Quishing telah menjadi salah satu ancaman yang paling pesat berkembang dalam pancingan data. Ideanya mudah: kod QR yang nampaknya tidak berbahaya menyembunyikan alamat palsu. Microsoft telah mengukur pertumbuhan ini: pada Mac 2026, ia mengesan 18,7 juta serangan sedemikian , berbanding 7,6 juta pada Januari, mewakili peningkatan sebanyak 146% dalam masa tiga bulan sahaja.
Masalahnya terletak pada tindakan yang telah menjadi sebahagian daripada rutin harian kita. Mengimbas menu restoran, membayar tempat letak kereta, memuat turun tiket atau mencari maklumat pelancongan telah menjadi perkara biasa. Penjenayah siber mengeksploitasi kebiasaan ini. Pakar dari Áudea, unit keselamatan siber Logicalis Sepanyol, menekankan bahawa alamat web kekal tersembunyi sehingga pautan dibuka, sekali gus mengurangkan tanda amaran yang mungkin dikesan oleh pengguna pada pandangan pertama.
Mengapa kod QR menyembunyikan penipuan dan beralih dari komputer ke telefon bimbit
Tidak seperti pautan teks, kod QR tidak memaparkan URL sebelum diimbas. Andrés Cartes Guilarte, Perunding Budaya Keselamatan Siber di Áudea, menunjukkan bahawa kelegapan ini adalah salah satu kelebihan terbesar bagi penyerang. Pengguna tidak dapat mengesahkan sama ada destinasi tersebut sah, dan dalam banyak kes, imbasan dilakukan dari telefon bimbit , yang mengalihkan interaksi daripada komputer korporat dan melangkaui kawalan keselamatan syarikat.
Sebaik sahaja pautan dibuka, mangsa mungkin akan berada di halaman yang meniru perkhidmatan korporat, platform perbankan atau skrin pengesahan. Objektifnya bergantung pada jenis penipuan, tetapi biasanya melibatkan mendapatkan kelayakan, data peribadi atau maklumat kewangan . Penyamaran ini lebih dipercayai apabila mesej tiba dalam konteks yang biasa, seperti komunikasi dalaman yang dikatakan atau pemberitahuan daripada entiti yang kerap digunakan oleh pengguna.
Microsoft juga mengenal pasti kira-kira 8.300 bilion ancaman pancingan data yang diedarkan melalui e-mel dalam tempoh yang sama. Syarikat itu menyifatkan tindakan 'quishing' sebagai vektor serangan yang paling pesat berkembang dalam tempoh itu, satu trend yang sejajar dengan penggunaan kod QR yang semakin meluas merentasi semua jenis persekitaran.
PDF, e-mel dan dokumen Microsoft 365: saluran pilihan
Laporan Ancaman E-mel Barracuda 2026 mendedahkan beberapa penemuan menarik. 70% daripada PDF berniat jahat yang dianalisis mengandungi kod QR yang membawa kepada halaman pancingan data. Dalam erti kata lain, dokumen tersebut bertindak sebagai penyamaran untuk memperdaya mangsa agar mempercayai fail tersebut dan tidak mengesyaki kod di dalamnya.
Laporan yang sama memperincikan bahawa 56% daripada dokumen Microsoft 365 yang berniat jahat termasuk tindakan meminta maklumat. Tambahan pula, kod yang dibenamkan terus ke dalam badan e-mel meningkat sebanyak 336% pada Mac 2026. Penyerang tidak mengehadkan diri mereka kepada lampiran: mereka juga meletakkan kod QR dalam teks mesej itu sendiri untuk meningkatkan peluang seseorang mengimbasnya.
Laporan Ancaman ESET H1 2026 menunjukkan bahawa sehingga 11% daripada semua serangan pancingan data pada separuh pertama tahun ini telah dijalankan menggunakan kaedah quishing. Firma itu memberi amaran bahawa teknik ini semakin canggih: sesetengah kempen bertujuan untuk mendapatkan token pengesahan berbilang faktor, memasang perisian hasad, memperdaya mangsa untuk memuat turun aplikasi berniat jahat atau menggunakan aplikasi telefon yang sah sebagai sebahagian daripada penipuan tersebut.
