QR Ph sa Pilipinas: ang pambansang QR at mga scam sa online

Ang QR Ph ang pambansang pamantayan ng QR para sa pagbabayad sa Pilipinas: iisang format ng code na kayang basahin ng anumang kalahok na bangko o e-wallet, at agad na nasesettle ang bayad. Pinadali nito ang buhay ng mga negosyante at mamimili, pero binigyan din nito ang mga scammer ng iisang target. Ang pinakakaraniwang scam ay pinapalitan ang lehitimong QR ng iba: idinidikit sa ibabaw ng orihinal sa tindahan, o pinapalitan mismo sa payment page ng online na tindahan. Narito kung paano gumagana ang pamantayan, paano tumatakbo ang mga scam na ito at ano ang dapat gawin.

Ano ang QR Ph

Pinagtibay ng Bangko Sentral ng Pilipinas (BSP) ang pambansang QR standard sa pamamagitan ng Circular No. 1055 noong Oktubre 2019. Ang Philippine Payments Management, Inc. (PPMI), ang payment system management body na accredited ng BSP, ang bumuo ng QR Ph batay sa internasyonal na EMV standard. Layunin nitong tapusin ang pagkakawatak-watak: iisang interoperable na code para sa lahat, sa halip na hiwalay na QR para sa bawat bangko o e-wallet.

Noong 2023, ginawang mandatory ng BSP ang paggamit nito: simula Hulyo 1 ng taong iyon, ang mga payment service provider na nag-aalok ng serbisyong may QR ay kailangang gumamit at magpakita ng QR Ph sa kanilang internet at mobile channels, at hindi na pinagana ang mga proprietary na code. Inuna ang person-to-person at person-to-merchant na bayaran. Sa panig ng negosyo, dumadaan ang bayad sa QR Ph sa InstaPay, real-time at 24/7, at gumagana ang iisang merchant QR sa mahigit 40 kalahok na bangko at e-wallet, ayon sa payment provider na PayMongo.

Mga scam na tumatarget sa mamimili

Noong Abril 2026, muling nagbabala ang BSP sa publiko tungkol sa quishing, ang scam gamit ang mapanlinlang na QR code. Sa isang briefing sa Bohol, ipinaliwanag ni Gregorio Baccay III ng BSP na gumagamit ang mga manloloko ng binagong QR code para dalhin ang biktima sa pekeng website, mag-install ng mapaminsalang software o lokohin silang magpadala ng pera. Isa sa mga paraang binanggit niya ang pinakasimple: idinidikit ng scammer ang sarili niyang QR sa ibabaw ng lehitimong QR ng isang tindahan para mapunta sa kanya ang bayad ng mga customer.

Diretso ang payo ng BSP sa mga consumer: mag-scan lamang ng code mula sa mapagkakatiwalaang pinagmulan, hanapin ang palatandaan ng pakikialam (gaya ng sticker na nakapatong sa orihinal), tingnan muna ang address bago buksan ang link mula sa QR, at huwag maglagay ng impormasyong pampinansyal sa site na naabot sa pag-scan ng QR.

Kapag sa loob mismo ng online na tindahan nangyari ang palitan

Sa e-commerce, wala sa poster ang QR code: ginagawa ito ng payment page at ipinapakita sa browser ng mamimili. Dito lumilitaw ang mas mahirap mapansing bersyon. Ang isang mapanlinlang na script na tumatakbo sa page (mula sa plugin na may butas, sa third-party na serbisyong na-hack, o sa mismong pagkapasok sa tindahan) ay kayang palitan ang lehitimong QR ng isa pang valid na QR Ph sa parehong halaga. Mag-i-scan ang mamimili, magbabayad, at malalaman lang ang problema kapag hindi na-confirm ang order.

Naitala na ang ganitong senaryo sa ibang instant payment system. Noong Setyembre 2026, isiniwalat ng Kaspersky ang isang kampanyang pinapalitan ang Pix QR at copy-and-paste code sa payment page ng 90 maliliit at katamtamang online na tindahan sa Brazil; sa panig ng tindahan, lumalabas ang order na abandoned o pending. Pareho ang lohika para sa anumang QR na ipinapakita sa isang web page, kasama ang QR Ph.

Checklist para sa mga tindahang tumatanggap ng QR Ph

• Gumamit ng dynamic QR kada order, na may halaga at reference, sa halip na paulit-ulit na static na code. Mas madali ang reconciliation at mas litaw ang hindi tugma.
• Ipakita ang pangalan ng tatanggap na makikita ng customer sa app sa tabi ng QR, at hilingin sa kanilang i-check ito bago mag-confirm.
• Bawasan ang laman ng payment page: panatilihin lang ang mga script na talagang kailangan at regular na suriin kung ano ang naglo-load doon.
• I-update ang platform, theme at mga plugin, at tanggalin ang hindi ginagamit.
• I-release lang ang order kapag kumpirmado na ang pumasok na bayad sa bangko, e-wallet o provider, hindi dahil sa screenshot na ipinadala ng customer.
• Ituring na posibleng insidente ang "nagbayad ako pero hindi na-confirm", at alamin kung binago ang ipinakitang QR.
• Bantayan ang live na payment page, at tingnan kung ano talaga ang nakikita ng mamimili.

Kapag nailihis ang pera

Kumilos agad: sabihan ang customer na makipag-ugnayan kaagad sa kanyang bangko o e-wallet, at abisuhan ang iyong payment provider dala ang detalye ng order. Mula Hulyo 2024, pinaparusahan ng Anti-Financial Account Scamming Act (AFASA, Republic Act No. 12010) ang pagiging money mule para sa pera mula sa scam, pinapayagan ang mga institusyon na pansamantalang i-hold ang pondong pinagtatalunan habang bineberipika ang transaksyon, at binibigyan ang BSP ng kapangyarihang imbestigahan ang mga account na konektado sa panloloko. Habang mas maaga ang reklamo, mas malaki ang tsansang naka-hold pa ang pondo.

Pinaliliit ng mga hakbang na ito ang mapapasukan ng atake, pero ang palitan sa loob ng page ay mapipigilan lamang kung susuriin, sa screen mismo ng mamimili, na ang ipinapakitang QR ay ang inilabas ng tindahan. Iyan ang ginagawa ng Proteside sa sandali ng pagbabayad: bine-verify ang QR Ph, hinaharang ang palitan bago ang kumpirmasyon at inaalerto ang tindahan. Tingnan ang proteksyon para sa QR Ph. Subukan ito nang libre sa loob ng 14 na araw, gamit ang platform at payment provider na gamit mo na.