Meja nomor 17 di sebuah kafe dekat stasiun punya tiga benda.
Nomor meja.
Bekas lingkaran air dari gelas sebelumnya.
Satu QR code kecil bertuliskan:
MENU & ORDER HERE.
Tio duduk, meletakkan laptop, lalu mengarahkan kamera ponsel.
Sebelum menekan link, temannya, Sasa, menarik tangan Tio sedikit.
“Nama domainnya apa?”
Tio melihat.
“Kayak nama kafenya.”
“Kayak?”
Tio memperbesar.
Satu huruf berbeda.
Dia menatap stiker QR.
Di sudut bawah, terlihat seperti ada lapisan sticker kedua menutupi QR asli.
Mereka memanggil staff.
Staff melihat.
“Ini bukan sticker dari kami, Kak.”
QR code memang praktis.
Di Jakarta, kita melihatnya di meja kafe, parkiran, poster event, brosur, pembayaran, menu, feedback form, WiFi, sampai pintu gedung.
Masalahnya, QR code punya satu kelemahan sosial yang sederhana:
manusia tidak bisa membaca destination-nya dengan mata telanjang.
Kita melihat kotak hitam-putih.
Lalu percaya.
QR code bukan otomatis berbahaya
Ini penting.
Jangan membuat setiap QR terasa seperti jebakan.
Sebagian besar QR yang kita scan setiap hari memang legitimate.
Menu.
QRIS.
Ticket.
Login.
Form.
Yang perlu berubah adalah kebiasaan:
scan bukan berarti langsung percaya.
Federal Trade Commission di AS pernah mengingatkan bahwa penipu dapat menaruh QR code yang mengarah ke situs palsu, termasuk situs yang meniru layanan asli untuk mencuri username, password, atau informasi pembayaran.
Risikonya datang dari destination dan konteks, bukan dari bentuk QR itu sendiri.
Lihat URL sebelum lanjut
Ponsel modern biasanya menampilkan preview link setelah QR dipindai.
Jangan langsung tap.
Baca.
Misalnya kafe bernama Kopi Sudut.
QR seharusnya menuju domain atau layanan order yang memang masuk akal.
Kalau muncul:
kopisudutt-login.example
atau domain random yang tidak pernah disebut staff,
berhenti.
Sasa berkata:
“Huruf typo satu itu memang sengaja bikin orang buru-buru.”
Tio:
“Gue tadi nggak baca sama sekali.”
Itulah kebiasaan yang dimanfaatkan phishing.
Sticker fisik bisa ditumpuk
QR meja punya risiko unik.
Ia benda fisik yang bisa disentuh siapa pun.
Seseorang bisa menempel QR lain di atas sticker asli.
Tidak berarti ini sering terjadi di semua kafe.
Tapi secara teknis mudah.
Sebelum scan:
lihat apakah sticker tampak baru,
berlapis,
miring,
berbeda branding,
atau menutupi cetakan lama.
Kalau aneh, tanya staff.
QR pembayaran perlu perhatian ekstra
Tio pernah membayar di warung.
Scan QR.
Nama merchant di layar muncul berbeda.
Dia berhenti.
Kasir berkata:
“Wah, jangan lanjut dulu.”
Bagus.
Untuk QR pembayaran, jangan hanya cocokkan nominal.
Lihat nama merchant yang ditampilkan aplikasi pembayaran.
Kalau tidak sesuai, jangan konfirmasi.
Staff perlu mengecek QR fisiknya.
Jangan transfer hanya karena QR ada di meja
Kafe punya QR menu.
Lalu halaman meminta:
nomor kartu,
OTP,
PIN bank.
Red flag.
Menu tidak perlu PIN bank.
Kalau proses pembayaran memang dilakukan setelah order, pastikan halaman dan metode pembayarannya sesuai sistem resmi yang digunakan merchant.
QR code bisa menghapus satu lapisan skeptisisme
Kalau seseorang mengirim link panjang:
https://random-login-example…
kita mungkin curiga.
Kalau link itu diubah menjadi QR cantik dengan logo?
Lebih mudah dipercaya.
Visual QR terasa netral.
Padahal QR hanya encoding.
Ia bisa membawa ke URL baik atau buruk.
Poster event juga perlu dicek
Sasa pernah melihat poster:
“Gratis tiket konser, scan sekarang.”
Ada logo sponsor.
Desain bagus.
QR mengarah ke form yang meminta:
email,
password email,
nomor kartu,
OTP.
Dia tutup.
Event registration normalnya mungkin meminta nama dan kontak.
Tapi tidak perlu password email.
Jangan biarkan visual profesional menggantikan logika.
Jika QR datang lewat email, SMS, atau chat, lebih skeptis
FTC secara spesifik mengingatkan QR dalam pesan tak terduga, terutama yang mendorong tindakan cepat.
“Package gagal dikirim.”
“Account akan ditutup.”
“Bayar denda sekarang.”
“Scan untuk verifikasi.”
Urgency adalah sinyal.
Kalau pesan mengaku dari bank atau layanan tertentu, buka aplikasi resmi sendiri.
