Mengenal Quishing Sebuah Ancaman Serangan Siber Dengan QR

[TedMosby]

Maaf OOT, tapi saya baru ngeh ternyata QR code itu bagian dari klasifikasi barcode juga.
Saya kira barcode itu cuma untuk penyebutan kode yang direpresentasikan dengan garis2 vertikal saja.
Jadi barcode itu ada 3, Linear (1D), Matrix (2D), dan Advanced Barcode (3).

• Linear Barcodes
  
  
  
  Contohnya Universal Product Code (UPC), direpresentasikan dengan garis vertikal tebal-tipis.
  Informasi yang bisa disimpan paling terbatas (variatif tergantung contoh).
  Biasa digunakan untuk produk2 retail, inventaris, pengiriman [1][2].
  
  
  
• Matrix Barcodes
  
  
  
  Contohnya si QR code, direpresentasikan dengan kotak, dot, atau pola.
  Informasi yang bisa disimpan jauh lebih banyak (variatif tergantung contoh).
  Biasa digunakan untuk payment, kartu id, website, dll [1][2].
  
  
  
• Advanced Barcodes
  
  
  
  Contohnya High Capacity Color Barcode (HCCB), direpresentasikan kayak QR code tapi ada segitiga dan warnanya.
  Informasi yang bisa disimpan paling banyak, sejauh ini digunakan untuk eksperimental [1][3].

Kemudian, karena penasaran lagi, saya tanya ChatGPT, intinya...
Kalau QR code lebih "powerful" kenapa masih banyak yang pakai linear barcodes?
Kalau yang saya tangkap jawabannya, si 1D ini udah ada duluan, infrastrukturnya udah keburu ada banyak dan dimana mana, kalau mau upgrade biayanya akan mahal banget karena semua supply chain global udah sinkron. 1D ini bisa discan pake laser scanner. Kalau 2D dan 3D harus yang camera-based, dan perlu decode data lebih banyak. Terus kalau 2D ini diperkecil, sulit discan. 1D lebih mudah discan walau ukurannya kecil sekalipun. Makanya produk2, terutama kemasan kecil, pakenya 1D.


Sumber:
[1] https://www.business.org/finance/inventory-management/barcode-types/
[2] https://camcode.com/blog/what-is-barcoding/
[3] https://en.wikipedia.org/wiki/High_Capacity_Color_Barcode

[Luzin]

Tiap kali scan QRIS saya selalu menanyakan kebenaran atas nama QRIS Code tersebut, biasanya kalo QRIS tersebut sudah sesuai nama dan tokonya saya sudah gak nanya langsung aja kirim,

Sebenarnya ini juga udah jadi keuntungan buat pedagang. Saya berulang kali setelah scan juga selalu konfirmasi atas nama ini benar? Baru kalau sudah dikonfirmasi saya lalu transaksi. Walau memang kalau misal untuk donasi donasi atau infaq yang memang ditempel pada benda tertentu lebih sulit terdeteksi dan kemungkinan untuk ditimpa lebih banyak. Karena masjid masjid didaerah saya yang umumnya besar juga menyediakan qris bagi para jamaah yang ingin berinfaq.

[Chikito]

Tiap kali scan QRIS saya selalu menanyakan kebenaran atas nama QRIS Code tersebut, biasanya kalo QRIS tersebut sudah sesuai nama dan tokonya saya sudah gak nanya langsung aja kirim,

Sebenarnya ini juga udah jadi keuntungan buat pedagang. Saya berulang kali setelah scan juga selalu konfirmasi atas nama ini benar? Baru kalau sudah dikonfirmasi saya lalu transaksi. Walau memang kalau misal untuk donasi donasi atau infaq yang memang ditempel pada benda tertentu lebih sulit terdeteksi dan kemungkinan untuk ditimpa lebih banyak. Karena masjid masjid didaerah saya yang umumnya besar juga menyediakan qris bagi para jamaah yang ingin berinfaq.

