Bahaya Sebenar Kod QR: Kekal Berwaspada

Anda mungkin telah mengimbas puluhan kod QR bulan ini tanpa berfikir dua kali – di restoran, meter parkir, mungkin di terminal pembayaran semasa membuat bayaran. Kepercayaan automatik itulah yang sedang dieksploitasi oleh penipu sekarang, dan angka-angka sukar diabaikan.

Penipuan kod QR – lebih dikenali sebagai quishing – meningkat sebanyak 587% dari 2022 hingga 2023, dan melonjak lagi 25% pada 2025, dengan lebih 26 juta rakyat Amerika telah dihantar ke laman berbahaya melalui kaedah ini. Dan inilah bahagian yang tidak selesa: hanya 39% pengguna dapat mengesan kod QR yang dijangkiti dengan tepat sebelum terlambat, yang bermakna majoriti besar mengimbas secara buta.

Jadi, apa sebenarnya yang berlaku, bagaimana penyerang melakukannya, dan apa yang boleh anda lakukan mengenainya? Mari kita terangkan satu persatu.

Apa Itu Quishing – dan Mengapa Ia Begitu Berkesan

Quishing (QR + phishing) adalah amalan menyembunyikan pautan berbahaya di dalam kod QR untuk mengalihkan orang ke laman web palsu, mencuri maklumat log masuk, atau memasang perisian hasad. Anggapkan ia sebagai pencerobohan kod QR klasik – tetapi dibungkus dalam format yang mata manusia tidak dapat mentafsirkannya.

Itulah masalah teras keselamatan kod QR: tidak seperti pautan biasa dalam e-mel yang boleh anda tunjuk ke atasnya untuk pratonton, kod QR tidak mendedahkan apa-apa sehingga pelayar anda memuatkan destinasi tersebut. Tiada domain yang salah eja untuk dikesan, tiada teks pautan yang mencurigakan untuk diperhatikan. Bahaya kod QR tidak kelihatan secara reka bentuk – dan itulah yang menjadikan quishing phishing begitu berkesan berbanding penipuan tradisional.

Inilah sebabnya kod QR muncul dalam 22% daripada semua serangan penipuan (phishing) pada tahun 2024–2025. Ia memintas kebanyakan penapis e-mel automatik kerana alat keselamatan tidak dapat membaca URL yang disulitkan di dalam imej.

Adakah Anda Boleh Digodam dengan Mengimbas Kod QR?

Memahami keseluruhan landskap ancaman kod QR membantu anda mengenal pasti ancaman sebelum anda menjadi mangsa. Berikut adalah corak serangan paling biasa pada tahun 2025.

Trik Pelekat Palsu

Kaedah fizikal yang paling meluas melibatkan pelekat kod QR palsu yang diletakkan terus di atas kod yang sah – pada meter parkir, meja restoran, papan tanda pengangkutan, atau paparan runcit. Anda menyangka anda sedang membuka pautan peta atau membayar di terminal pembayaran. Sebenarnya, butiran kad anda terus dihantar ke portal palsu penipu. Pemeriksaan fizikal ringkas – memeriksa sama ada kod itu rata atau kelihatan seperti bertindih lapisan – boleh menyelamatkan anda sepenuhnya daripada perkara ini.

Quishing melalui E-mel dan Alat Pejabat

Oleh kerana orang biasanya mengimbas kod QR dengan telefon mereka, URL yang diselipkan akan melepasi alat keselamatan desktop seperti tembok api dan penyekat URL hujung. Ini menjadikan penggodaman kod QR melalui e-mel amat berkesan. Mesej itu kelihatan seperti datang daripada Microsoft, bank anda, atau jabatan IT syarikat anda – lengkap dengan logo dan format profesional.

Sebanyak 27% serangan quishing ini menggunakan amaran pengesahan dua faktor palsu: "Sesi anda telah tamat – imbas untuk pengesahan semula." Rasa kecemasan itu direka untuk menghalang anda daripada berfikir dua kali.

Kod QR Tersembunyi dalam Dokumen dan Surat Khabar Fizikal

Ini adalah salah satu bahaya yang sering diabaikan apabila mengimbas kod QR: setengah juta e-mel penipuan yang mengandungi kod QR dalam lampiran PDF telah dikesan pada pertengahan 2024 sahaja. Dokumen itu kelihatan sah – sebuah invois, penyata faedah, notis penghantaran – dan kod QR di dalamnya nampak seperti pintasan yang mudah. FTC juga telah menandakan peningkatan penipuan melalui mel fizikal, di mana pautan perisian hasad kod QR dicetak pada slip pakej palsu atau bil utiliti.

