DuitNow QR na Malásia: como funciona e como evitar o QR trocado

O DuitNow QR é o padrão nacional de pagamento por QR da Malásia: um único código, operado pela PayNet, que pode ser pago a partir de qualquer banco ou carteira digital participante. Para quem vende online, isso tem uma consequência direta: o QR exibido na página de pagamento decide quem recebe o dinheiro. Se alguém trocar esse código, o comprador paga, a transferência é instantânea e a loja não vê nada. A defesa começa por entender onde a troca acontece e o que dá para conferir antes da confirmação.

Como o DuitNow QR funciona

O DuitNow QR nasceu do Interoperable Credit Transfer Framework (ICTF), o conjunto de regras do Bank Negara Malaysia (BNM) que exigiu um QR comum e interoperável. A PayNet, operadora da infraestrutura compartilhada de pagamentos do país, ficou responsável por implementá-lo, e em 2019 os primeiros bancos e a primeira carteira digital passaram a aceitá-lo. Para o lojista, a vantagem é exibir um único código em vez de vários QR proprietários; para o comprador, é pagar com o aplicativo que já usa.

Em 30 de junho de 2026, o BNM publicou o Interoperable Fund Transfer Framework (IFTF), que substitui o ICTF. Segundo análises do texto, bancos, emissores de moeda eletrônica e credenciadores terão até 30 de junho de 2028 para desligar suas redes de QR proprietárias, sem cadastrar novos lojistas nelas durante a transição. As transações por QR passam a correr pela infraestrutura compartilhada, o que ajuda no monitoramento de fraudes, e bancos e carteiras devem enviar notificação instantânea de cada movimentação.

Na prática, o DuitNow QR tende a ser o QR de pagamento da Malásia. E quanto mais universal é um código, mais interessante ele fica para quem quer desviá-lo.

Onde o golpe do QR trocado acontece

No balcão, o golpe clássico é físico: um adesivo com outro QR colado sobre o código legítimo. Em abril de 2025, um especialista em segurança ouvido pelo jornal Sinar Harian alertou que códigos verdadeiros podem ser substituídos por falsos e recomendou conferir o nome do beneficiário logo após escanear. Antes disso, em abril de 2024, o Departamento de Investigação de Crimes Comerciais (CCID) da polícia malaia já advertia para QR impressos em brindes entregues de porta em porta, que levavam a páginas que pediam dados bancários.

No comércio online, a troca não precisa de adesivo. O QR é uma imagem que a página de pagamento gera e mostra no navegador do comprador. Um script malicioso carregado nessa página (vindo de um plugin desatualizado, de um serviço de terceiros comprometido ou de uma invasão da loja) pode substituir o QR legítimo por outro, igualmente válido, no mesmo valor. O comprador escaneia, o aplicativo mostra um nome de recebedor e, se ele não reparar, confirma. O dinheiro cai na conta do golpista em segundos.

Três detalhes tornam esse cenário perigoso:

• O código é válido. Não há erro técnico que alerte o banco: é um DuitNow QR verdadeiro, só que de outro recebedor.
• A loja não percebe na hora. O pedido fica pendente; o cliente acha que pagou à loja, e a reclamação chega depois.
• A liquidação é instantânea. Recuperar valores depende de agir muito rápido, e nem sempre é possível.

Checklist para a loja online

Uma lista prática, válida para qualquer plataforma e qualquer provedor de pagamento:

• Gere um QR dinâmico por pedido, com valor e referência, em vez de exibir um QR estático fixo. Fica mais fácil conciliar e perceber divergências.
• Mostre ao lado do QR o nome que o cliente deve ver no aplicativo (por exemplo, o nome empresarial registrado) e peça que ele confira antes de confirmar.
• Reduza o que carrega na página de pagamento. Cada script de terceiros é uma porta; mantenha só o essencial e revise a lista com frequência.
• Mantenha plataforma, tema e extensões atualizados, removendo o que não é usado.
• Concilie pelo extrato, não pela captura de tela. Libere pedidos pelo crédito confirmado no banco ou no provedor e ative as notificações instantâneas.
• Trate reclamações de "paguei e o pedido não saiu" como alerta de segurança, não só como problema de atendimento: costumam ser o primeiro sinal de troca.
• Monitore a página em produção, verificando o que o comprador realmente vê, e não apenas o código guardado no servidor.

O que orientar ao comprador

O comprador também ajuda a barrar o desvio. Vale incluir na página de pagamento, de forma breve: depois de escanear, confira o nome do beneficiário e o valor antes de autorizar; desconfie se o nome não corresponder à loja; e, se suspeitar de golpe, ligue imediatamente para o banco e para a Central Nacional de Resposta a Golpes (NSRC), no 997. Em março de 2026, o governo malaio reforçou que ligar para o 997 basta para iniciar o atendimento, sem registro policial separado, e que a rapidez aumenta a chance de bloquear os valores.

Onde entra a verificação na tela

As medidas acima reduzem o risco, mas há um ponto que só se resolve no próprio navegador do comprador: garantir que o QR exibido é exatamente o que a loja emitiu. O Proteside faz essa conferência na página de pagamento, bloqueia qualquer troca do DuitNow QR antes da confirmação e avisa a loja na hora. Veja como funciona a proteção para DuitNow. Dá para testar grátis por 14 dias, com qualquer plataforma e provedor de pagamento.