Jangan gunakan QR dari pesan.
QR untuk login punya konteks berbeda
WhatsApp Web.
Passkey cross-device.
Streaming TV.
Layanan tertentu memang menggunakan QR untuk login.
Dalam konteks ini:
pastikan kita sendiri yang memulai login,
QR muncul di device yang sedang kita gunakan,
dan aplikasi ponsel yang memindai memang aplikasi resmi.
Kalau orang asing mengirim screenshot QR:
“Scan biar saya bantu login.”
Jangan.
Jangan scan QR hanya untuk lihat “isi apa”
Ada rasa penasaran.
Sticker misterius di lift.
QR di tiang.
Tulisan:
“Scan kalau berani.”
Tio:
“Gue pasti scan.”
Sasa:
“Makanya internet punya pekerjaan.”
Penasaran boleh.
Tapi QR random di ruang publik tidak punya trust context.
Kalau memang tidak perlu, lewatkan.
Browser warning jangan dibypass
Setelah scan, browser berkata:
“Deceptive site ahead.”
Jangan:
Advanced.
Proceed anyway.
Warning ada untuk alasan.
Tutup.
HTTPS bukan bukti situsnya legitimate
Gembok HTTPS hanya menunjukkan koneksi terenkripsi ke domain itu.
Situs phishing juga bisa punya HTTPS.
Jadi jangan berpikir:
“Padlock ada, aman.”
Lihat domain dan konteks.
Short URL menyulitkan pemeriksaan
QR bisa mengarah ke shortened URL.
Tidak otomatis berbahaya.
Banyak marketing platform memakai short link.
Tapi destination menjadi lebih sulit dinilai.
Jika transaksi sensitif, lebih baik buka situs resmi melalui bookmark/app atau tanya staff.
QR menu sebaiknya tidak meminta install APK
Kamu scan menu.
Lalu browser berkata:
“Download aplikasi .apk untuk melihat menu.”
Jangan.
Terutama jika tidak melalui app store resmi dan tidak ada alasan yang jelas.
Menu web seharusnya tidak membutuhkan aplikasi random.
Permission browser juga perlu dibaca
Website hasil QR meminta:
camera.
location.
contacts.
notification.
Kenapa?
Menu mungkin perlu location untuk cabang tertentu.
Contacts?
Aneh.
Berikan permission minimum.
Kafe juga punya tanggung jawab
QR security bukan hanya beban customer.
Merchant bisa:
mencetak QR terintegrasi ke meja, bukan sticker mudah ditimpa,
menambahkan nama domain di bawah QR,
memeriksa QR saat opening,
melatih staff,
dan menyediakan menu alternatif jika customer ragu.
Tulis domain di samping QR
Ini sederhana tapi bagus.
“Scan untuk menu: menu.kafenama.id”
Customer bisa membandingkan preview dengan teks.
Kalau QR mengarah ke domain lain, berhenti.
Jangan membuat QR pembayaran dan QR menu terlihat sama
Tio melihat dua sticker identik.
Satu menu.
Satu pembayaran.
Bingung.
Merchant bisa menggunakan label jelas:
MENU.
PAYMENT.
FEEDBACK.
Human factors matters.
Security yang bagus tidak boleh bergantung pada customer menebak.
QRIS memiliki konteks pembayaran resmi sendiri
Kalau merchant memakai QRIS, aplikasi pembayaran biasanya menampilkan informasi merchant sebelum user menyelesaikan transaksi.
Customer perlu membaca layar itu.
Jangan hanya scan lalu tap cepat karena antrean.
Tiga detik verifikasi cukup.
Staff juga jangan mengambil ponsel customer untuk “membantu”
Customer bingung.
Staff:
“Sini HP-nya.”
Lebih baik tunjukkan langkah tanpa perlu memegang perangkat, terutama saat aplikasi bank/payment terbuka.
Privacy kecil seperti ini membentuk trust.
Jangan foto QR login lalu kirim ke orang lain
QR login tertentu mengandung session challenge.
Kalau dibagikan, orang lain bisa mencoba menggunakannya dalam konteks tertentu.
Perlakukan QR autentikasi seperti credential sementara.
Screenshot QR tiket juga sensitif
Ini akan relevan lagi di tiket event.
Kalau QR dipakai untuk entry, jangan posting sebelum digunakan.
Orang lain bisa mencoba menyalahgunakan atau menyalin.
Tidak semua sistem menerima duplicate karena ada server-side validation, tapi jangan mengambil risiko.
Kalau terlanjur scan QR mencurigakan tapi belum memasukkan data
Tutup halaman.
Tidak perlu panik.
Scan sendiri tidak selalu berarti device compromised.
Risk lebih tinggi jika:
download/install sesuatu,
memberi permission,
memasukkan password,
OTP,
atau data pembayaran.
Periksa apa yang dilakukan.
Kalau sudah memasukkan credential di situs palsu
Ganti password akun tersebut dari situs/aplikasi resmi.
Kalau password dipakai ulang, ganti di akun lain juga.
Aktifkan MFA.
Review session/login.
