bahawa akaun akan digantung jika ia tidak disahkan. Akibatnya, mesej tersebut tiba di peti masuk, dan pekerja tidak menemui sebarang penunjuk pancingan data biasa kerana tiada teks untuk dibaca dalam pautan tersebut.
Quishing di Sepanyol, amaran yang tidak berhenti
Sepanyol telah menjadi tumpuan utama bagi penipuan jenis ini. ESET menganggarkan bahawa 17% pengesanan pertanyaan global tertumpu di negara ini, mengesahkan bahawa teknik ini telah menemui jalan penyelesaian yang subur. Salah satu kes yang paling representatif telah diselesaikan hasil campur tangan Institut Keselamatan Siber Kebangsaan (INCIBE). Seorang pelanggan restoran mengimbas kod QR pada menu, yang telah diubah suai, dan tanpa disedari melanggan perkhidmatan premium.
OCU (Pertubuhan Pengguna Sepanyol) juga telah mengetengahkan isu kod QR palsu yang dilekatkan pada kereta untuk mensimulasikan denda trafik. Apabila mangsa mengimbas kod tersebut untuk membayar denda, mereka menyerahkan butiran kad mereka ke laman web palsu. Penipuan ini tidak berhenti di situ: pelekat dengan kod QR palsu telah dilihat meliputi kod tulen meter parkir dan basikal kongsi. Penyerang menutup kod asal dengan kod bercetak yang menunjukkan domain mereka sendiri.
Makmal ESET menunjukkan bahawa April 2026 menandakan kemuncak pengesanan, walaupun siri masa telah mula menunjukkan peningkatan yang stabil. Keselamatan mudah alih dan e-mel korporat adalah perisai utama, tetapi tabiat pengguna yang longgar mengatasi selebihnya.
Sisi lain penipuan QR
Ia bukan sahaja mengenai penipuan besar-besaran terhadap pelanggan restoran. Perkhidmatan Hasil Dalam Negeri (IRS) A.S. juga telah mengesan kempen yang melibatkan surat fizikal yang menyamar sebagai notis cukai, yang mengandungi kod QR yang menjanjikan pengesahan akaun atau dokumentasi untuk pemilik mata wang kripto. Pengimbasan kod tersebut akan membawa mangsa ke laman web yang meminta frasa benih atau kunci peribadi—elemen yang memberikan kawalan ke atas dana digital.
Peranan negara juga berada di sebalik perangkap ini . Satu nasihat FBI dari Januari 2026 menyebut kumpulan Kimsuky, yang didakwa dikaitkan dengan Korea Utara, sebagai bertanggungjawab atas serangan pengintipan siber kod QR di mana mereka menggunakan alasan seperti dokumen atau borang kerajaan untuk mendapatkan akses kepada organisasi penyelidikan. Dalam erti kata lain, teknik ini juga telah menyusup masuk ke dalam senjata kumpulan APT, dengan tujuan untuk menjejaskan rangkaian bernilai tinggi.
Cara melindungi diri anda daripada dikutuk
Pertahanan utama terhadap penipuan ini adalah sesuatu yang asas seperti belajar untuk bersikap skeptikal. INCIBE mengesyorkan berhenti seketika sebelum mengimbas sebarang kod QR yang dipaparkan di tempat awam. Jika pelekat kelihatan terkopek, menunjukkan tanda-tanda pengubahan, atau berada terus di atas kod lain, ia tidak boleh digunakan. Dalam kes e-mel, berhati-hati dengan sebarang mesej yang tidak diminta yang menggesa anda untuk mengimbas kod QR, terutamanya jika ia mengandungi tekanan masa yang berlebihan.
Adalah juga idea yang baik untuk menyemak URL yang dihalakan oleh kod tersebut. Jika telefon anda menawarkan pratonton pautan, cari kesalahan taip, domain yang dipendekkan atau variasi pelik laman web yang biasa. Melumpuhkan pembukaan pautan automatik semasa mengimbas kod QR adalah satu lagi lapisan perlindungan yang berguna, pada kedua-dua sistem iOS dan Android. Dan jangan sekali-kali memberikan maklumat pembayaran, kelayakan atau butiran dompet tanpa mengesahkan melalui saluran lain bahawa permintaan itu sah.
Bagi perniagaan, pakar ESET mengesyorkan memasukkan quishing dalam program kesedaran dan simulasi pancingan data. Teknologi merupakan elemen penting lain: penapis e-mel yang mampu mengekstrak dan menganalisis kod QR dalam fail, perlindungan untuk peranti mudah alih korporat dan pengesahan tahan pancingan data untuk akaun berkelayakan tinggi. Mengaplikasikan prinsip keistimewaan paling rendah dan memastikan perisian dikemas kini adalah langkah tambahan yang menghalang imbasan berniat jahat daripada menjadi pencerobohan rangkaian yang kritikal.
Populariti kod QR bukanlah sesuatu yang baharu, begitu juga ancaman yang ditimbulkannya. Quishing telah menjadi ancaman yang memindahkan data melalui skrin dan kod binari, dan langkah-langkah yang berkesan untuk pancingan data berasaskan teks juga berkesan di sini jika digunakan dengan akal sehat. Sepanyol sudah berada dalam bahaya, dan perbezaan antara menjadi mangsa dan mengelakkan ketakutan bergantung pada tabiat mudah untuk menyemak, sebelum mengimbas, bahawa destinasi itu bukan penipuan.