DuitNow QR di Malaysia: cara ia berfungsi dan elak QR ditukar

DuitNow QR ialah standard pembayaran QR kebangsaan Malaysia: satu kod sahaja, dikendalikan oleh PayNet, yang boleh dibayar daripada mana-mana aplikasi bank atau e-dompet yang menyertai. Bagi peniaga dalam talian, kesannya jelas: kod QR yang dipaparkan di halaman pembayaran menentukan siapa yang menerima wang. Jika kod itu ditukar, pembeli tetap membayar, pemindahan berlaku serta-merta dan kedai tidak perasan apa-apa. Pertahanan bermula dengan memahami di mana pertukaran berlaku dan apa yang boleh disemak sebelum pembayaran disahkan.

Cara DuitNow QR berfungsi

DuitNow QR lahir daripada Interoperable Credit Transfer Framework (ICTF), iaitu rangka kerja Bank Negara Malaysia (BNM) yang mewajibkan satu kod QR yang sama dan saling boleh kendali. PayNet, pengendali infrastruktur pembayaran bersama negara, ditugaskan melaksanakannya, dan pada 2019 bank pertama serta e-dompet pertama mula menerimanya. Peniaga hanya perlu memaparkan satu kod, bukan beberapa kod QR proprietari; pembeli pula membayar menggunakan aplikasi yang sudah biasa digunakan.

Pada 30 Jun 2026, BNM menerbitkan Interoperable Fund Transfer Framework (IFTF) yang menggantikan ICTF. Menurut analisis undang-undang terhadap dokumen tersebut, bank, penerbit wang elektronik dan pemeroleh diberi tempoh sehingga 30 Jun 2028 untuk menghentikan rangkaian QR proprietari, dan tidak boleh mendaftarkan peniaga baharu ke dalamnya sepanjang tempoh peralihan. Transaksi QR akan disalurkan melalui infrastruktur bersama bagi menyokong pemantauan penipuan, dan bank serta e-dompet perlu menghantar notifikasi segera bagi setiap pergerakan wang.

Ringkasnya, DuitNow QR semakin menjadi kod QR pembayaran utama di Malaysia. Semakin universal sesuatu kod, semakin menarik ia kepada pihak yang mahu melencongkannya.

Di mana penipuan QR ditukar berlaku

Di kaunter, penipuan klasik bersifat fizikal: pelekat kod QR lain ditampal di atas kod yang sah. Pada April 2025, seorang pakar keselamatan siber yang ditemu bual oleh Sinar Harian mengingatkan bahawa kod sebenar boleh diganti dengan kod palsu dan menasihatkan pengguna menyemak nama penerima sejurus selepas mengimbas. Setahun sebelumnya, pada April 2024, Jabatan Siasatan Jenayah Komersial (JSJK) polis memberi amaran tentang kod QR yang dicetak pada hadiah percuma yang diedarkan dari rumah ke rumah, yang membawa mangsa ke laman yang meminta maklumat perbankan.

Dalam e-dagang, pertukaran tidak memerlukan pelekat. Kod QR ialah imej yang dijana oleh halaman pembayaran dan dipaparkan dalam pelayar pembeli. Skrip berniat jahat yang dimuatkan pada halaman itu (daripada plugin yang tidak dikemas kini, perkhidmatan pihak ketiga yang dikompromi atau pencerobohan ke atas kedai) boleh menggantikan kod yang sah dengan kod lain yang sama sah, untuk jumlah yang sama. Pembeli mengimbas, aplikasi memaparkan nama penerima dan, jika tidak diteliti, pembeli terus mengesahkan. Wang masuk ke akaun penipu dalam beberapa saat.

Tiga perkara menjadikan senario ini berbahaya:

• Kod itu sah. Tiada ralat teknikal yang memberi amaran kepada bank: ia DuitNow QR yang tulen, cuma milik penerima lain.
• Kedai tidak sedar serta-merta. Pesanan kekal belum dibayar; pelanggan menyangka sudah membayar kedai, dan aduan hanya tiba kemudian.
• Penyelesaian berlaku serta-merta. Mendapatkan semula wang bergantung pada tindakan yang sangat pantas, dan tidak selalu berjaya.

Senarai semak untuk kedai dalam talian

Senarai praktikal yang sesuai untuk mana-mana platform dan penyedia pembayaran:

• Jana QR dinamik bagi setiap pesanan, lengkap dengan jumlah dan rujukan, bukan kod statik yang tetap. Ini memudahkan penyesuaian akaun dan mengesan percanggahan.
• Paparkan di sebelah kod QR nama yang sepatutnya dilihat pelanggan dalam aplikasi (contohnya nama perniagaan berdaftar anda) dan minta pelanggan menyemaknya sebelum mengesahkan.
• Kurangkan apa yang dimuatkan di halaman pembayaran. Setiap skrip pihak ketiga ialah pintu masuk; simpan yang penting sahaja dan semak senarainya dengan kerap.
• Pastikan platform, tema dan sambungan sentiasa dikemas kini, dan buang yang tidak digunakan.
• Sahkan pembayaran melalui penyata, bukan tangkapan skrin. Lepaskan pesanan hanya selepas wang disahkan masuk di bank atau penyedia anda, dan aktifkan notifikasi segera.
• Anggap aduan "saya dah bayar tapi pesanan tak lepas" sebagai amaran keselamatan, bukan sekadar isu khidmat pelanggan: ia selalunya tanda awal pertukaran kod.
• Pantau halaman pembayaran yang sedang beroperasi, dengan menyemak apa yang benar-benar dilihat pembeli, bukan hanya kod yang disimpan di pelayan.

Apa yang perlu dimaklumkan kepada pembeli

Pembeli juga boleh membantu menyekat lencongan. Nota ringkas di halaman pembayaran sangat berguna: selepas mengimbas, semak nama penerima dan jumlah sebelum meluluskan; berhati-hati jika nama tidak sepadan dengan kedai; dan jika mengesyaki penipuan, hubungi bank serta Pusat Respons Scam Kebangsaan (NSRC) di talian 997 dengan segera. Pada Mac 2026, kerajaan menegaskan bahawa menghubungi 997 sudah memadai untuk memulakan tindakan tanpa laporan polis berasingan, dan semakin cepat mangsa menghubungi, semakin tinggi peluang dana dibekukan.

Peranan pengesahan pada skrin

Langkah di atas mengurangkan risiko, tetapi ada satu jurang yang hanya boleh ditutup dalam pelayar pembeli sendiri: memastikan kod QR di skrin benar-benar kod yang dikeluarkan oleh kedai. Proteside membuat semakan itu di halaman pembayaran, menyekat sebarang pertukaran DuitNow QR sebelum pengesahan dan memaklumkan kedai serta-merta. Lihat cara perlindungan DuitNow berfungsi. Anda boleh mencubanya secara percuma selama 14 hari, dengan mana-mana platform dan penyedia pembayaran.