Bisnis.com, JAKARTA — Lonjakan serangan phishing yang memanfaatkan kode QR terjadi pada paruh kedua 2025. Berdasarkan temuan tim riset Kaspersky, jumlah email phishing yang mengandung kode QR berbahaya meningkat lebih dari lima kali lipat hanya dalam kurun waktu tiga bulan.

Deteksi tercatat naik dari 46.969 kasus pada Agustus menjadi hampir 249.723 pada November 2025. Pakar Anti-Spam di Kaspersky Roman Dedenok menilai kode QR menjadi medium yang efektif bagi pelaku kejahatan siber.

Alasannya, kode tersebut menyediakan cara sederhana dan hemat biaya untuk menyembunyikan URL berbahaya, sehingga mampu menghindari deteksi yang umum digunakan pada sistem keamanan email konvensional.

Dalam banyak kasus, kode QR tidak lagi ditempatkan langsung di badan email, melainkan disamarkan di dalam lampiran berformat PDF. Strategi ini mendorong korban untuk memindai kode menggunakan ponsel pintar, perangkat yang kerap memiliki lapisan proteksi lebih rendah dibandingkan komputer kerja di lingkungan korporasi.

“Kode QR berbahaya telah berevolusi menjadi salah satu alat phishing paling efektif tahun ini, terutama ketika disembunyikan dalam lampiran PDF atau disamarkan sebagai komunikasi bisnis yang sah seperti pembaruan dari departemen HR,” ujarnya, dikutip Bisnis, Senin (5/1/2026).

Dengan cara ini, penyerang dapat melewati sistem pertahanan perusahaan dan langsung menargetkan kredensial pengguna. “Pertumbuhan eksplosif di bulan November menyoroti bagaimana penyerang memanfaatkan teknik penghindaran berbiaya rendah ini untuk menargetkan karyawan di perangkat seluler, di mana perlindungan seringkali minimal,” imbuhnya.

Kaspersky mengidentifikasi kode QR berbahaya umumnya muncul dalam kampanye phishing massal maupun yang ditargetkan. Ada beberapa pola serangan, diantaranya formulir phishing yang menyamar sebagai halaman login untuk layanan seperti akun Microsoft atau portal internal perusahaan, yang dirancang untuk mencuri nama pengguna, kata sandi, dan kredensial lainnya.

Pola berikutnya, pemberitahuan palsu yang mengaku dari departemen HR yang mendesak karyawan untuk meninjau atau menandatangani dokumen. Misal, jadwal liburan, atau bahkan melihat daftar staf yang diberhentikan, hingga pada akhirnya mengarahkan ke situs pencurian kredensial.

Terakhir, faktur atau konfirmasi pembelian palsu dalam lampiran PDF, sering dikombinasikan dengan taktik vishing (phishing suara) yang mendorong korban untuk menghubungi nomor telepon yang diberikan untuk membatalkan atau mengklarifikasi transaksi, sehingga memperluas serangan rekayasa sosial.

Lebih lanjut, Dedenok menyebut tanpa kemampuan analisis gambar tingkat lanjut pada gateway email serta edukasi praktik pemindaian yang aman, organisasi berisiko mengalami pencurian kredensial yang berujung pada pengambilalihan akun, kebocoran data, hingga kerugian finansial.

Merespons tren tersebut, Kaspersky mendorong perusahaan untuk memperkuat sistem keamanan email dengan solusi proteksi khusus yang mampu menyediakan pertukaran email perusahaan terpercaya dan aman, menangkal spam, infeksi melalui email, semua bentuk phishing, kompromi email bisnis (BEC), serangan kode QR, dan ancaman lainnya.