Pemindaiannya sendiri aman. Kode QR adalah sepotong teks, dan mengarahkan kamera ke sana tidak melakukan apa pun selain membaca teks itu. Semua yang bisa berjalan salah terjadi satu ketukan kemudian, saat sesuatu membuka apa yang terbaca — dan ketukan itu bisa Anda tahan.
# Apakah aman memindai kode QR?
Pemindaiannya sendiri aman. Kode QR adalah sepotong teks, dan mengarahkan kamera ke sana tidak melakukan apa pun selain membaca teks itu. Semua yang bisa berjalan salah terjadi satu ketukan kemudian, saat sesuatu membuka apa yang terbaca — dan ketukan itu bisa Anda tahan.
Terakhir diperbarui 26 Agustus 2026
## Jawaban singkatnya
Memindai itu aman. Kode QR adalah sepotong teks pendek yang digambar sebagai kotak-kotak, dan mengarahkan kamera ke sana melakukan tepat satu hal: membaca kembali teks itu. Pembacaan itu tidak bisa memasang apa pun, tidak bisa mengunjungi apa pun, dan tidak bisa menyentuh apa pun di ponsel Anda — karena alasan yang sama melihat alamat yang tertulis tidak membawa Anda ke sana.
Bahayanya dimulai satu langkah kemudian, saat sesuatu *membuka* apa yang terbaca — dan seluruh trik setiap penipuan kode QR adalah membuat langkah itu terjadi sebelum Anda sempat melihat ke mana Anda pergi. Teks di dalam kode adalah alamat yang tidak bisa dibaca siapa pun dengan mata telanjang, dan kebanyakan ponsel menjawabnya dengan satu ketukan yang terburu-buru. Pisahkan membaca dari membuka, dan penipuan itu tidak punya apa-apa lagi untuk dikerjakan.
## Apa kode QR itu sebenarnya
Di balik kotak-kotak itu tidak ada apa pun selain untaian karakter: paling banyak beberapa ribu, biasanya jauh lebih sedikit. Alamat web, nama jaringan Wi-Fi beserta kata sandinya, kartu kontak, satu baris teks. Format ini dirancang pada 1994 untuk melacak suku cadang mobil di pabrik Toyota, dan tidak berisi instruksi apa pun. Kode QR tidak bisa “berisi virus” sebagaimana papan penunjuk jalan tidak bisa.
Yang bisa dikandungnya adalah teks yang *meminta* sesuatu dari ponsel Anda: buka alamat ini, gabung ke jaringan ini, simpan kontak ini. Setiap permintaan itu adalah permohonan, bukan perintah. Kode mengusulkan; yang memindainyalah yang memutuskan. Pemindai yang menunjukkan teksnya lalu menunggu sepenuhnya aman. Pemindai yang bertindak sendiri atas teks itu telah menyerahkan keputusan kepada siapa pun yang mencetak kodenya — dan itulah seluruh perbedaan antara pemindaian yang aman dan yang berbahaya.
Satu catatan kaki, demi kejujuran: program yang mengurai kode bisa punya cacat, seperti semua program yang membaca masukan, dan cacat semacam itu memang pernah ada di pemindai selama bertahun-tahun. Tetapi risiko itu milik pemindainya, bukan kodenya, dan bukan itu yang diandalkan para penipu. Yang mereka andalkan adalah ketukannya.
## Trik stiker
Penipuan yang sudah cukup umum sampai punya nama sendiri — quishing — hampir memalukan saking sederhananya: cetak kode sendiri, tempelkan di atas yang asli, tunggu. Di mesin parkir, tempat kode palsu mengarah ke halaman pembayaran yang mirip milik pemerintah kota. Di meja restoran, di atas menu. Di kartu pemberitahuan paket yang diselipkan ke pintu, di samping kata-kata “kami tidak menemukan Anda di rumah”.
Perhatikan apa yang membuatnya berhasil. Bukan kecanggihan teknis — tidak ada sama sekali. Melainkan karena kode QR adalah satu-satunya jenis alamat yang tidak bisa dibaca orang sebelum diikuti. Alamat web yang culas, jika ditulis dengan huruf, membongkar dirinya sendiri kepada siapa pun yang melihat; alamat yang sama, digambar sebagai kotak-kotak, tampak persis seperti yang jujur. Begitu Anda bisa melihat ke mana kode itu pergi, Anda sudah berada di sana, di halaman yang dibangun agar mirip halaman yang Anda harapkan, yang menanyakan nomor kartu Anda.