Kempen Quishing Berkuasa AI

Evolusi paling baharu dan paling membimbangkan dalam ancaman keselamatan siber quishing melibatkan halaman penipuan yang dijana oleh AI yang hampir tidak dapat dibezakan daripada yang sebenar. Penyerang kini boleh mencipta halaman tempahan palsu atau log masuk PayPal yang meyakinkan dalam masa beberapa minit, disesuaikan untuk sasaran tertentu, dengan jenama yang realistik dan salinan yang diperibadikan. Ini telah menjadikan pencegahan penipuan kod QR jauh lebih sukar bagi individu dan organisasi.

Tetapi ancaman itu jauh melangkaui halaman log masuk palsu. AI kini digunakan pada setiap peringkat saluran serangan – daripada pemilihan sasaran hingga penghantaran dan pengelakan.

Umpan yang sangat diperibadikan. Penipuan e-mel tradisional bergantung pada umpan generik – "akaun anda telah digantung." Kempen yang disokong AI menggunakan data yang boleh didapati secara terbuka: majikan anda, bandar anda, pembelian terkini anda. Hasilnya ialah penipuan kod QR yang terasa seolah-olah ditulis khas untuk anda, kerana dalam erti kata, memang begitu. Invois palsu daripada nama pembekal yang anda kenali. Nota "penghantaran tidak berjaya" yang sepadan dengan alamat sebenar anda. Tahap spesifikiti inilah yang menjadikan penipuan "quishing" moden begitu sukar untuk diabaikan sekilas pandang.
Pengukuhan suara dan deepfake. Dalam serangan bernilai tinggi – biasanya menyasarkan pekerja dalam kewangan atau HR – panggilan suara yang dijana AI atau mesej video deepfake kini mendahului kod QR berniat jahat. Panggilan itu mewujudkan kepercayaan ("Hai, ini sokongan IT – anda akan menerima kod pengesahan sebentar lagi"), dan kod QR tiba beberapa ketika kemudian melalui e-mel atau SMS. Menjelang sasaran itu mengimbasnya, mereka sudah pun disiapkan untuk mematuhi.
Infrastruktur automatik berskala besar. Apa yang dahulu memerlukan kepakaran teknikal untuk disediakan – domain palsu, sijil SSL, laman web tiruan – kini boleh dijana dan dipusing secara automatik. Penyerang melancarkan ratusan halaman pancingan data yang singkat hayat secara serentak, menukar domain dengan pantas untuk kekal di hadapan senarai blok. Inilah sebabnya alat keselamatan berasaskan URL tradisional bergelut: ketika satu domain dikesan, ia sudah digantikan.
Pengelakan terbina dalam reka bentuk. Model AI yang dilatih dengan corak pengesanan keselamatan kini boleh menjana kod QR dan halaman pendaratan yang direka khas untuk mengelak pencetus penapis. Mereka meniru struktur visual halaman sahih dengan kesetiaan tinggi – ketebalan fon yang betul, medan borang yang kelihatan asli, mesej ralat yang realistik apabila butiran log masuk yang salah dimasukkan (trik klasik untuk mengumpul beberapa percubaan kata laluan).

Implikasi praktikalnya mudah: petunjuk visual dan kontekstual yang dahulunya membantu orang mengenal pasti penipuan kini menjadi tidak boleh dipercayai. Keraguan tentang sumber – bukan hanya penampilan – kini menjadi penapis yang lebih penting.

Siapa yang paling kerap menjadi sasaran?

Risiko keselamatan kod QR tidak diedarkan secara sama rata. Sesetengah industri menghadapi pendedahan yang jauh lebih tinggi disebabkan sifat penggunaan kod QR mereka dan nilai data yang mereka uruskan.

Industri	Mengapa Ia Disasarkan	Vektor Serangan Biasa
Kewangan & Perbankan	Butiran log masuk bernilai tinggi, data pembayaran	Halaman log masuk aplikasi bank palsu, portal PayPal/Venmo palsu dengan penuaian maklumat log masuk
Penjagaan kesihatan	Data pesakit sensitif, sistem warisan	Borang pesakit palsu dihantar melalui e-mel, kod QR pada kertas pendaftaran bercetak
Pendidikan	Asas pengguna yang besar, kesedaran keselamatan yang rendah	Portal log masuk Wi-Fi palsu di kampus, kod QR dalam bahan kursus PDF
Runcit & E-dagang	Pemprosesan pembayaran, trafik pejalan kaki tinggi	Penipuan pelekat di atas terminal pembayaran sah, kod tempahan diskaun atau kesetiaan palsu
Restoran & Pelancongan	Penggunaan QR yang tinggi, peletakan awam	Penggantian menu QR dengan halaman pesanan palsu, portal Wi-Fi palsu di lobi
Kerajaan	Eksploitasi kepercayaan awam	Borang permit palsu, portal pembayaran cukai palsu yang meniru laman web rasmi
Logistik	Keperluan segera penghantaran pakej	URL penjejakan palsu dihantar melalui SMS, kod QR pada slip penghantaran palsu
Hartanah	Transaksi bernilai tinggi	Halaman senarai hartanah palsu, borang tandatangan dokumen penipuan, dengan kecurian kelayakan