Kalau untuk masjid, setahu saya akan pakai rekening masjid, misal Masjid Baitulrahman, maka nama rekening akan tertera nama masjid (begitu juga Qris-nya), jadi ya tidak sulit untuk mengkonfirmasi kalau salah kirim. Makanya kalau ada masjid yang pakai rekening nama pengurus masjid, lebih baik diingatkan pengurusnya untuk segera membuat rekening sendiri, soalnya gampang, dan bank biasanya mempermudah pengurusan, hanya butuh nama susunan dan ktp pengurus, domisili dan NPWP masjid. Soalnya rawan juga kalau ada masjid yang masih pake nama pengurus, kalau ke depan pengurusnya meninggal, atau tidak jadi pejabat lagi, dana yang tersimpan akan sulit diakses, dan mungkin akan disalahgunakan.

[Husna QA]

Maaf OOT, tapi saya baru ngeh ternyata QR code itu bagian dari klasifikasi barcode juga.
Saya kira barcode itu cuma untuk penyebutan kode yang direpresentasikan dengan garis2 vertikal saja.
Jadi barcode itu ada 3, Linear (1D), Matrix (2D), dan Advanced Barcode (3).
—snip—

Barcode memang banyak jenisnya om. Dulu ditempat kerja saya pernah memproduksi ID card untuk produk Coc*-Col* di Indonesia (entah untuk ditempel di seluruh mesin pendinginnya atau ditempel di outlet pedagangnya), dan kebetulan saya yang mengoperasikan software untuk mengubah daftar code yang mereka berikan ke bentuk barcode 1D dan 2D.

Untuk masing-masing jenis dari barcode tersebut juga ada banyak tipe kodenya lagi. Jadi, tidak sembarang menggunakan barcode. Contoh, pada Linear Barcodes juga bisa tidak sama jenis tipenya dan ini bisa berpengaruh pada perangkat untuk scan yang mereka gunakan, apakah mensupport tipe yang digunakan pada Linear Barcode tersebut atau tidak. Sementara untuk QR Code lebih universal penggunaannya.


Btw, untuk QR code, bagi pengguna wallet crypto tentunya sudah tidak asing lagi, bahkan pada beberapa hardware wallet yang support air-gap juga rata-rata menggunakan metode scan barcode jenis ini.
Dan di kripto, perlu berhati-hati juga sebelum kirim aset kripto melalui metode scan barcode ataupun metode input address secara manual, karena tidak akan tercantum nama pemilik address tersebut tidak sebagaimana QRIS yang bisa dikonfirmasi nama pemilik rekeningnya.

[ezza3e]

betul banget, tiap jenis barcode punya spesifikasinya sendiri dan perlu disesuaikan dengan perangkat scan.
QR Code memang lebih universal, apalagi di dunia kripto yang sering pakai buat transfer aset.
Hati-hati saat scan barcode atau input address manual emang penting, soalnya gak ada konfirmasi nama pemilik addressnya.
Anda pernah gak mengalami kesulitan saat produksi barcode atau ada tips andalan buat memastikan barcode terbaca dengan baik?

[Husna QA]

—snip—
Anda pernah gak mengalami kesulitan saat produksi barcode atau ada tips andalan buat memastikan barcode terbaca dengan baik?

Utuk produksi barcode secara masal, hanya diawalnya saja perlu memahami tentang pengelolaan database dan belajar penggunaan software untuk membuat barcode tersebut yang hasil print-nya nanti akan berbeda-beda sesuai dengan database yang diinput dengan tipe barcode yang sudah ditentukan sebelumnya. Berikut ini salah satu contoh software-nya:


Sumber: Barcode Label Software Training Video Getting Started with BarTender

Pada contoh barcode 1D diatas menggunakan tipe Code 128

Sementara kalau untuk tujuan quishing tentunya bisa lebih mudah lagi, karena output barcode yang dibuat hanya 1 (tidak perlu mengelola database) dan tinggal menyesuaikan dengan tipe barcode dan ukuran yang digunakan oleh target yang barcode-nya akan dia palsukan.

Sekarang sudah banyak aplikasi untuk membuat barcode di smartphone kalau hanya untuk membuat barcode sederhana (bukan untuk produksi masal), contoh:

[masulum]

Mengenai pembuatan QR Code, selain menggunakan aplikasi yang sudah ada, kita juga bisa membuat QR Code dengan program yang bisa kita buat sendiri melalui Python. Tentu ini bukan untuk semua orang, namun jika mungkin ingin membuat misal QR Code massal, sepertinya bisa dibuat dengan memanfaatkan python. saya sudah mencoba membuatnya dengan hanya satu QR yang dibuat. berikut stepnya.