Pertahanannya bukan berhenti memindai. Pertahanannya adalah melihat alamat itu *di antara* pemindaian dan kunjungan, yang memakan waktu sekitar dua detik dan mematahkan trik itu sepenuhnya.
## Tiga cara sebuah alamat berbohong
Dua detik menatap sudah cukup, tetapi hanya jika Anda tahu apa yang harus ditatap. Ada tiga rupa yang tampak jujur yang dipakai alamat culas, dan ketiganya layak dikenali dari wajahnya.
### 1. Nama sebelum @
Alamat web boleh membawa nama pengguna, ditulis sebelum tanda `@`: semua yang ada sebelum `@` hanyalah hiasan, dan tujuan sebenarnya dimulai setelahnya. `[email protected]` tidak pergi ke bank Anda. Ia pergi ke `evil.example`, sambil membawa “bankanda.co.id” sebagai nama login yang tak bermakna. Mata membaca awal sebuah alamat; peramban membaca akhirnya.
### 2. Huruf yang bukan huruf yang tampak
Abjad-abjad saling tumpang tindih. Huruf Sirilik `а` digambar persis seperti `a` Latin, dan alamat yang ditulis dengannya adalah alamat berbeda yang di layar tampak identik. Trik ini punya nama — serangan homograf — dan itulah sebabnya sebuah tujuan bisa cocok huruf demi huruf dengan yang Anda percaya dan tetap berada di tempat lain.
### 3. Perhentian pertama yang jujur
Alamat di dalam kode bisa saja benar-benar terhormat — pemendek tautan, pengalihan pemasaran, pelacak klik milik mesin pencari — dan sekadar *meneruskan* Anda ke tempat yang tidak terhormat. Alamat pertama lolos pemeriksaan; tujuannya diputuskan oleh sebuah server saat Anda sudah berangkat. Alamat yang dipendekkan di kode cetakan tidak membuktikan ada yang salah, tetapi ia berarti alamat yang bisa Anda periksa bukanlah alamat tempat Anda akan tiba.
## Cara memindai dengan aman
Aturannya satu kalimat: **baca dulu, buka kemudian, dan jangan pernah biarkan satu gerakan melakukan keduanya.** Dalam praktik:
- Pakai pemindai yang menunjukkan teks hasil pindaian lalu berhenti. Kebanyakan kamera ponsel menampilkan tujuan dalam spanduk kecil sebelum membukanya — baca spanduknya alih-alih mengetuknya karena refleks, dan baca *akhir* alamatnya, bukan awalnya.
- Curigalah paling keras di tempat taruhannya paling tinggi dan permukaannya publik: apa pun yang berakhir dengan pembayaran, apa pun yang hidup di luar ruangan. Kode di mesin parkir pantas dipikirkan lebih lama daripada kode di label museum.
- Kode yang langsung mengarah ke halaman login atau data kartu adalah saatnya berhenti dan mengetik sendiri alamat yang sudah Anda kenal. Versi asli halaman itu tidak pernah lebih jauh dari beberapa ketukan papan ketik.
- Kode Wi-Fi dan kartu kontak pantas mendapat jeda yang sama: yang satu meminta ponsel Anda mengingat sebuah jaringan, yang lain menyimpan seseorang. Keduanya boleh-boleh saja diterima secara sadar, dan tak satu pun semestinya terjadi diam-diam.
## Bagaimana pembaca di sini berperilaku
Situs ini punya [pembaca kode QR dan kode batang](https://abox.tools/id/pindai-kode-qr/), dan ia dibangun di atas aturan yang diperjuangkan halaman ini: **ia tidak pernah membuka apa pun.** Teks hasil pindaian dicetak utuh, host yang benar-benar akan dicapai alamat itu ditarik ke barisnya sendiri, dan tiga penyamaran di atas diperiksa lalu disebutkan namanya bila muncul. Membuka tautan adalah tombol terpisah, ditekan setelah membaca — atau tidak sama sekali.
Pembacaannya sendiri terjadi di mesin Anda. Gambar yang Anda pindai diurai di peramban Anda dan tidak dikirim ke mana pun, sehingga kode yang Anda curigai bisa diperiksa tanpa siapa pun — termasuk situs ini — mengetahui isinya; halamannya tetap bekerja dengan Wi-Fi dimatikan, dan itu cara termudah menguji klaim tersebut. Dan muatan yang terang-terangan jahat, seperti alamat `javascript:` yang akan menjalankan kode pada siapa pun yang membukanya, tidak diberi tautan sama sekali dan disebut apa adanya.
