Quishing di Malaysia: RM28.67 Juta Lesap Akibat Kod QR

Quishing di Malaysia: RM28.67 Juta Lesap Akibat Kod QR

Kod QR dah jadi sebahagian daripada rutin harian kita.

Dekat kedai makan, parking, kaunter bayaran, e-wallet, sampai ke poster promosi — nampak kod, buka scanner, scan, sahkan.

Masalahnya, tabiat itu juga yang sedang dieksploitasi penipu.

Menurut laporan The Star yang dipetik Amanz pada 4 September, rakyat Malaysia mengalami kerugian RM28.67 juta akibat penipuan kod QR dalam enam bulan pertama 2026.

Angkanya bukan kecil.

Lebih menarik, peningkatan kes sejak beberapa tahun kebelakangan ini juga agak ekstrem.

Pada 2023, terdapat 223 kes. Angka itu naik kepada 655 pada 2024 dan kemudian melonjak kepada 5,907 kes pada 2025.

Dalam masa dua tahun, jumlah kes meningkat lebih 26 kali ganda.

Kerugian pula meningkat daripada RM4.59 juta pada 2023 kepada RM40.85 juta pada 2025.

Dan 2026 belum pun habis.

Jadi, apa sebenarnya quishing?

Quishing ialah gabungan QR dan phishing.

Konsepnya sebenarnya tidak baru.

Phishing menggunakan sesuatu yang kelihatan biasa — email, SMS, WhatsApp, laman web atau mesej — untuk membawa mangsa ke destinasi yang dikawal penyerang.

Quishing melakukan perkara yang sama menggunakan kod QR sebagai medium penghantaran.

Dan di sinilah masalahnya.

QR code sendiri bukan benda jahat. Ia cuma satu cara untuk encode data.

Data itu boleh berupa teks, nombor telefon, maklumat Wi-Fi, URL atau maklumat lain. Dalam banyak kes yang kita jumpa setiap hari, ia digunakan untuk membuka sesuatu URL atau memulakan proses pembayaran.

Jadi serangan sebenar bukan pada kotak hitam-putih itu.

Serangan berlaku selepas data di dalam QR tersebut digunakan.

Antara corak yang biasa digunakan:

1. Pengalihan pembayaran — QR sebenar di sesuatu lokasi diganti atau ditampal dengan QR milik penipu. Mangsa masih nampak proses pembayaran seperti biasa, tetapi duit dihantar ke destinasi yang salah.

2. Halaman pembayaran palsu — QR membawa mangsa ke laman yang kelihatan seperti portal bank, e-wallet atau perkhidmatan pembayaran sebenar.

3. Credential harvesting — mangsa diminta memasukkan username, password, OTP atau maklumat sensitif lain pada laman phishing.

4. Malicious download — QR membawa pengguna ke laman yang cuba memujuk mereka memasang aplikasi atau memuat turun fail yang tidak sepatutnya.

Playbook-nya sama seperti phishing biasa.

Bezanya cuma medium.

Phishing tradisional biasanya memberi anda pautan yang boleh dilihat dalam email atau mesej.

QR pula menyembunyikan data tersebut di sebalik corak visual.

Anda perlu scan dahulu sebelum anda tahu apa yang sebenarnya terkandung di dalamnya.

Angka di Malaysia

Data yang dilaporkan menunjukkan bagaimana masalah ini berkembang:

Angka dalam jadual: Pengarah CCID Rusdi Mohd Isa melalui The Star, September 2026 — lihat juga Fintech News Malaysia dan The Straits Times.

Selangor mencatatkan jumlah kes tertinggi, diikuti Johor dan Kuala Lumpur.

Peningkatan ini berlaku pada masa penggunaan pembayaran digital, e-commerce dan e-wallet juga semakin meluas.

Logiknya mudah.

Semakin banyak transaksi berpindah ke dunia digital, semakin banyak juga tempat yang boleh dijadikan sasaran.

Dan QR mempunyai satu kelebihan untuk penipu: ia boleh diletakkan hampir di mana-mana.

Poster.

Kaunter.

Meja restoran.

Mesin parking.

Sticker.

WhatsApp.

Media sosial.

Malah sekeping kertas yang ditinggalkan di tempat awam.