Pekerja runcit mempunyai kadar kegagalan tertinggi dalam mengesan aktiviti berniat jahat kod QR, manakala kewangan, pembuatan, dan penjagaan kesihatan sentiasa menjadi antara sektor yang paling disasarkan. Perlu diambil perhatian, isu keselamatan kod QR dalam penjagaan kesihatan membawa akibat yang amat serius – data pesakit, butiran insurans, dan sistem dalaman semuanya terancam.

Cipta
Kod QR Sekarang!

Letakkan pautan kod QR anda, tambah nama untuk QR anda, pilih kategori kandungan dan jana!

Hasilkan QR Code

Cara Mencegah Quishing: Amalan Terbaik Keselamatan Kod QR

Berikut adalah penjelasan praktikal untuk kekal selamat – sama ada anda pengguna individu, pemilik perniagaan, atau bertanggungjawab terhadap bahan pemasaran yang mengandungi kod QR.

1. Sentiasa Pratonton URL Sebelum Membukanya

Kebanyakan telefon pintar moden memaparkan pautan destinasi serta-merta selepas imbasan, sebelum pelayar anda memuat apa-apa. Tabiat sepuluh saat ini adalah asas keselamatan kod QR – jangan lakukannya.

Apabila memeriksa URL, perhatikan:

HTTPS vs HTTP – tiada penyulitan adalah petanda merah segera;
Pautan dipendekkan – bit.ly, tinyurl, dan perkhidmatan serupa menyembunyikan destinasi sebenar;
Domain yang salah eja – "paypa1.com" atau "arnazon.com" adalah helah klasik;
Domain tidak berkaitan – kod QR restoran yang menunjuk ke domain yang tiada kaitan dengan premis;
Rantaian penalaan semula – beberapa lompatan sebelum sampai ke halaman sebenar sering menandakan vektor serangan kod QR.

Gunakan aplikasi imbas kod QR yang selamat – bukan sekadar kamera lalai telefon anda. Pemeriksa keselamatan kod QR yang betul akan menandakan domain berbahaya yang diketahui sebelum membuka apa-apa, memberikan anda lapisan perlindungan sebenar dan bukannya sekadar kemudahan.

2. Periksa Kod QR Secara Fizikal di Tempat Awam

Pengesanan pengutaraan adalah kebimbangan sebenar di lokasi yang sibuk. Sebelum mengimbas apa-apa di tempat awam, perhatikan dengan teliti: adakah kod itu rata dengan permukaan, atau adakah ia kelihatan sedikit timbul? Adakah tepinya kemas, atau nampak seperti pelekat yang ditampal di atas sesuatu yang lain?

Ini amat penting di meter parkir, stesen transit, dan mana-mana tempat yang melibatkan keselamatan pembayaran kod QR – tepat di lokasi yang paling disasarkan penipu, kerana rasa kecemasan dan gangguan memihak kepada mereka.

3. Jangan Pernah Imbas Kod QR Daripada E-mel Yang Tidak Dijangka

Di sinilah QR phishing menyebabkan kerosakan paling teruk. Syarikat yang sah – bank, pembekal perisian, jabatan sumber manusia – tidak akan meminta anda mengimbas kod QR untuk mengesahkan identiti anda atau menetapkan semula kata laluan melalui e-mel. Jika anda menerima mesej seperti itu, pergi terus ke laman web rasmi syarikat tersebut dengan menaip alamatnya secara manual.

Jangan imbas kod QR daripada imej atau lampiran PDF yang tidak dijangka, tidak kira betapa rasminya ia kelihatan. Ini juga terpakai kepada penghantaran WhatsApp dan mesej SMS – penggodam yang menggunakan kod QR kini telah melangkaui emel.