Separuh lainnya juga ada: sebuah [pembuat kode QR](https://abox.tools/id/buat-kode-qr/) yang menggambar kode di mesin Anda sendiri, dan panduan pendampingnya tentang [membuat kode dan membuktikannya terbaca](https://abox.tools/id/panduan/membuat-kode-qr-dan-membuktikannya-terbaca/) sebelum naik cetak. Dan jika di balik pertanyaan Anda ada pertanyaan yang lebih luas — apa yang sebenarnya terjadi saat menyerahkan apa pun ke sebuah situs web — itu punya [halamannya sendiri](https://abox.tools/id/panduan/apakah-aman-mengunggah-file/).
Jawaban singkatnya
Memindai itu aman. Kode QR adalah sepotong teks pendek yang digambar sebagai kotak-kotak, dan mengarahkan kamera ke sana melakukan tepat satu hal: membaca kembali teks itu. Pembacaan itu tidak bisa memasang apa pun, tidak bisa mengunjungi apa pun, dan tidak bisa menyentuh apa pun di ponsel Anda — karena alasan yang sama melihat alamat yang tertulis tidak membawa Anda ke sana.
Bahayanya dimulai satu langkah kemudian, saat sesuatu membuka apa yang terbaca — dan seluruh trik setiap penipuan kode QR adalah membuat langkah itu terjadi sebelum Anda sempat melihat ke mana Anda pergi. Teks di dalam kode adalah alamat yang tidak bisa dibaca siapa pun dengan mata telanjang, dan kebanyakan ponsel menjawabnya dengan satu ketukan yang terburu-buru. Pisahkan membaca dari membuka, dan penipuan itu tidak punya apa-apa lagi untuk dikerjakan.
Apa kode QR itu sebenarnya
Di balik kotak-kotak itu tidak ada apa pun selain untaian karakter: paling banyak beberapa ribu, biasanya jauh lebih sedikit. Alamat web, nama jaringan Wi-Fi beserta kata sandinya, kartu kontak, satu baris teks. Format ini dirancang pada 1994 untuk melacak suku cadang mobil di pabrik Toyota, dan tidak berisi instruksi apa pun. Kode QR tidak bisa “berisi virus” sebagaimana papan penunjuk jalan tidak bisa.
Yang bisa dikandungnya adalah teks yang meminta sesuatu dari ponsel Anda: buka alamat ini, gabung ke jaringan ini, simpan kontak ini. Setiap permintaan itu adalah permohonan, bukan perintah. Kode mengusulkan; yang memindainyalah yang memutuskan. Pemindai yang menunjukkan teksnya lalu menunggu sepenuhnya aman. Pemindai yang bertindak sendiri atas teks itu telah menyerahkan keputusan kepada siapa pun yang mencetak kodenya — dan itulah seluruh perbedaan antara pemindaian yang aman dan yang berbahaya.
Satu catatan kaki, demi kejujuran: program yang mengurai kode bisa punya cacat, seperti semua program yang membaca masukan, dan cacat semacam itu memang pernah ada di pemindai selama bertahun-tahun. Tetapi risiko itu milik pemindainya, bukan kodenya, dan bukan itu yang diandalkan para penipu. Yang mereka andalkan adalah ketukannya.
Trik stiker
Penipuan yang sudah cukup umum sampai punya nama sendiri — quishing — hampir memalukan saking sederhananya: cetak kode sendiri, tempelkan di atas yang asli, tunggu. Di mesin parkir, tempat kode palsu mengarah ke halaman pembayaran yang mirip milik pemerintah kota. Di meja restoran, di atas menu. Di kartu pemberitahuan paket yang diselipkan ke pintu, di samping kata-kata “kami tidak menemukan Anda di rumah”.
Perhatikan apa yang membuatnya berhasil. Bukan kecanggihan teknis — tidak ada sama sekali. Melainkan karena kode QR adalah satu-satunya jenis alamat yang tidak bisa dibaca orang sebelum diikuti. Alamat web yang culas, jika ditulis dengan huruf, membongkar dirinya sendiri kepada siapa pun yang melihat; alamat yang sama, digambar sebagai kotak-kotak, tampak persis seperti yang jujur. Begitu Anda bisa melihat ke mana kode itu pergi, Anda sudah berada di sana, di halaman yang dibangun agar mirip halaman yang Anda harapkan, yang menanyakan nomor kartu Anda.
Pertahanannya bukan berhenti memindai. Pertahanannya adalah melihat alamat itu di antara pemindaian dan kunjungan, yang memakan waktu sekitar dua detik dan mematahkan trik itu sepenuhnya.
