Evolusi Quishing 2026: QR Code Phishing Generasi Baru Memanfaatkan Progressive Web Apps untuk Mencuri Kredensial Perbankan
Daftar Isi 16 bagian
Ringkasan Eksekutif
Pada tahun 2026, lanskap phishing mengalami transformasi signifikan dengan munculnya quishing generasi baru — serangan phishing yang menggabungkan distribusi melalui QR code dengan pemasangan Progressive Web Apps (PWA) untuk menciptakan pengalaman phishing yang sangat meyakinkan.
Tidak seperti halaman phishing berbasis web tradisional yang mudah diidentifikasi melalui URL yang mencurigakan atau sertifikat SSL yang tidak valid, PWA phishing muncul sebagai aplikasi mandiri di layar utama ponsel korban — lengkap dengan ikon, splash screen, dan antarmuka yang secara visual identik dengan aplikasi mobile banking asli.
Antara Januari dan Juni 2026, setidaknya tiga kampanye besar quishing + PWA telah diidentifikasi di Eropa, Amerika Latin, dan Asia Tenggara — menargetkan nasabah lebih dari 40 institusi keuangan. Kerugian yang dilaporkan mencapai puluhan juta dolar. Kampanye terbaru pada Juli 2026 menunjukkan perluasan target ke platform cryptocurrency dan dompet digital seperti DANA, GoPay, OVO, dan ShopeePay di Indonesia.
Evolusi dari Phishing Tradisional ke Quishing + PWA
Fase 1: Phishing Email Tradisional (2010-2020)
Struktur ini terdiri dari beberapa komponen utama:
- EMAIL → LINK → HALAMAN PHISHING
### Fase 2: Phishing Mobile-First (2020-2024)
Struktur ini terdiri dari beberapa komponen utama:
- SMS → LINK → MOBILE PHISHING PAGE
Fase 3: Quishing + PWA (2025-2026)
Struktur ini terdiri dari beberapa komponen utama:
- QR CODE → WEBSITE → INSTALL PWA → APLIKASI PALSU
## Mengapa QR Code Menjadi Vektor Serangan yang Efektif
### Trust Without Verification
QR code unggul dalam mengeksploitasi kelemahan fundamental dalam psikologi keamanan modern: **kepercayaan tanpa verifikasi**. Pengguna telah dikondisikan untuk memindai QR code tanpa memeriksa URL tujuan — baik untuk menu restoran, pembayaran, check-in acara, atau akses WiFi.
**QR CODE TRUST PSYCHOLOGY**
**QR**
QR code dipersepsikan sebagai:
- Resmi dan terpercaya (digunakan oleh bank, restoran)
- Aman (tidak ada teks URL yang mencurigakan)
- Praktis (cepat, tidak perlu mengetik)
Realitas:
- QR code adalah URL yang dikodekan — bisa mengarah
ke mana saja
- Tidak ada mekanisme verifikasi bawaan
- Tidak ada "green padlock" atau indikator keamanan
sebelum URL dibuka
### Statistik Penggunaan QR Code
- **85% pengguna smartphone** pernah memindai QR code setidaknya sekali
- **62% pengguna mobile banking** di Indonesia menggunakan QR code untuk transaksi (QRIS)
- **Hanya 12% pengguna** yang secara konsisten memeriksa URL setelah memindai QR code
- **47% tidak tahu** bahwa QR code dapat dimanipulasi untuk mengarah ke situs berbahaya
## Anatomi Serangan Quishing + PWA
### Fase Serangan
**COMPLETE QUISHING + PWA ATTACK CHAIN**
**COMPLETE**
STEP 1: QR CODE DISTRIBUTION QR code didistribusikan melalui:
- Email phishing (menyamar sebagai bank atau e-commerce)
- WhatsApp / Telegram broadcast
- Stiker palsu di tempat umum (ATM, restoran, parkir)
- Surat fisik (menyamar sebagai pemberitahuan resmi)
- Media sosial (posting, story, direct message)
STEP 2: LANDING PAGE
Korban memindai QR code → dibawa ke landing page
Landing page meniru halaman resmi bank/dompet digital:
- Logo, warna, dan tipografi identik
- Pesan: "Update aplikasi diperlukan" atau
"Verifikasi akun untuk keamanan"
- Tombol "Install" atau "Update Sekarang"
STEP 3: PWA INSTALLATION Ketika korban mengklik "Install":
- Browser menampilkan dialog "Add to Home Screen"
- PWA diinstal sebagai aplikasi mandiri di home screen
- Ikon, nama, dan splash screen identik dengan asli
- Service worker terdaftar — persistence aktif
STEP 4: CREDENTIAL HARVESTING Korban membuka "aplikasi" dan diminta login:
- Username/email + password
- PIN / kode akses
- OTP 2FA (jika diminta — langsung dikirim ke attacker)
- Data tambahan: nomor kartu, CVV, tanggal kedaluwarsa
- Izin perangkat: kamera, kontak, SMS, lokasi
STEP 5: REAL-TIME EXPLOITATION
Kredensial yang dicuri langsung digunakan oleh attacker:
- Login ke akun banking korban secara real-time
- Transfer dana ke akun mule
- Pembelian online dengan kartu kredit
- Perubahan limit transfer dan penambahan rekening tujuan
- OTP yang dikirim bank di-intercept oleh PWA phishing
### Implementasi Teknis PWA Phishing
Secara teknis, PWA phishing diimplementasikan menggunakan tiga file kunci:
```javascript
// service-worker.js — Service Worker PWA Phishing
// Memberikan persistence dan offline capability
const CACHE_NAME = 'banking-app-v2.4.1';
self.addEventListener('install', (event) => {
event.waitUntil(
caches.open(CACHE_NAME).then((cache) => {
return cache.addAll([
'/',
'/login',
'/dashboard',
'/styles/app.css',
'/scripts/app.js',
'/assets/logo.png',
'/assets/splash.png'
]);
})
);
});
self.addEventListener('fetch', (event) => {
event.respondWith(
caches.match(event.request).then((response) => {
// Cache-first strategy — aplikasi tetap berfungsi
// bahkan tanpa koneksi internet
return response || fetch(event.request);
})
);
});
// Service worker juga bisa:
// - Mengintersepsi semua network request
// - Mengirim data ke C2 server
// - Menerima push notifications (phishing alert palsu)
// manifest.json — Konfigurasi PWA
// Membuat aplikasi phishing tampak seperti aplikasi native
{
"name": "BCA Mobile",
"short_name": "BCA Mobile",
"description": "BCA Mobile Banking",
"start_url": "/login",
"display": "standalone",
"background_color": "#0066AE",
"theme_color": "#0066AE",
"icons": [
{
"src": "/assets/icon-192.png",
"sizes": "192x192",
"type": "image/png"
},
{
"src": "/assets/icon-512.png",
"sizes": "512x512",
"type": "image/png"
}
]
}
Kampanye Besar 2025-2026
Kampanye “BankApp” — Eropa (November 2025 - Maret 2026)
Menargetkan nasabah 17 bank di Republik Ceko, Polandia, Hungaria, dan Slovakia. Karakteristik:
- QR code didistribusikan melalui email phishing dengan subject “Pemberitahuan Keamanan Akun”
- PWA terinstal dengan nama seperti “CSOB Security”, “PKO BP Verify”, “OTP Secure”
- Kerugian yang dilaporkan: lebih dari 15 juta Euro
- Korban: lebih dari 3.000 nasabah
- Durasi operasi: 5 bulan sebelum terdeteksi
Kampanye “WalletGuard” — Amerika Latin (Februari - Juni 2026)
Menargetkan pengguna dompet digital di Brasil, Meksiko, dan Argentina:
- QR code disebarkan melalui WhatsApp groups dan status
- Menyamar sebagai “security update” untuk Mercado Pago, PicPay, dan Nubank
- PWA meminta izin akses SMS untuk intercept OTP
- Kerugian: lebih dari 8 juta USD
- Varian kampanye menggunakan SMS phishing (smishing) sebagai vektor distribusi tambahan
Kampanye Asia Tenggara — Indonesia, Malaysia, Thailand (Mei - Juli 2026)
Kampanye terbaru yang masih aktif menargetkan pengguna di Asia Tenggara:
SOUTHEAST ASIA QUISHING CAMPAIGN
SOUTHEAST
Target Institusi (Indonesia):
- Bank Mandiri (Livin’)
- BCA (BCA Mobile)
- BRI (BRImo)
- BNI (BNI Mobile)
- DANA
- GoPay
- OVO
- ShopeePay Target Institusi (Malaysia):
- Maybank (MAE)
- CIMB Clicks
- Touch ’n Go eWallet Target Institusi (Thailand):
- K PLUS (Kasikornbank)
- SCB Easy
- TrueMoney Wallet Distribusi QR Code:
- WhatsApp business messages (menyamar sebagai bank)
- Telegram channels & groups
- Instagram direct messages & story ads
- Facebook sponsored posts Unique Tactic:
- Landing page dalam Bahasa Indonesia/Melayu/Thai
- Menggunakan domain dengan TLD .id, .my, .co.th palsu
- Support chat palsu yang merespons dalam bahasa lokal
- Nomor telepon lokal untuk “customer service” palsu
Mengapa PWA Begitu Berbahaya untuk Phishing
1. Tidak Ada Indikator Keamanan Visual
Ketika PWA diinstal dan dibuka dalam mode "display": "standalone", browser chrome (address bar, padlock icon, URL) sepenuhnya tersembunyi. Pengguna tidak dapat melihat:
- Apakah koneksi menggunakan HTTPS (tidak ada padlock)
- Apa domain sebenarnya dari aplikasi
- Apakah sertifikat SSL valid
2. Persistence di Home Screen
Tidak seperti tab browser yang ditutup, PWA tetap berada di home screen korban — terus-menerus mengingatkan korban untuk “menyelesaikan verifikasi” atau “memperbarui aplikasi.” Bahkan setelah korban menyadari penipuan, mereka sering tidak tahu cara menghapus PWA (yang memerlukan navigasi ke browser settings).