4. Gunakan Pemeriksa Keselamatan Kod QR yang Sesuai

Tidak semua aplikasi imbasan menawarkan tahap perlindungan yang sama. Kamera biasa hanya membaca corak – pemindai kod QR yang paling selamat secara aktif merujuk URL destinasi dengan pangkalan data ancaman secara masa nyata. Cari aplikasi yang secara khusus menawarkan ciri keselamatan pembaca kod QR: pratonton URL, pengesanan perisian hasad, dan pemeriksaan reputasi domain.

Mengesahkan kod QR sebelum bertindak terhadapnya adalah tabiat paling berkesan yang boleh anda amalkan. Jika sesebuah aplikasi tidak memaparkan pautan kepada anda sebelum membukanya, carilah yang lain.

5. Adakah Kod QR Selamat? Tanda Amaran yang Tidak Patut Anda Abaikan

Perhatikan petanda amaran ini tanpa mengira konteks – sama ada anda mengimbas QR untuk halaman media sosial, rangkaian Wi-Fi, kenalan vCard, atau pautan pembayaran:

Bahasa yang menimbulkan rasa takut atau mendesak yang berkaitan dengan kod ("Imbas sekarang atau kehilangan akses");
Kod yang diterima melalui SMS, e-mel, atau mesej WhatsApp yang tidak diminta;
Kod QR daripada lampiran PDF atau imej daripada penghantar yang tidak dikenali;
Kod yang meminta anda memasang aplikasi yang tidak dikenali daripada Pasaran Aplikasi;
Pautan pembayaran yang melalui beberapa penalaan semula sebelum sampai ke halaman pembayaran;
Sebarang kod yang menjanjikan akses percuma ke Spotify, YouTube, atau kandungan premium.

6. Sudah memindai sesuatu yang mencurigakan? Bertindak segera

Kesilapan boleh berlaku – ini cara untuk mengehadkan kerosakan. Putuskan sambungan Wi-Fi dan data mudah alih dengan segera untuk memutuskan komunikasi dengan pelayan penyerang. Imbas menggunakan aplikasi keselamatan mudah alih yang dipercayai. Tukar sebarang kata laluan yang dimasukkan selepas imbasan, utamakan akaun kewangan dan kerja. Semak sejarah pemasangan App Markets anda untuk apa-apa yang tidak dikenali, batalkan kebenaran yang tidak diketahui, dan hubungi bank anda dengan segera jika sebarang butiran pembayaran terlibat.

Untuk Perniagaan: Menjaga Kod QR Anda Tetap Dipercayai

Jika organisasi anda menggunakan kod QR dalampe masaran kempen, aliran e-dagang, senarai hartanah, borang kemasukan penjagaan kesihatan, atau menu restoran – mengamankan kod QR adalah sebahagian daripada tanggungjawab anda kepada pengguna.

Ciri keselamatan kod QR yang berkesan untuk perniagaan termasuk menggunakan kod bergaya dengan logo dan warna jenama anda (yang lebih sukar untuk dipalsukan secara meyakinkan), memaklumkan dengan jelas kepada pengguna apa yang mereka patut lihat selepas imbasan, dan memeriksa secara berkala kod yang terdedah kepada orang awam untuk tanda-tanda pengubahsuaian.

Selain itu, keselamatan penjana kod QR juga penting. Penjana kod QR yang paling selamat akan menyemak URL destinasi semasa proses penjanaan – menyekat pautan berbahaya, spam, dan kandungan terlarang sebelum kod itu disiarkan. Me-QR melakukan perkara ini dengan tepat: setiap kod QR dinamik yang dijana melalui perkhidmatan ini secara automatik diperiksa untuk perisian hasad, kandungan pancingan, dan pelanggaran dasar, supaya anda dan pelanggan anda tidak terdedah kepada risiko keselamatan kod QR melalui bahan anda sendiri.

Tetap Berwaspada, Imbas dengan Bijak

Bahaya menggunakan kod QR bukan terletak pada teknologi itu sendiri – ia terletak pada ke mana kod itu membawa anda dan sama ada anda mengambil berat untuk menyemaknya. Kekal selamat bukan bermakna mengelakkan kod QR — ia adalah tentang mengetahui apa yang perlu dicari sebelum anda mengimbas.

Semak URL. Periksa kod fizikal. Gunakan pengimbas keselamatan QR yang melakukan pengesahan untuk anda. Penipu di sebalik penggodaman kod QR ini mengharapkan mod automatik. Dan secara statistik, mereka memang betul – 61% orang masih mengimbas tanpa menyemak ke mana kod itu membawa. Angka itu adalah kelemahan sebenar. Tutup jurangnya, dan anda telah melakukan lebih daripada kebanyakan orang.