Tiga cara sebuah alamat berbohong
Dua detik menatap sudah cukup, tetapi hanya jika Anda tahu apa yang harus ditatap. Ada tiga rupa yang tampak jujur yang dipakai alamat culas, dan ketiganya layak dikenali dari wajahnya.
1. Nama sebelum @
Alamat web boleh membawa nama pengguna, ditulis sebelum tanda @: semua yang ada sebelum @ hanyalah hiasan, dan tujuan sebenarnya dimulai setelahnya. [email protected] tidak pergi ke bank Anda. Ia pergi ke evil.example, sambil membawa “bankanda.co.id” sebagai nama login yang tak bermakna. Mata membaca awal sebuah alamat; peramban membaca akhirnya.
2. Huruf yang bukan huruf yang tampak
Abjad-abjad saling tumpang tindih. Huruf Sirilik а digambar persis seperti a Latin, dan alamat yang ditulis dengannya adalah alamat berbeda yang di layar tampak identik. Trik ini punya nama — serangan homograf — dan itulah sebabnya sebuah tujuan bisa cocok huruf demi huruf dengan yang Anda percaya dan tetap berada di tempat lain.
3. Perhentian pertama yang jujur
Alamat di dalam kode bisa saja benar-benar terhormat — pemendek tautan, pengalihan pemasaran, pelacak klik milik mesin pencari — dan sekadar meneruskan Anda ke tempat yang tidak terhormat. Alamat pertama lolos pemeriksaan; tujuannya diputuskan oleh sebuah server saat Anda sudah berangkat. Alamat yang dipendekkan di kode cetakan tidak membuktikan ada yang salah, tetapi ia berarti alamat yang bisa Anda periksa bukanlah alamat tempat Anda akan tiba.
Cara memindai dengan aman
Aturannya satu kalimat: baca dulu, buka kemudian, dan jangan pernah biarkan satu gerakan melakukan keduanya. Dalam praktik:
Pakai pemindai yang menunjukkan teks hasil pindaian lalu berhenti. Kebanyakan kamera ponsel menampilkan tujuan dalam spanduk kecil sebelum membukanya — baca spanduknya alih-alih mengetuknya karena refleks, dan baca akhir alamatnya, bukan awalnya.
Curigalah paling keras di tempat taruhannya paling tinggi dan permukaannya publik: apa pun yang berakhir dengan pembayaran, apa pun yang hidup di luar ruangan. Kode di mesin parkir pantas dipikirkan lebih lama daripada kode di label museum.
Kode yang langsung mengarah ke halaman login atau data kartu adalah saatnya berhenti dan mengetik sendiri alamat yang sudah Anda kenal. Versi asli halaman itu tidak pernah lebih jauh dari beberapa ketukan papan ketik.
Kode Wi-Fi dan kartu kontak pantas mendapat jeda yang sama: yang satu meminta ponsel Anda mengingat sebuah jaringan, yang lain menyimpan seseorang. Keduanya boleh-boleh saja diterima secara sadar, dan tak satu pun semestinya terjadi diam-diam.
Bagaimana pembaca di sini berperilaku
Situs ini punya pembaca kode QR dan kode batang, dan ia dibangun di atas aturan yang diperjuangkan halaman ini: ia tidak pernah membuka apa pun. Teks hasil pindaian dicetak utuh, host yang benar-benar akan dicapai alamat itu ditarik ke barisnya sendiri, dan tiga penyamaran di atas diperiksa lalu disebutkan namanya bila muncul. Membuka tautan adalah tombol terpisah, ditekan setelah membaca — atau tidak sama sekali.
Pembacaannya sendiri terjadi di mesin Anda. Gambar yang Anda pindai diurai di peramban Anda dan tidak dikirim ke mana pun, sehingga kode yang Anda curigai bisa diperiksa tanpa siapa pun — termasuk situs ini — mengetahui isinya; halamannya tetap bekerja dengan Wi-Fi dimatikan, dan itu cara termudah menguji klaim tersebut. Dan muatan yang terang-terangan jahat, seperti alamat javascript: yang akan menjalankan kode pada siapa pun yang membukanya, tidak diberi tautan sama sekali dan disebut apa adanya.
Separuh lainnya juga ada: sebuah pembuat kode QR yang menggambar kode di mesin Anda sendiri, dan panduan pendampingnya tentang membuat kode dan membuktikannya terbaca sebelum naik cetak. Dan jika di balik pertanyaan Anda ada pertanyaan yang lebih luas — apa yang sebenarnya terjadi saat menyerahkan apa pun ke sebuah situs web — itu punya halamannya sendiri.