Sebagai konteks, kerugian akibat penipuan dalam talian di Malaysia mencecah berbilion ringgit pada 2025.

Penipuan QR hanyalah satu bahagian daripada masalah yang jauh lebih besar.

Antara contoh yang mudah menarik perhatian ialah scam berkaitan "Duit Raya".

Musim perayaan memang menyediakan suasana yang sempurna untuk serangan sosial seperti ini.

Orang ramai sudah biasa menerima duit raya, menghantar duit melalui e-wallet dan menggunakan QR untuk membuat pembayaran — Shopee menerima TNG eWallet melalui DuitNow QR ialah rupa aliran itu.

Penipu cuma perlu masuk ke dalam aliran tersebut.

Kenapa QR yang nampak biasa boleh jadi masalah?

Ini bahagian yang menarik dari perspektif engineering.

QR code tidak mempunyai rupa "selamat" atau "berbahaya".

Kod yang mengandungi URL phishing boleh kelihatan sama seperti kod yang mengandungi URL sah.

Contohnya:

import qrcode

qr = qrcode.make("https://example.com/login")
qr.save("qr.png")

Itu sahaja.

Tak ada magic.

Library itu akan encode data yang kita berikan menjadi QR code.

Kalau kita tukar URL:

import qrcode

qr = qrcode.make(
    "https://example-please-inspect.com/login"
)

qr.save("qr.png")

hasilnya masih kelihatan seperti QR biasa.

Sebab itu kita tak boleh menilai keselamatan QR hanya berdasarkan rupa kod itu.

Dalam serangan fizikal pula, penipu boleh menggunakan teknik yang lebih mudah lagi.

Contohnya, tampal sticker QR baru di atas QR pembayaran sebenar.

Dari jauh, semuanya nampak normal.

Mangsa cuma nampak:

Scan → bayar → selesai.

Tetapi akaun penerima sudah berubah.

Jangan keliru antara QR dan URL

Ada satu perkara yang penting untuk difahami.

QR code bukan semestinya URL.

Ia cuma format untuk encode data.

Tetapi apabila QR digunakan untuk membuka website atau memulakan sesuatu proses pembayaran, kita perlu mula berfikir tentang data itu sebagai input yang tidak semestinya dipercayai.

Sama macam link dalam email.

Sama macam link dalam WhatsApp.

Sama macam short URL.

Sama macam attachment yang datang daripada orang yang kita tak kenal.

Medium berbeza.

Prinsip keselamatan sama:

Jangan percaya hanya kerana ia kelihatan biasa.

Cara scan QR dengan lebih selamat

Nasihat asas daripada pihak berkuasa sebenarnya masuk akal: berhati-hati dengan QR yang datang daripada sumber tidak dikenali, lebih-lebih lagi apabila ia disertai unsur mendesak.

"Bayar sekarang."

"Akaun akan disekat."

"Claim hadiah."

"Verify akaun."

"Scan untuk dapat Duit Raya."

Semua ayat ini direka untuk membuatkan anda bertindak dahulu dan berfikir kemudian.

Beberapa perkara yang lebih praktikal:

1. Periksa destinasi selepas scan

Jangan terus anggap scan = selamat.

Perhatikan apa yang muncul selepas scan.

Kalau ia membuka browser, tengok domain.

Kalau ia membawa kepada pembayaran, periksa nama penerima, jumlah dan butiran transaksi sebelum tekan confirm.

Jangan bergantung kepada logo atau design laman semata-mata.

HTTPS juga bukan bukti bahawa sesuatu laman itu legitimate.

Penipu pun boleh menggunakan HTTPS.

2. Periksa QR fizikal

Kalau QR berada di premis fizikal, tengok keadaan kod itu.

Ada sticker yang ditampal?

Ada lapisan pelik?

QR kelihatan berbeza daripada yang biasa?

Kalau ya, jangan terus scan.

Untuk QR pembayaran di kedai, lebih baik tanya staf dan sahkan QR yang betul.

3. Jangan masukkan kredensial pada laman rawak

Ini antara red flag paling besar.

Kalau anda scan satu QR dan tiba-tiba diminta login bank, masukkan password e-wallet, nombor kad atau maklumat sensitif lain, berhenti.

Jangan teruskan hanya kerana laman itu nampak profesional.

