Mga scam sa QR code sa Asya: aral para sa mga online seller

Sa buong Asya, ang QR code na ang karaniwang paraan ng agarang pagbabayad at isa rin sa mga paboritong target ng mga scammer. Mula 2019 hanggang 2026, inilarawan ng pulisya at mga regulator sa Singapore, Malaysia, Thailand, Pilipinas, Hong Kong at India ang parehong apat na modus: pinalitan o tinakpan ang orihinal na QR code, pekeng payment page, QR code na kumukuha ng pera sa taong akala ay tatanggap siya, at mga account na pinagdadaanan para mabilis na maikalat ang pera. Para sa nagbebenta online sa mga merkadong ito, simple ang aral: ang pinakamahinang bahagi ay ang sandaling nakikita ng buyer ang QR code at inaaprubahan ang bayad, at nangyayari iyon sa mismong page ng merchant.

Bakit naging target ang QR ng instant payment

Ang QR Ph sa Pilipinas, PayNow at SGQR sa Singapore, DuitNow sa Malaysia, PromptPay sa Thailand, FPS sa Hong Kong at UPI sa India ay may parehong lohika ng Pix, ang instant payment system ng Brazil: ini-scan ng nagbabayad ang code, tinitingnan ang halaga sa banking o e-wallet app, at inaaprubahan ang transfer. Agad na lumilipat ang pera. Walang card terminal, card network o madaling chargeback sa gitna.

Ang pagiging simple nito ang lakas ng mga sistemang ito, at iyon din ang sinasamantala ng mga scammer. Kung sino ang may kontrol sa QR code, siya ang may kontrol kung saan mapupunta ang pera. At dahil ang nagbabayad mismo ang nag-aapruba ng transfer, mukhang ordinaryong transaksyon sa bangko ang nailihis na bayad.

Apat na modus na paulit-ulit

1. Pinalitan o tinakpang QR code. Ito ang pinakamadalas banggitin. Noong Mayo 2023, sabay na nagbabala ang Cyber Security Agency of Singapore (CSA) at ang Singapore Police Force (SPF) na puwedeng pakialaman ang payment QR code ng mga negosyo para mapunta ang pera sa scammer, at pinayuhan ang publiko na bantayan ang mga code na idinikit sa ibabaw ng orihinal. Dito sa Pilipinas, ayon sa lokal na media, inulit ng isang opisyal ng Bangko Sentral ng Pilipinas (BSP) ang babala noong Abril 2026, at binanggit ang mga sticker na idinidikit sa QR code ng merchant. Noong Hulyo 2026, lumampas pa sa pisikal na counter ang Philippine National Police (PNP): inilarawan nito ang pagpapalit ng payment QR code ng mga seller at nag-anunsyo ng pakikipagtulungan sa DICT at DTI laban sa mga nagkakalat ng pekeng QR code, lalo na sa mga online selling platform.

2. Pekeng payment page. Puwede ring daan ang QR code papunta sa mga site na gumagaya sa bangko, tindahan o payment gateway. Noong Setyembre 2026, isinama ng direktor ng commercial crime department ng pulisya ng Malaysia na si Rusdi Mohd Isa ang mga pekeng payment gateway at pekeng payment QR code na naglilihis ng pera sa account ng sindikato sa mga kasalukuyang modus. Payo naman ng BSP: silipin muna ang address bago buksan ang link, at huwag maglagay ng financial details sa page na naabot sa pag-scan ng QR.

3. QR code na naniningil imbes na magbayad. Dito, ang seller ang target. Nagpapanggap na buyer ang scammer, sinasabing magbabayad siya, at nagpapadala ng QR code o link para “matanggap” daw ng seller ang pera. Kapag na-scan at inaprubahan, ang biktima pa ang nagbabayad. Ganito mismo ang inilarawan ng pulisya ng Malaysia laban sa mga online seller, at idiniin nila na sa DuitNow QR, ipapakita lang ng tatanggap ang sarili niyang code. Sa India, nagbabala ang Reserve Bank (RBI) noong 2022 na hindi kailangang mag-scan ng QR o maglagay ng PIN para tumanggap ng pera, at inaabuso ng mga manloloko ang collect request ng UPI gamit ang mensaheng humihingi ng PIN para “tumanggap”. Sa Thailand, malinaw ang buod ng isang ulat ng Thai PBS batay sa gabay ng pulisya: kung sino ang nag-scan, siya ang nagbabayad.

