Mulailah dengan menempatkan diri Anda pada salah satu dari tiga keadaan
Kode QR pada paket yang tidak Anda harapkan — pengirim misterius, label “pengembalian” atau “pengiriman ulang”, catatan yang meminta Anda mengonfirmasi alamat — adalah tautan yang tidak Anda minta. Pertanyaan yang berguna bukanlah “apakah paket ini asli?” melainkan “sejauh mana kode ini masuk ke akun saya?”
Gunakan tabel ini untuk menemukan keadaan Anda sebelum melakukan hal lain.
| Keadaan | Apa yang terjadi | Apa yang harus dilakukan pertama |
|---|---|---|
| A. Belum dibuka | Anda memiliki paket atau label, tetapi belum memindai kode | Jangan pindai untuk “melihat isinya.” Simpan kemasan dan catat teks pengirim, tanggal, dan tanda kurir |
| B. Hanya dipindai | Kode membuka halaman atau prompt aplikasi, tetapi Anda tidak mengetik kata sandi, kode, atau nomor kartu | Tutup halaman. Jangan masukkan apa pun. Periksa akun yang diklaim halaman tersebut melalui aplikasi resminya atau bookmark yang sudah Anda miliki |
| C. Kredensial dimasukkan | Anda mengetik kata sandi, kode sekali pakai, nomor kartu, atau detail login lain setelah memindai | Anggap akun terekspos dan lanjutkan ke langkah pemulihan di bawah |
Jangan pindai kode sebagai uji coba, bahkan pada perangkat cadangan. Pemindaian adalah langkah yang memuat halaman tersebut.
Keadaan A: kode masih belum dipindai
Anda tidak perlu mengidentifikasi pengirim untuk melindungi diri. Anda perlu menghindari penggunaan rute yang tercetak.
- Jangan pindai kode dan jangan buka tautan pendek apa pun yang tercetak di sampingnya.
- Simpan kemasan dan label. Foto label, baris pengirim, dan nomor pelacakan apa pun. Ini untuk catatan Anda sendiri, bukan bukti bahwa pengirim sah.
- Periksa apakah ada pengiriman yang benar-benar Anda pesan. Gunakan aplikasi kurir atau pengecer, atau situs yang Anda navigasi sendiri, bukan nomor telepon atau tautan pada label.
- Jika paket benar-benar tak terduga dan tidak dapat Anda cocokkan dengan pesanan, perlakukan sebagai tidak diminta. Apa yang boleh Anda lakukan dengannya bergantung pada tempat tinggal Anda; artikel ini tidak memberikan nasihat hukum untuk negara mana pun.
- Laporkan jika Anda mau. Di AS, FTC menerbitkan panduan konsumen tentang teks dan paket penipuan. Rute pelaporan berbeda di setiap negara, jadi gunakan otoritas konsumen setempat daripada menganggap proses AS berlaku.
Paket yang tiba tanpa pesanan yang cocok tidak otomatis merupakan kejahatan, dan kode QR tidak otomatis berbahaya. Intinya adalah Anda tidak dapat mengetahuinya hanya dari label, sehingga Anda tidak perlu mengambil risiko untuk mencari tahu.
FTC memperingatkan bahwa kode QR pada paket tak terduga dapat mengarah ke situs phishing yang mencuri informasi login atau pembayaran, atau ke malware. Sumber
Keadaan B: dipindai, tetapi tidak ada yang dimasukkan
Jika kode membuka halaman dan Anda berhenti sebelum mengetik apa pun, tugas utama Anda adalah mengonfirmasi keadaan akun sebenarnya melalui rute yang Anda kendalikan.
- Tutup halaman atau prompt aplikasi. Jangan “login untuk membatalkan” atau “konfirmasi pengiriman” di halaman yang dibuka kode.
- Buka aplikasi resmi layanan, atau ketik alamatnya sendiri di tab browser baru. Jangan gunakan kembali tautan dari pemindaian.
- Periksa apakah peristiwa yang diklaim benar-benar ada. Jika halaman mengatakan paket ditahan, cari pemberitahuan yang sama di area akun kurir atau pengecer itu sendiri. Jika tidak ada, halaman itu bukan pemberitahuan nyata.
- Jangan pasang apa pun yang ditawarkan halaman. Prompt pemasangan aplikasi dari kode QR paket bukan persyaratan pengiriman yang dapat Anda verifikasi.
- Catat apa yang diminta halaman — kata sandi, nomor kartu, kode sekali pakai, biaya pengiriman — agar Anda dapat menjelaskannya dengan akurat jika melaporkan.
Memindai saja tidak membuktikan akun Anda diakses. Risiko dalam keadaan ini adalah apa yang Anda lakukan selanjutnya, jadi tindakan aman berikutnya adalah berhenti menggunakan rute yang tercetak.
Keadaan C: kredensial telah dimasukkan
Inilah keadaan yang memerlukan tindakan, dan urutannya penting.
Jika kredensial akun dimasukkan setelah memindai kode semacam itu, FTC menyarankan mengganti kata sandi dan mengaktifkan autentikasi dua faktor. Sumber
Lakukan langkah-langkah ini secara berurutan, menggunakan aplikasi akun itu sendiri atau halaman yang Anda navigasi sendiri:
- Ganti kata sandi dari aplikasi atau situs resmi, bukan dari halaman yang dibuka kode.