Jika melibatkan pembayaran atau bank, hubungi institusi lewat kanal resmi.
Jangan mencari nomor bantuan dari halaman mencurigakan
Kalau halaman phishing memberi:
“Call customer support.”
Nomor itu bagian dari serangan bisa saja.
Cari contact dari aplikasi resmi, kartu, atau situs yang dibuka sendiri.
QR yang benar pun bisa menuju halaman yang salah konfigurasi
Kadang problem bukan penipuan.
Merchant sendiri salah menaruh link.
QR meja A menuju cabang B.
QR promo expired.
QR lama masih mengarah ke form yang sudah tidak dipakai.
Customer tetap perlu melihat apakah halaman masuk akal.
Tio pernah scan menu yang membuka form survey tahun lalu.
Dia tidak memasukkan data.
Dia memanggil staff.
Staff mengganti QR.
Security tidak selalu tentang hacker.
Kadang tentang maintenance.
Jangan menyimpan QR sensitif di galeri kalau fungsinya credential
Ada QR untuk:
login,
ticket,
WiFi corporate,
access building,
device pairing.
Kalau screenshot disimpan otomatis ke cloud personal, credential bisa tersebar ke device lain.
Setelah dipakai, hapus jika memang tidak perlu lagi dan sesuai policy.
Merchant perlu punya inventory QR
Kafe dengan 40 meja punya 40 sticker.
Kalau satu diganti orang, siapa tahu?
Manager tadi akhirnya membuat foto referensi dan nomor meja.
Opening staff mengecek visual.
Tidak harus scan semua setiap pagi.
Tapi sticker yang terlihat rusak atau berubah langsung diperiksa.
QR pada struk juga perlu konteks
“Scan untuk feedback.”
Bagus.
Tapi customer perlu tahu itu memang milik merchant.
Domain tercetak membantu.
Kalau QR feedback tiba-tiba meminta password akun Google di halaman yang bukan Google, stop.
Jangan menganggap kamera scanner selalu menampilkan destination lengkap
Sebagian aplikasi memendekkan preview.
Kalau ragu, buka detail link atau copy URL tanpa login.
Untuk transaksi sensitif, cara paling aman sering tetap membuka aplikasi resmi secara manual.
QR scam memanfaatkan kebiasaan bergerak cepat
Antrean panjang.
Orang belakang menunggu.
Kasir sibuk.
Kita ingin cepat.
Itu kondisi ideal untuk tidak membaca.
Sasa sengaja punya rule:
“Kalau menyangkut login atau uang, antrean boleh nunggu tiga detik.”
Tio:
“Tiga detik revolusioner.”
Anak dan orang tua juga perlu rule sederhana
Tidak perlu menjelaskan domain spoofing panjang.
Cukup:
kalau QR meminta password, OTP, atau transfer yang tidak kita rencanakan, berhenti dan tanya.
Rule mudah diingat lebih berguna daripada istilah teknis.
QR di parkiran juga sering memicu urgency
“Bayar sekarang.”
Portal tidak terbuka.
Petugas tidak ada.
User bisa tergoda scan sticker lain.
Kalau QR resmi rusak, gunakan mesin, aplikasi, atau petugas resmi.
Jangan mengambil QR dari poster random yang ditempel dekat gerbang.
Jangan scan QR dari layar orang asing untuk “terima uang”
Ada modus yang memanfaatkan kebingungan fungsi QR.
Kalau seseorang berkata:
“Scan ini supaya uang masuk ke kamu,”
pastikan itu benar-benar alur resmi dari aplikasi yang digunakan.
Pada banyak sistem pembayaran, scan QR berarti kita justru memulai pembayaran keluar.
Baca layar sebelum konfirmasi.
Nama merchant dan nominal adalah checkpoint manusia
Technology bisa cepat.
Human confirmation tetap terakhir.
Tio sekarang menyebut dalam hati:
nama benar,
nominal benar,
baru PIN.
Bukan ritual mistis.
Hanya mengurangi autopilot.
Tio akhirnya memesan lewat kasir
Staff melepas sticker palsu.
Di bawahnya memang ada QR asli.
Manager memotret meja dan mengecek meja lain.
Sasa berkata:
“Gue baru pertama lihat kejadian begini.”
Manager:
“Saya juga.”
Tidak ada yang perlu dramatis.
Mereka menutup celah.
Tiga hari kemudian Tio kembali
QR baru dicetak langsung dengan tulisan domain.
Tio melihat.
“Lebih bagus.”
Staff:
“Sekarang tiap opening kami cek.”
Sasa:
“Trauma menghasilkan SOP lagi.”
Tio:
“Tema hidup kita sekarang.”
QR code tidak perlu dibuat menakutkan.
Ia teknologi yang sangat berguna.
Tapi bentuknya membuat kita tidak bisa melihat isi tanpa mesin.
Karena itu, tambahkan satu kebiasaan manusia sebelum tap:
lihat konteks,
lihat fisik,
lihat URL,
lihat nama merchant,
dan tanyakan apakah permintaan setelah scan memang masuk akal.
Kotaknya boleh hitam-putih.
Keputusan kita tidak harus.