Josep Albors, Ketua Penyelidikan dan Kesedaran di ESET Sepanyol, menjelaskan bahawa penyerang boleh menyamarkan kod tersebut dengan lebih lanjut dengan membenamkannya dalam PDF, imej JPEG atau dokumen lain , atau dengan menggunakan perkhidmatan yang memendekkan URL sebelum menjana kod QR. Pada masa yang sama, mesej yang disertakan dengan kod tersebut boleh mengandungi sangat sedikit teks, menghapuskan petunjuk klasik seperti ralat ejaan, pautan yang kelihatan atau domain yang luar biasa.
Dari menu restoran ke tempat letak kereta: risiko fizikal dan langkah pertahanan
Bahayanya tidak terhenti di peti masuk anda. Kod QR yang diletakkan di restoran, kedai, pengangkutan awam, tempat letak kereta dan perkhidmatan pelancongan menimbulkan masalah yang sama: anda tidak boleh menyemak halaman mana yang akan dipaparkan sebelum mengimbasnya. Tambahan pula, di tempat awam, kod tersebut mungkin telah diusik atau digantikan dengan kod palsu.
Pada bulan Ogos, INCIBE mendokumentasikan satu kes sebenar yang menggambarkan risiko tersebut dengan sempurna. Seorang pengguna mengimbas kod QR menu restoran dan, selepas mengklik pautan tersebut dan menerima tetingkap timbul, secara tidak sengaja mengaktifkan langganan premium yang tidak diminta . Pelanggan lain di premis yang sama mengalami situasi yang serupa, menunjukkan bahawa masalah itu bukanlah insiden terpencil yang melibatkan seorang individu.
Perkembangan teknologi ini menjelaskan sebahagian daripada fenomena tersebut. Menurut data yang dikumpulkan oleh QR TIGER, sekitar 75% restoran di seluruh dunia telah pun menggunakan kod QR untuk memudahkan akses kepada menu digital. Penggunaan alat ini dalam pemasaran dan pengiklanan meningkat sebanyak 323% antara tahun 2021 dan 2023, satu angka yang membantu menjelaskan mengapa penjenayah menumpukan perhatian kepadanya.
Bagi perniagaan, ESET mengesyorkan agar aktiviti 'quishing' dimasukkan dalam program kesedaran dan latihan simulasi supaya pekerja belajar mengenali kod QR yang mencurigakan. Ia juga menasihatkan agar tidak mengimbas kod dalam e-mel yang tidak diminta dan mengesyorkan untuk melaporkan sebarang mesej yang mencurigakan.
Apabila pekerja percaya sesuatu mesej datang daripada sumber yang boleh dipercayai, adalah dinasihatkan untuk mengesahkannya melalui saluran bebas , menggunakan maklumat hubungan yang tidak terdapat dalam e-mel itu sendiri. Pengesahan ini menghalang pengesahan daripada bergantung pada maklumat yang dihantar oleh bakal penyerang.
Perlindungan teknikal juga penting. Antara langkah-langkah yang dinyatakan ialah penyelesaian keselamatan e-mel, alat keselamatan mudah alih, pengurusan peranti melalui MDM, pengesahan berbilang faktor tahan pancingan data , prinsip keistimewaan paling minimum, akses tepat pada masanya, kemas kini berkala dan pemantauan untuk tingkah laku yang tidak normal. Di samping itu, adalah penting untuk menguji pelan tindak balas insiden bagi memastikan tindak balas yang pantas sekiranya serangan berlaku.
- Keselamatan e-mel dan mudah alih untuk menyekat pautan dan kod berniat jahat.
- Pengurusan Peranti MDM untuk melaksanakan dasar minimum.
- MFA tahan pancingan data dan prinsip keistimewaan paling minimum.
- Kemas kini, akses tepat pada masanya dan penyeliaan yang berterusan.
Corak yang didedahkan oleh semua angka ini adalah jelas: kod QR telah menemui niche dalam kehidupan seharian kerana ia mudah, pantas dan terdapat di mana-mana. Kewujudannya yang sentiasa ada inilah yang menjadikannya ancaman yang sukar dikesan. Kuncinya adalah untuk berwaspada terhadap perkara yang tidak dijangka , semak konteks sebelum mengimbas dan melaksanakan langkah keselamatan yang mengiringi pengguna daripada e-mel ke peranti mudah alih, termasuk dokumen dan ruang fizikal.