4. Mga money mule account. Walang scam na gagana kung walang account na tatanggap at mabilis na magpapasa ng pera. Kaya namumuhunan ang mga merkadong ito sa pagsusuri bago magbayad. Sa Malaysia, may SemakMule portal ang pulisya para i-check ang bank account, numero ng telepono at pangalan ng kumpanya. Sa Hong Kong, inilunsad ng Hong Kong Monetary Authority (HKMA) noong Nobyembre 2023 ang isang alert sa FPS batay sa Scameter ng pulisya: 44 na bangko at e-wallet operator ang nagbababala na sa user kapag ang identifier ng tatanggap (numero ng telepono, email o FPS ID) ay naka-flag na high risk.

Ano ang hinihingi ng mga awtoridad

Nagtutugma ang mga payo sa ilang punto:

• Tingnan ang pangalan ng tatanggap at ang halaga sa app bago kumpirmahin (Singapore, Hong Kong, Thailand).
• Mag-ingat sa QR code na ipinadala sa mensahe, social media o galing sa hindi kilalang source (Singapore, Malaysia, Pilipinas).
• Huwag kailanman mag-scan ng QR code o maglagay ng PIN, password o OTP para tumanggap ng pera (Malaysia, India, Thailand).
• Suriin ang pisikal na code kung may sticker na nakatakip sa orihinal (Singapore, Pilipinas).
• Sa panig ng mga institusyon, sinabi na ng Hong Kong noong 2019, sa opisyal na sagot sa Legislative Council, na dapat beripikahin ng mga bangko at wallet na tunay ang QR code at ipakita ang pangalan ng tatanggap bago magbayad.

Mapapansin na halos lahat ay umaasa sa buyer na may susuriin siya. Nakakatulong iyon, pero hindi sapat kapag maayos ang pagkakapalit.

Ang kahalintulad sa Pix: lumipat sa checkout ang palitan

Sa Brazil, lumipat na ang parehong ideya mula sa sticker papunta sa website. Noong Setyembre 2026, ibinunyag ng Kaspersky ang isang kampanya na pinapalitan ang Pix QR code at copy-and-paste code sa checkout page ng mga lehitimong tindahan sa sandaling piliin ng customer ang Pix. Natukoy ang 90 maliit at katamtamang tindahan na may iisang pagkakapareho: Magento na hindi naaalagaan. Aktibo ang kampanya mula Hunyo 2025. Para sa merchant, mukhang abandonado o pending ang order; ilang araw pa bago mapansin ng customer, at nakadaan na ang pera sa mga mule account, kaya mas mahirap itong mabawi sa refund mechanism ng central bank ng Brazil (MED). Tingnan kung paano gumagana ang atakeng ito sa page tungkol sa proteksyon ng Pix sa checkout.

Walang pumipigil sa parehong uri ng code na gawin ito sa QR Ph, PayNow o UPI: nababanggit na nga ng PNP ang pinalitang QR code ng mga online seller. Ang kaibahan, sa online store ay walang makakahanap ng sticker: sa mismong page nabubuo ang pekeng QR code, tama ang halaga at magkamukha.

Checklist para sa mga merchant na nagbebenta sa mga merkadong ito

1. Gumawa ng dynamic QR code bawat order, may halaga at reference, imbes na paulit-ulit na gamitin ang iisang static code.
2. Ipakita sa page ang opisyal na pangalang lalabas sa app ng buyer at paalalahanan siyang i-check ito bago kumpirmahin.
3. Awtomatikong i-reconcile ang bawat bayad sa order at mag-alert kapag matagal nang naka-“awaiting payment” ang isang order.
4. Bawasan ang laman ng checkout: kaunting plugin at third-party script, updated na platform at extension, at two-factor login para sa admin.
5. Bantayan ang live na payment page ayon sa nakikita ng buyer, hindi lang ang code sa server.
6. Paalalahanan ang staff at customer: hindi kailanman hihilingin ng tindahan na mag-scan ng QR code o maglagay ng PIN para makatanggap ng refund.
7. Gamitin ang mga lokal na channel para mag-check at mag-report, gaya ng SemakMule at hotline 997 sa Malaysia o Scameter sa Hong Kong, at mag-report agad sa pulisya.
8. Ituring ang reklamong “nagbayad na ako pero hindi na-approve ang order” bilang posibleng senyales ng palitan, hindi lang basta delay.

Sa lahat ng merkadong ito, iisa ang sandali kung kailan nananalo ang scam: kapag nakita ng buyer ang QR code at inaprubahan ito. Pinoprotektahan ng Proteside ang sandaling iyon sa page ng tindahan: sinusuri nito, sa browser ng buyer, kung ang QR code na ipinapakita at ang code na kinokopya (QR Ph, PayNow/SGQR, DuitNow, PromptPay, FPS, UPI o Pix) ay eksaktong inilabas ng tindahan, hinaharang ang anumang palitan bago ang kumpirmasyon at inaalerto ka. Subukan nang libre sa loob ng 14 na araw.