1. download python di python.org pilih python versi terbaru
2. kemudian siapkan folder khusus misal di direktori D:\BelajarQR (ini bebas mau Anda simpan di mana)
3. install python yang sudah di download hingga selesai
4. buka windows powershell
5. ketikkan kode

Code:

pip install qrcode[pil]

atau jika error coba dengan alternatif

Code:

py -m pip install qrcode[pil]

6. setelah selesai buka notepad atau notepad++ dan masukkan kode ini

Code:

import qrcode as qr
img = qr.make("ISI_URL_KODE_QR_YANG_KAMU_MAU")
img.save("QRKU.png")

simpan file dengan namafilesesukamu.py pastikan menyimpan sebagai .py bukan .txt
7. klik 2x pada namafilesesukamu.py dan QRcode hasil generate akan muncul di folder yang sama dengan namafilesesukamu.py.

ini hanya model standar, jika Anda ingin yang lebih variatif, Anda bisa mencari informasinya baik melalui pencarian atau menggunakan AI. cara ini sudah saya coba dan sukses. ini hasilnya



tutor: https://towardsdatascience.com/how-to-generate-qr-code-in-python/

makanya, untuk saat ini bagi para penjahat online, mereka lebih mudah untuk generate QR untuk tindak kejahatan, mengingat mereka hanya perlu membuat list pada notepad, csv, sheet atau lainnya untuk mengambil data dan diubah jadi QR.

[dansus021]

Bzirr ini berarti sama gan sama kasus Aksi Seorang Pria Ganti Kode QR Kotak Amal, Begini Kesaksian Pengurus Masjid di Blok M! https://www.youtube.com/watch?v=8cCMAhvw4Ic termasuk quishing juga kan ini.

menurut ane tidak bisa dipungkiri berkembangan QRIS di indonesia ini udah ngalahin lah pertumbuhan Visa dan Mastercard versi lokal, tapi gegara itu hampir semua orang bisa bikin QRIS versi mereka sendiri btw ane punya temen yang main judol lokal dan mereka menerimpa pembayaran QRIS ketika di scan pun ada yang toko sepatu warung madura dan lain sebagainya, salah satu faktor adanya quishing ini mungkin gegera mudahnya orang bikin qris yang pada awalnya tujuannya untuk memajukan pembayaran itu sendiri.

[Husna QA]

Bzirr ini berarti sama gan sama kasus Aksi Seorang Pria Ganti Kode QR Kotak Amal, Begini Kesaksian Pengurus Masjid di Blok M! https://www.youtube.com/watch?v=8cCMAhvw4Ic termasuk quishing juga kan ini.

menurut ane tidak bisa dipungkiri berkembangan QRIS di indonesia ini udah ngalahin lah pertumbuhan Visa dan Mastercard versi lokal, tapi gegara itu hampir semua orang bisa bikin QRIS versi mereka sendiri btw ane punya temen yang main judol lokal dan mereka menerimpa pembayaran QRIS ketika di scan pun ada yang toko sepatu warung madura dan lain sebagainya, salah satu faktor adanya quishing ini mungkin gegera mudahnya orang bikin qris yang pada awalnya tujuannya untuk memajukan pembayaran itu sendiri.

Ya, pada link di atas jelas merupakan quishing—rekaman video tersebut sempat viral beberapa tahun yang lalu. Pelakunya bekas karyawan bank, nampak sudah tidak asing dengan penggunaan QRIS. Hanya dalam kurun sekitar 9 hari sudah mendapat belasan juta Rupiah dari modus penipuannya tersebut di beberapa tempat.

   

Mirisnya QRIS yang disalahgunakan tersebut sebenarnya dikeluarkan oleh lembaga berlisensi namun izin peruntukan awal sebenarnya untuk merchant biasa, bukan untuk donasi ke lembaga tertentu (restorasi masjid, atau semisalnya).

Barusan saya coba scan, link-nya terafiliasi ke salah satu e-wallet:




Kalau QRIS Code yang dibuat sendiri di akun e-wallet, akan ada jeda waktu valid-nya. Jadi, Code tersebut tidak bisa untuk disebar permanen sebagaimana QRIS Code berlisensi—yang disalahgunakan—seperti pada kasus diatas. Contoh:




Balik lagi ke user yang hendak mengirimkan donasi/membayar transaksi via QRIS juga sebenarnya, sebisa mungkin untuk konfirmasi dulu sebelum mengirim dananya ke pihak terkait.