4. QR dalam WhatsApp masih dianggap sebagai link

Jangan anggap sesuatu itu selamat kerana ia datang dalam bentuk gambar.

Penipu boleh hantar QR melalui WhatsApp, Telegram, email, Facebook atau mana-mana platform lain.

QR cuma mengubah cara data itu sampai kepada anda.

Kalau seseorang hantar link yang mencurigakan, kita akan berhati-hati.

QR yang mengandungi link yang sama sepatutnya mendapat tahap kewaspadaan yang sama.

5. Untuk pembayaran, semak penerima sebelum confirm

Ini mungkin langkah paling penting.

Sebelum tekan Pay, semak:

• Nama penerima
• Jumlah
• Reference
• Merchant
• Akaun atau destinasi pembayaran

Kalau maklumat tak sepadan dengan apa yang anda jangkakan, jangan teruskan.

6. Kalau tersalah bayar, bertindak cepat

Kalau anda sedar anda telah membayar kepada QR yang salah atau menjadi mangsa scam, hubungi bank atau penyedia pembayaran dengan segera.

Jangan tunggu beberapa hari dengan harapan transaksi itu boleh dibatalkan kemudian.

Dalam insiden pembayaran, masa sangat penting.

Masalah sebenar bukan QR

Bagi developer dan security people, quishing sebenarnya contoh yang menarik tentang bagaimana serangan sosial berkembang mengikut teknologi.

Dulu:

Email → link → phishing site

Kemudian:

SMS → link → phishing site

Kemudian:

WhatsApp → link → phishing site

Sekarang:

QR → scan → destination → phishing/payment scam

Teknologi berubah.

Playbook masih sama — cuma identiti penghantar semakin kabur, kerana era blasting WhatsApp sedang tamat.

Penyerang cuma memilih medium yang paling kurang mencetuskan suspicion.

Dan QR mempunyai satu kelebihan besar: ia memindahkan pemeriksaan daripada skrin kepada tindakan fizikal.

Anda tidak nampak URL panjang.

Anda tidak nampak domain.

Anda nampak sekumpulan petak hitam-putih.

Itulah sebabnya manusia cenderung untuk treat QR sebagai objek yang "neutral".

Padahal data di belakangnya tetap perlu diperiksa.

QR bukan musuh

Kita tak perlu berhenti menggunakan QR.

Malah, itu bukan penyelesaian yang realistik.

QR sudah menjadi sebahagian penting daripada ekosistem pembayaran digital Malaysia.

Yang perlu berubah ialah cara kita berinteraksi dengannya.

Jangan fikir:

"Ada QR, scan je."

Fikir:

"QR ini akan buat apa selepas aku scan?"

Itu soalan yang jauh lebih berguna.

Kalau ia membuka website, periksa destinasi.

Kalau ia meminta login, berhenti dan verify. Prinsip yang sama terpakai kepada developer yang membina aliran pengesahan — dan kalau aliran itu menyentuh data pengguna Malaysia, peraturan logging dan retention PDPA terpakai pada setiap langkahnya.

Kalau ia meminta pembayaran, periksa penerima dan jumlah.

Kalau ia datang daripada sumber yang tidak dikenali, jangan anggap ia selamat hanya kerana ia berbentuk QR.

Pada akhirnya, QR hanyalah satu lagi cara untuk menghantar data kepada kita.

Treat it like a link.

Dan seperti mana-mana link, jangan percaya hanya kerana ia nampak biasa.

Scan dengan mata, bukan dengan refleks.

---

Sumber:

• Amanz — Rakyat Malaysia Kerugian RM28.67 Juta Akibat Penipuan Kod QR Pada H1 2026
• The Star — Cops: QR code scams on the rise
• Fintech News Malaysia — Malaysians Lose RM28.67 Million to QR Code Scams in Six Months
• The Straits Times — QR code scams on the rise in Malaysia
• Fintech News Malaysia — Malaysians Lost RM2.8 Billion to Scams in 2025
• Malay Mail — E-duit raya, QR scams drive 76pc jump in Malaysia's fraud losses

Sumber

• The Star: Cops: QR code scams on the rise
• Fintech News Malaysia: Malaysians Lose RM28.67 Million to QR Code Scams in Six Months
• The Straits Times: QR code scams on the rise in Malaysia, with $9.4 million in losses in first half of 2026