3. Kemampuan Offline
Service worker PWA memungkinkan phishing page berfungsi bahkan tanpa koneksi internet — halaman login tetap muncul dan “memproses” kredensial. Ini menciptakan ilusi bahwa aplikasi “berfungsi” meskipun koneksi sedang buruk.
4. Push Notifications
PWA dapat meminta izin push notifications. Attacker dapat mengirimkan notifikasi yang tampak seperti alert keamanan resmi dari bank:
### 5. Izin Perangkat
PWA yang diinstal dapat meminta izin yang sama dengan aplikasi native:
- **Kamera** — untuk "verifikasi wajah" atau memindai KTP
- **Lokasi** — untuk "keamanan transaksi berdasarkan lokasi"
- **Kontak** — untuk "emergency contact verification"
- **SMS** — untuk "verifikasi OTP otomatis"
- **Mikrofon** — untuk "voice verification"
Dalam konteks phishing, setiap izin ini digunakan untuk mencuri lebih banyak data pribadi.
## Deteksi: Mengapa Begitu Sulit
### Tantangan untuk Individu
| Indikator | Web Phishing Tradisional | PWA Phishing |
|---|---|---|
| URL mencurigakan | Terlihat di address bar | Tidak ada address bar |
| Sertifikat SSL tidak valid | Padlock warning | Tidak ada padlock |
| Desain tidak profesional | Kadang terlihat | Desain profesional, identik dengan asli |
| Permintaan izin | Browser popup | Dialog sistem (seperti aplikasi asli) |
| Ikon aplikasi | Bookmark/favicon | Ikon penuh di home screen |
### Tantangan untuk Tim Keamanan Perusahaan
**ENTERPRISE DETECTION CHALLENGES**
**ENTERPRISE**
1. NO MALWARE SIGNATURE PWA phishing tidak menggunakan malware tradisional. Ia menggunakan teknologi web standar — HTML, CSS, JS. Antivirus dan EDR tidak mendeteksinya.
2. ENCRYPTED TRAFFIC Semua komunikasi melalui HTTPS. DPI (Deep Packet Inspection) tidak bisa melihat konten.
3. DOMAIN AGILITY
Attacker dengan cepat merotasi domain (setiap 24-48
jam). Blocklist tradisional selalu tertinggal.
4. LEGITIMATE INFRASTRUCTURE PWA phishing sering dihosting di platform cloud sah (Cloudflare Pages, Vercel, Netlify, Firebase). Memblokir platform ini tidak praktis.
5. DEVICE-LEVEL BLIND SPOT
Perangkat pribadi (BYOD) tidak memiliki kontrol keamanan yang memadai. MDM tidak bisa mendeteksi PWA phishing di perangkat.
## Dampak pada Sektor Perbankan Indonesia
### Kerentanan Spesifik Indonesia
Beberapa faktor membuat pengguna di Indonesia sangat rentan terhadap quishing + PWA:
**1. Adopsi QRIS yang Masif**
QRIS (Quick Response Code Indonesian Standard) telah menjadi metode pembayaran dominan di Indonesia. Pada 2026, lebih dari 35 juta merchant menggunakan QRIS. Ini menciptakan kebiasaan memindai QR code — kebiasaan yang dieksploitasi oleh attacker.
**2. Ketergantungan WhatsApp**
WhatsApp adalah platform komunikasi dominan di Indonesia dengan lebih dari 200 juta pengguna. QR code phishing yang disebarkan melalui WhatsApp business (dengan centang hijau "terverifikasi" yang bisa dibeli) sangat efektif.
**3. Literasi Keamanan Digital yang Bervariasi**
Dengan tingkat literasi digital yang bervariasi di populasi besar Indonesia, banyak pengguna yang tidak menyadari bahwa:
- QR code bisa berbahaya
- Aplikasi bisa diinstal di luar Play Store/App Store
- "Add to Home Screen" bukanlah instalasi aplikasi yang aman
**4. Maraknya Aplikasi Finansial**
Rata-rata pengguna smartphone di Indonesia memiliki 3-5 aplikasi finansial di ponsel mereka — mobile banking, e-wallet, paylater, dan investasi. Banyaknya aplikasi membuat pengguna lebih mudah tertipu oleh PWA phishing yang menyamar sebagai salah satu dari aplikasi tersebut.