- Aktifkan autentikasi dua faktor jika belum aktif. Utamakan aplikasi autentikator atau kunci perangkat keras daripada SMS jika akun menawarkannya.
- Ganti kata sandi yang sama di mana pun Anda menggunakannya kembali. Kata sandi yang diketik ke halaman phishing harus dianggap diketahui orang lain.
- Jika Anda memasukkan detail kartu atau bank, hubungi penerbit kartu atau bank menggunakan nomor pada kartu Anda atau aplikasi resminya. Jangan gunakan nomor atau tautan dari paket atau halaman yang dipindai. Artikel ini tidak menjanjikan bahwa pembayaran dapat dibalik.
- Pertahankan akses ke metode pemulihan Anda sampai selesai. Jangan hapus email, nomor telepon, atau kode pemulihan sebelum perubahan kata sandi dan pengaturan dua faktor dikonfirmasi berfungsi, atau Anda bisa terkunci sendiri.
- Tinjau aktivitas akun terkini di aplikasi resmi: lokasi masuk, aplikasi terhubung, aturan penerusan, dan metode pembayaran. Batalkan apa pun yang tidak Anda kenali.
Menghapus koneksi login atau mengedit profil tidak sama dengan menghapus data yang tersimpan. Jika Anda menutup akun sepenuhnya, ikuti proses penutupan dari penyedia dan pertahankan metode pemulihan yang berfungsi sampai penutupan dikonfirmasi.
Gunakan rute akun yang dikenal, bukan kode tercetak
Label paket dapat mencetak alamat, nomor telepon, atau kode QR apa pun. Itu tidak dapat membuktikan siapa pemilik tujuan. Untuk keputusan akun apa pun — reset kata sandi, konfirmasi pengiriman, pembayaran, pengembalian dana — mulailah dari rute yang sudah Anda percayai:
| Tugas | Titik awal tepercaya |
|---|---|
| Konfirmasi pengiriman | Aplikasi kurir atau pengecer, atau alamat yang Anda ketik sendiri |
| Reset kata sandi | Aplikasi atau situs resmi layanan, atau alur pemulihan akun yang didokumentasikan |
| Periksa pembayaran | Aplikasi bank atau penerbit kartu Anda, atau nomor pada kartu Anda |
| Laporkan pesan mencurigakan | Otoritas perlindungan konsumen setempat; di AS, panduan yang diterbitkan FTC |
Jika pesan mengklaim berasal dari akun dukungan dan meminta Anda memindahkan percakapan ke aplikasi chat atau “memverifikasi” dengan login, aturan yang sama berlaku: konfirmasi melalui aplikasi layanan itu sendiri. Untuk situasi terpisah itu, lihat memeriksa akun media sosial dukungan pelanggan palsu.
Kecocokan nama pengguna publik adalah petunjuk, bukan bukti kepemilikan. Jika Anda mencoba mengidentifikasi siapa di balik nama pengguna yang menghubungi Anda, pencarian nama pengguna seperti TraceSeek dapat menunjukkan di mana nama pengguna muncul di 3.000+ platform, tetapi itu tidak mengubah pengaturan akun, menerbitkan kode pemulihan, mengambil uang, atau memverifikasi identitas nyata.
Apa yang tidak boleh disimpulkan
- Tidak setiap pemindaian QR memasang malware. FTC menggambarkan phishing dan malware sebagai kemungkinan hasil; itu tidak mengatakan setiap pemindaian menyebabkan keduanya.
- Halaman yang dipindai dan tampak asli bukan bukti bahwa itu asli. Periksa peristiwa yang diklaim di dalam aplikasi layanan itu sendiri.
- Paket tanpa pesanan yang cocok tidak mengidentifikasi pengirim. Jangan anggap nama atau alamat pengembalian pada label sebagai terverifikasi.
- Aturan untuk barang yang tidak diminta berbeda di setiap negara. Artikel ini tidak memperluas aturan nasional mana pun ke pasar lain.
- Mengganti kata sandi bukan jaminan pemulihan. Itu mengurangi paparan; apakah akun atau pembayaran dipulihkan bergantung pada penyedia.
Lembar kerja singkat yang dapat Anda salin
Isi ini sebelum Anda bertindak, agar Anda tidak perlu merekonstruksinya nanti:
- Keadaan: A / B / C
- Tanggal dan waktu pemindaian (jika ada):
- Apa yang diklaim halaman atau prompt (kurir, pengecer, bank, lain-lain):
- Apa yang diminta (kata sandi / kode sekali pakai / nomor kartu / biaya / pemasangan aplikasi):
- Apa yang Anda masukkan, jika ada:
- Akun yang terpengaruh:
- Kata sandi diubah: ya / tidak — dari aplikasi atau situs resmi: ya / tidak
- Dua faktor diaktifkan: ya / tidak
- Metode pemulihan masih dapat diakses: ya / tidak
- Penerbit kartu dihubungi (jika detail kartu dimasukkan): ya / tidak
- Dilaporkan ke (otoritas setempat, kurir, pengecer):
Setelah selesai, tindakan berikutnya yang berguna adalah mengonfirmasi setiap akun yang terpengaruh dari aplikasinya sendiri: kata sandi diubah, dua faktor aktif, metode pemulihan berfungsi, dan tidak ada sesi atau aplikasi terhubung yang tidak dikenali.