Teknik stiker
Metodenya sederhana sampai membuat kita geleng-geleng kepala. Seorang penjahat masuk ke sebuah restoran, mengincar dudukan QR code di atas meja atau di pintu masuk, lalu menempelkan stiker penutup yang baru dicetak: berisi QR code miliknya sendiri. Seluruh operasi ini memakan waktu kurang dari tiga puluh detik per meja.
Halaman palsu yang terbuka adalah tiruan nyaris sempurna dari halaman pemesanan atau pembayaran: logo yang pas, warna merek yang pas, kadang bahkan nama restorannya. Pelanggan, yakin sedang melihat menu hari ini, memasukkan detail kartu banknya di sebuah situs web penipuan.
Pada 2025 dan awal 2026, kasus-kasus terdokumentasi teramati di Lyon (Presqu'île, Confluence), Paris (arondisemen ke-11 dan ke-18), dan Bordeaux (kawasan Saint-Pierre). Tekniknya berkembang pesat: menurut platform kejahatan siber Prancis, Pharos, laporan phishing lewat QR code melonjak 340% antara 2024 dan 2026.
Restoran yang beralih ke menu digital tanpa perlindungan fisik (QR code yang diukir, dudukan terkunci) menjadi sasaran empuk. Usaha kecil yang mencetak sendiri dudukannya di atas kertas biasa adalah yang paling rentan.
Cara mengenalinya
Sebelum memindai, periksa QR code secara fisik. Stiker palsu sering kali sedikit tidak sejajar, dengan tepi yang bertumpuk atau kualitas cetak yang berbeda dari materi lain milik restoran.
Gunakan pembaca QR yang menampilkan URL lengkap sebelum membuka tautan. Aplikasi Kamera bawaan iOS dan pembaca bawaan Android umumnya menampilkan URL, luangkan waktu sejenak untuk membacanya. Pelaku memakai typosquatting: 'carte-restaurant-lyon.com' alih-alih situs web resmi tempat tersebut.
Tingkatkan kewaspadaan Anda jika halaman yang terbuka meminta detail kartu bank hanya untuk melihat menu. Tidak ada restoran sah yang mengunci akses menu di balik pembayaran.
Jika ragu, mintalah langsung kepada staf untuk menunjukkan kartu menu atau QR code yang tampil di antarmuka admin mereka: bukan yang ada di dudukan meja.
Apa yang dilakukan Trasimène
Trasimène menyertakan perlindungan QR code secara real-time. Setiap URL yang diekstrak dari sebuah QR code dicocokkan dengan berbagai basis data phishing (Google Safe Browsing, feed milik Trasimène sendiri) sebelum halaman dimuat.
Jika URL dikenali sebagai mencurigakan atau berasal dari domain yang baru saja didaftarkan dengan ciri khas phishing, halaman diblokir dan sebuah peringatan muncul: lengkap dengan opsi untuk melaporkan QR code langsung dari aplikasi.
Perlindungan ini berjalan sepenuhnya di latar belakang, tanpa tindakan manual apa pun. Anda memindai seperti biasa; Trasimène memeriksa dalam diam.
Kewaspadaan tetap menjadi garis pertahanan pertama. Melihat sekilas sebelum memindai, membaca URL sebelum mengetik, bertanya saat ragu: kebiasaan sederhana ini sudah cukup untuk menggagalkan sebagian besar serangan QR code. Dan dengan aplikasi keamanan yang tepat, tidak ada alasan untuk tidak mengotomatiskannya.
- Cybermalveillance.gouv.fr (French national cybersecurity assistance platform), "Le « quishing » : l'hameçonnage par QR code" (2024)
- NCSC (UK National Cyber Security Centre), "QR Codes – what's the real risk?"
- National Cyber Security Centre (Switzerland / NCSC-CH), "Be careful when scanning: the hidden dangers of tampered QR codes" (2025)
- ENISA (European Union Agency for Cybersecurity), "ENISA Threat Landscape 2025" (October 2025)
Lindungi diri Anda dari phishing lewat QR