[Chikito]

salah satu faktor adanya quishing ini mungkin gegera mudahnya orang bikin qris yang pada awalnya tujuannya untuk memajukan pembayaran itu sendiri.

Kalau menurut saya untuk bikin Qris ini gak mudah, tidak begitu saja buka HP, lalu klik aplikasi misal Ovo, gopay, dana lalu generate Qris, tapi mesti daftar dulu merchant melalui aplikasi lain (semisal gopay merchant). Misal kalau kita klik Qris di aplikasi OVO, yg ada hanya kode bayar, bukan Qris nerima pembayaran, kalau ditunjukin/ditempel malah bikin saldo kita terkuras. Artinya kalau ada orang nempel Qris palsu dimana-mana, artinya mereka ini memang sudah pro, memang sudah ada niat dan rencana tuk berbuat kriminal.

[Husna QA]

salah satu faktor adanya quishing ini mungkin gegera mudahnya orang bikin qris yang pada awalnya tujuannya untuk memajukan pembayaran itu sendiri.

Kalau menurut saya untuk bikin Qris ini gak mudah, tidak begitu saja buka HP, lalu klik aplikasi misal Ovo, gopay, dana lalu generate Qris, tapi mesti daftar dulu merchant melalui aplikasi lain (semisal gopay merchant). Misal kalau kita klik Qris di aplikasi OVO, yg ada hanya kode bayar, bukan Qris nerima pembayaran, kalau ditunjukin/ditempel malah bikin saldo kita terkuras. Artinya kalau ada orang nempel Qris palsu dimana-mana, artinya mereka ini memang sudah pro, memang sudah ada niat dan rencana tuk berbuat kriminal.

QRIS yang digunakan pada kasus quishing, aslinya itu adalah QRIS resmi dengan izin peruntukkan tertentu (untuk merchant, donasi resmi, dll.) yang didapatkan si pelaku namun ternyata disalahgunakan.
Saya tidak tahu persis seberapa ketat persyaratan untuk mendaftar dan mendapatkan QRIS berlisensi tersebut agar tidak disalahgunakan untuk tujuan lain seperti pada kasus quishing.

Barusan saya baca di sini:
https://www.bi.go.id/id/publikasi/ruang-media/cerita-bi/Pages/cara-membuat-qris.aspx;

persyaratannya bisa berbeda-beda pada setiap Penyedia ​Jasa Pembayaran yang dipilih.


Kalau kasus quishing di crypto tentunya lebih mudah karena bisa langsung share address atau link ke web phishing dalam bentuk QR Code untuk menipu usernya tanpa perlu mendaftar seperti untuk mendapatkan  QRIS Merchant berlisensi.

[Chikito]

Saya tidak tahu persis seberapa ketat persyaratan untuk mendaftar dan mendapatkan QRIS berlisensi tersebut agar tidak disalahgunakan untuk tujuan lain seperti pada kasus quishing.

Ya, sama kayak daftar akun pada umumnya, kita mesti KYC, upload KTP, dan foto diri. Ini pernah saya alami ketika mau bikin gopay merchant. Walau saya sudah KYC di aplikasi GoPay dan terhubung dengan akun utamanya, tetap saja harus diverifikasi kembali di aplikasi gopay merchant-nya.

Kalau kasus quishing di crypto tentunya lebih mudah karena bisa langsung share address atau link ke web phishing dalam bentuk QR Code untuk menipu usernya tanpa perlu mendaftar seperti untuk mendapatkan  QRIS Merchant berlisensi.

Ini juga gak sembarangan, kalau yang ditempel itu qris palsu address btc bikin bingung juga bagi pemula yang gak paham apa itu btc. Kalau untuk yang pro mungkin sadar langsung kalau itu qris palsu karena biasanya nama bank, tapi yang tampil address btc (misalnya)

Nah kecuali kalau qris exchange kayak indodax atau tokocryto. Misal kita generate qris deposit dari tokocrypto, lalu ditempel sehingga masuk ke akun exchange pembuat qris palsu. Karena setahu saya untuk deposit ke exchange itu bebas pakai nama siapa saja, kecuali kalau penarikan (mesti nama asli akun bersangkutan)