Quishing: Ancaman yang terus bersembunyi di depan mata

Perangkat seluler kami pergi ke mana pun kami pergi, dan kami dapat menggunakannya untuk hampir semua hal. Untuk bisnis, aksesibilitas seluler telah membuatnya lebih mudah untuk menciptakan cara yang lebih interaktif untuk memperkenalkan produk dan layanan baru sambil meningkatkan pengalaman pengguna di berbagai industri. Kode respons cepat (QR) adalah contoh yang baik dari tindakan ini dan membantu perangkat seluler dengan cepat menavigasi ke halaman web atau menginstal perangkat lunak baru hanya dengan memindai gambar.

Namun, organisasi yang sah bukan satu-satunya yang menghasilkan kode QR untuk kenyamanan tambahan. Penjahat siber juga memanfaatkan kode QR dan peningkatan ketergantungan pada teknologi NFC untuk meluncurkan serangan canggih terhadap korban yang tidak curiga.

Federal Trade Commission (FTC) telah melaporkan tren peningkatan dalam skema phishing baru di mana scammer menggunakan kode QR yang tampaknya sah untuk mengirim pengguna ke situs web dan aplikasi berbahaya untuk melakukan berbagai serangan siber. Disebut “quishing,” teknik ini bisa sangat efektif, terutama ketika kode yang dihasilkan diposting di tempat-tempat yang kredibel seperti retail, bangunan bisnis, dan lokasi pemasaran bermerek seperti majalah atau surat.

Alasan mengapa serangan quishing menjadi sangat efektif berkaitan dengan impulsif yang terkait dengan pemindaian kode QR karena kenyamanan pengguna, kemudahan di mana kode dapat dihasilkan dan anonimitas yang diberikan.

Siapa pun dapat membuat kode QR secara online menggunakan berbagai alat gratis yang tersedia. Karena semua kode QR terlihat serupa dalam desain, tidak ada yang tahu apa yang akan diminta oleh kode QR untuk dilakukan perangkat sampai dipindai.

Penjahat siber biasanya akan menghasilkan kode untuk mengarahkan ke situs web berbahaya di mana mereka akan mencoba menginstal skrip malware, atau mereka mungkin mencoba meminta izin tambahan pada perangkat yang dapat disimpan untuk digunakan nanti. Kode-kode ini kemudian dapat dicetak dan ditempelkan langsung di atas kode QR yang sah untuk membuatnya terlihat seperti berasal dari sumber yang memiliki reputasi baik.

Banyak orang tidak berpikir dua kali untuk memindai kode QR ini dan akan sering menerima prompt bypass keamanan yang ditampilkan di perangkat mereka sehingga mereka dapat lebih mudah mengakses aplikasi atau layanan.

Ketika kode QR pertama kali mulai muncul, tidak banyak orang yang tahu apa itu atau bahkan bagaimana menggunakannya. Namun, dengan sebagian besar perangkat seluler modern yang mampu menggunakan teknologi NFC dan kemampuan untuk mengirimkan dan menerima data, mereka mulai menjadi media populer untuk iklan yang mudah dan menambah kenyamanan bagi pengguna.

Saat ini, kode QR umumnya digunakan oleh berbagai individu, dan penjahat siber telah menggunakan quishing untuk menargetkan individu yang rentan. Banyak di antaranya termasuk:

• Individu lanjut usia yang kurang terbiasa dengan Tactics phishing dan lebih percaya pada situs web yang mereka kunjungi
• Pembeli online yang menggunakan kode QR untuk “melacak paket mereka”
• Pencari kerja menggunakan perangkat seluler mereka untuk memberikan informasi identifikasi pribadi (PII) sebagai bagian dari proses aplikasi
• Eksekutif bisnis yang perangkatnya biasanya terdaftar dengan tingkat akses yang lebih tinggi ke aplikasi dan layanan perbankan seluler
• Individu yang menggunakan aplikasi parkir berbayar seluler sering memindai kode QR di berbagai meter parkir di sekitar kota

Tempat-tempat umum yang sering dikunjungi seperti restoran dan kedai kopi adalah target utama untuk mencari korban. Banyak dari risiko ini menjadi lebih jelas selama COVID-19 ketika kode QR sangat diandalkan sebagai cara untuk menghindari kontak yang tidak perlu saat menggunakan menu fisik atau melakukan pembayaran.

Karena tren penggunaan kode QR terus berlanjut, bahaya quishing hanya meningkat selama bertahun-tahun. Individu dan bisnis harus mengambil tindakan pencegahan yang tepat untuk menghindari menjadi korban.

FTC telah menyediakan berbagai strategi yang dapat diikuti oleh organisasi untuk membantu melindungi diri mereka sendiri dari skema quishing. Yaitu antara lain:

• Think sebelum Anda memindai: Penting untuk menyadari bahwa meskipun nyaman dan mudah digunakan, kode QR dapat menghadirkan bahaya tersembunyi. Sebelum memindai kode baru, pastikan Anda hanya memindai kode dari sumber yang memiliki reputasi baik. Ini terutama terjadi jika kode QR memerlukan akses ke izin tertentu pada mobile Anda agar berfungsi dengan baik.

• Cari tanda-tanda fisik gangguan: Saat menggunakan kode QR di tempat umum, Anda harus mencari tanda-tanda fisik gangguan. Meskipun tidak semua stiker QR perlu dianggap berbahaya, Anda harus memeriksanya dengan cermat untuk melihat apakah stiker tersebut berpiksel atau tidak sejajar. Jika terlihat mencurigakan, jangan memindai.

• Periksa URL sebelum menggunakannya: Sebagian besar perangkat seluler akan memiliki protokol keamanan yang memungkinkan Anda memeriksa pengalihan URL yang dicoba sebelum Anda setuju untuk menavigasi situs. Luangkan waktu untuk memastikan kode QR yang Anda pindai membawa Anda ke situs atau aplikasi seluler yang benar.

• Berhati-hatilah dengan permintaan QR yang tidak diminta: Menerima email yang tidak diminta dari situs web yang tampaknya sah dengan permintaan untuk memindai kode QR harus diperlakukan dengan hati-hati. Disuruh memindai kode QR dengan sedikit konteks tentang penggunaan kode tersebut seharusnya menjadi tanda bahaya. Jika Anda tidak yakin legitimasi, hubungi bisnis atau buka langsung situs web mereka tanpa menggunakan tautan pengalihan apa pun.

• Matikan NFC saat tidak digunakan: Sebagai aturan praktis yang baik, disarankan agar NFC tetap dimatikan saat tidak digunakan. Ini membantu melindungi dari berbagi data antar perangkat tanpa persetujuan Anda dan akan membantu menghindari terlalu impulsif saat memindai kode QR publik tanpa pertimbangan yang cermat.

Kode QR adalah cara mudah untuk menginstal aplikasi dan mendapatkan informasi lebih lanjut tentang berbagai merek dan layanan. Namun, penting untuk tidak membiarkan kenyamanan memindai kode QR mengaburkan penilaian baik Anda saat melindungi privasi Anda.

Dengan tetap waspada dan mengikuti pedoman yang dibahas, Anda dan bisnis Anda akan lebih terlindungi dari menjadi korban oleh skema quishing.