## Rekomendasi Perlindungan
### Untuk Individu
```yaml
individual_protection:
verify_before_scan:
- periksa apakah QR code asli atau ditempel (stiker di atas stiker)
- waspada QR code di tempat umum yang tidak terverifikasi
- jangan pindai QR code dari email atau pesan yang tidak diminta
app_installation:
- hanya install aplikasi dari Google Play Store atau Apple App Store
- waspada terhadap permintaan "Add to Home Screen" dari website
- jika ragu, buka aplikasi yang sudah terinstal secara resmi
pwa_detection:
- jika "aplikasi" tidak muncul di Settings → Apps → Downloaded Apps,
itu adalah PWA, bukan aplikasi asli
- cara uninstall PWA: buka browser → Settings → Site Settings →
cari domain → Clear & Reset
account_security:
- aktifkan notifikasi real-time untuk semua transaksi
- tetapkan limit transfer harian yang rendah
- jangan bagikan OTP ke siapa pun — termasuk "customer service"
Untuk Institusi Keuangan
financial_institution_protection:
user_education:
- kirimkan peringatan berkala tentang modus quishing
- edukasi nasabah: bank tidak pernah meminta install ulang
aplikasi melalui QR code
- publikasikan daftar domain resmi dan channel komunikasi
technical_defense:
- implementasikan behavioral biometrics untuk deteksi anomali
- tetapkan batas transfer wajar — flag transaksi tidak biasa
- enforce cooling-off period untuk penambahan rekening tujuan baru
- monitor untuk domain lookalike dan phishing sites
incident_response:
- sediakan hotline 24/7 untuk pelaporan insiden
- kembangkan prosedur pemulihan akun yang cepat
- kolaborasi dengan telco untuk pemblokiran domain phishing
- laporkan ke OJK dan BSSN untuk koordinasi penanganan
Untuk Organisasi
organization_protection:
mobile_device_management:
- deploy MDM dengan kemampuan deteksi malicious configuration profiles
- enforce app allowlisting pada perangkat korporat
- disable kemampuan install PWA pada browser yang dikelola
email_and_messaging:
- implementasikan DMARC, DKIM, SPF yang ketat
- gunakan AI-based email filtering untuk deteksi QR code phishing
- block email dengan QR code embedded (kebijakan ketat)
awareness_training:
- lakukan simulasi quishing secara berkala
- latih karyawan untuk mengenali PWA phishing
- sertakan quishing dalam security awareness program
Kesimpulan
Quishing + PWA merepresentasikan evolusi phishing yang paling sophisticated hingga saat ini. Dengan menggabungkan distribusi melalui QR code — yang mengeksploitasi kebiasaan dan kepercayaan pengguna modern — dengan teknologi Progressive Web App yang menciptakan ilusi aplikasi native yang sah, serangan ini menghilangkan hampir semua indikator visual yang selama ini diandalkan pengguna untuk mengidentifikasi phishing.
Yang paling mengkhawatirkan adalah demokratisasi ancaman ini. Tidak seperti serangan malware canggih yang memerlukan keterampilan teknis tinggi, kampanye quishing + PWA dapat diluncurkan dengan tooling yang relatif sederhana. Template PWA phishing dijual di forum dark web seharga 200-500 USD — lengkap dengan landing page untuk puluhan bank, panel administrasi untuk mengelola kredensial yang dicuri, dan sistem rotasi domain otomatis.
Bagi pengguna di Indonesia, di mana QR code telah menjadi bagian integral dari kehidupan finansial sehari-hari melalui QRIS, dan WhatsApp adalah platform komunikasi utama, risiko quishing + PWA sangat tinggi. Pertahanan paling efektif adalah kesadaran: memahami bahwa tidak semua QR code aman, dan bahwa aplikasi yang diinstal di luar Play Store atau App Store — termasuk melalui “Add to Home Screen” — membawa risiko yang signifikan.
Bagi institusi keuangan, pertarungan melawan quishing + PWA memerlukan pendekatan multi-layer: edukasi nasabah yang agresif, deteksi transaksi yang mencurigakan, dan kolaborasi erat dengan regulator dan penegak hukum. Tidak ada solusi tunggal — hanya pertahanan berlapis yang dapat mengurangi dampak ancaman yang terus berkembang ini.
Artikel ini disusun berdasarkan analisis dari ESET Research, Kaspersky Threat Intelligence, Group-IB Fraud Protection, serta laporan dari OJK, BSSN, dan Bank Indonesia terkait tren penipuan digital di Indonesia sepanjang 2025-2026.
