PayNow dan SGQR: cara kod QR bersatu berfungsi dan risikonya

SGQR ialah kod QR pembayaran bersatu Singapura: satu label menghimpunkan beberapa skim pembayaran, dan PayNow ialah skim yang paling banyak diterima. Risiko yang direkodkan oleh pihak berkuasa datang daripada tiga arah: kod QR yang diusik, kod QR yang dihantar oleh penipu semasa urus niaga dan laman web palsu. Pertahanan utamanya tetap sama: semak nama penerima sebelum mengesahkan bayaran. Dalam perniagaan dalam talian, kod QR yang dipaparkan di halaman pembayaran memainkan peranan label itu dan memerlukan perlindungan yang sama.

Cara kod QR bersatu berfungsi

SGQR dilancarkan pada 17 September 2018 oleh Penguasa Kewangan Singapura (MAS) dan Penguasa Pembangunan Media Infokomunikasi (IMDA). Ideanya mudah: daripada kaunter yang penuh dengan pelekat setiap dompet dan bank, peniaga hanya memaparkan satu label dengan logo skim yang diterima. Semasa pelancaran, 27 skim menyertainya, termasuk PayNow, NETS dan GrabPay.

PayNow, perkhidmatan pindahan segera bank-bank, menggunakan spesifikasi SGQR mulai 11 November 2019, menurut Persatuan Bank-bank di Singapura (ABS). Untuk menerima bayaran, perniagaan mendaftarkan UEN (Nombor Entiti Unik) sebagai proksi PayNow dan memautkan proksi itu kepada label. Pelanggan mengimbas dengan aplikasi bank sendiri, menyemak nama peniaga, memasukkan jumlah dan membayar. Tawaran asas ialah kod QR statik; kod dinamik yang membawa jumlah dan rujukan bagi setiap caj boleh diatur dengan bank.

Penggunaannya meluas. Dalam jawapan Parlimen pada Oktober 2022, kerajaan melaporkan kira-kira 5.5 juta akaun bank berdaftar dengan PayNow dan lebih 210,000 peniaga menerima SGQR, iaitu lebih 90% daripada jumlah keseluruhan.

Di mana risiko yang direkodkan

• Kod QR yang diusik: pada Mei 2023, Agensi Keselamatan Siber Singapura (CSA) dan Pasukan Polis Singapura (SPF) memberi amaran dalam nasihat bersama bahawa kod QR yang dipaparkan oleh perniagaan diubah untuk melencongkan bayaran ke akaun penipu. Nasihat yang sama turut menyebut kod QR yang membawa ke laman pancingan data atau muat turun perisian hasad.
• Kod QR yang dihantar oleh penipu: pada Jun 2026, SPF memberi amaran tentang penipuan jualan tiket konsert di media sosial, dengan sekurang-kurangnya 14 kes; mangsa diarahkan membayar melalui PayNow atau dengan mengimbas kod QR PayNow yang dihantar oleh penjual palsu.
• Laman web PayNow palsu: pada Disember 2024, polis memberi amaran tentang mesej yang mendakwa sijil PayNow akan tamat tempoh. Pautannya membawa ke halaman yang meminta butiran kad. PayNow tidak mempunyai laman web untuk pendaftaran sebegitu.

Ada satu perkara yang wajar diperhatikan: menurut jawapan Parlimen yang sama, penipuan melibatkan kod QR pembayaran palsu dan pelanggan yang berpura-pura telah membayar berjumlah 20 kes dari 2020 hingga separuh pertama 2022, dan tidak dianggap berleluasa. Risikonya nyata, tetapi tabiat baik di kedua-dua pihak masih sangat membantu.

Mengapa halaman pembayaran dalam talian ialah label baharu

Nasihat rasmi kepada pengguna berkisar pada satu tabiat: memastikan nama peniaga yang dipaparkan dalam aplikasi bank sama dengan nama yang dicetak pada label. Peraturan SGQR juga mewajibkan pemeroleh peniaga mengajar peniaga cara mengesahkan bayaran dan melindungi label daripada penipuan.

Kedai dalam talian tidak mempunyai label fizikal. Kod QR PayNow dijana oleh sistem kedai atau penyedia pembayaran, tetapi dipaparkan dalam pelayar pembeli bersama segala yang dimuatkan oleh halaman itu: pemalam, alat pemasaran, sembang dalam talian, skrip pihak ketiga. Kod hasad pada halaman itu boleh menggantikan kod QR dengan kod lain yang sah, untuk jumlah yang sama, yang menghala ke UEN berdaftar dengan nama yang kelihatan munasabah. Pembeli menyemak nama yang nampak betul lalu mengesahkan bayaran. Kedai tidak menerima wang, sedangkan pelanggan yakin dia sudah membayar.

Dalam dunia kad, titik buta ini sudah ditangani oleh peraturan: keperluan PCI DSS 6.4.3 dan 11.6.1 menuntut kawalan ke atas skrip di halaman pembayaran dan pengesanan perubahan tanpa kebenaran pada apa yang sampai ke pelayar. Majlis Piawaian Keselamatan PCI menerbitkan panduan khusus tentang kedua-dua keperluan ini pada Mac 2025. Logik yang sama terpakai pada kod QR PayNow.

Senarai semak untuk peniaga yang menerima PayNow dalam talian

1. Gunakan kod QR dinamik bagi setiap pesanan, dengan jumlah dan rujukan, dan padankan setiap kredit dengan rujukan itu.
2. Paparkan nama berdaftar dan UEN dalam bentuk teks di sebelah kod QR, dan minta pelanggan menyemak bahawa nama dalam aplikasi bank mereka sepadan sepenuhnya.
3. Lepaskan pesanan hanya selepas bayaran disahkan oleh bank atau penyedia, bukan berdasarkan tangkapan skrin. MAS menasihatkan peniaga menyemak pemberitahuan bayaran berjaya sebelum menyerahkan barang.
4. Maklumkan kepada pelanggan bahawa kedai anda tidak pernah menghantar kod QR melalui mesej atau media sosial dan tidak pernah meminta butiran kad untuk “mengaktifkan” PayNow.
5. Kurangkan skrip di halaman pembayaran dan pastikan platform, tema dan pemalam sentiasa dikemas kini, serta buang apa yang tidak digunakan.
6. Pantau halaman pembayaran yang sedang beroperasi, dengan membandingkan kod QR di skrin dengan kod yang dikeluarkan oleh sistem anda.
7. Jika mengesyaki penipuan, hubungi pemeroleh peniaga anda dengan segera, seperti yang dinasihatkan oleh MAS, dan arahkan pelanggan ke Talian Bantuan ScamShield di 1799.

Untuk melihat apa yang boleh ditukar dalam caj PayNow, dan apa yang berada di luar jangkauan sebarang perlindungan pada halaman, baca tentang perlindungan untuk PayNow dan SGQR.

Proteside menyemak, dalam pelayar pembeli, bahawa SGQR, pengecam PayNow dan jumlah yang dipaparkan di halaman pembayaran adalah sama seperti yang dikeluarkan oleh kedai anda, dan menyekat sebarang penukaran sebelum bayaran disahkan, sambil memberi amaran kepada anda dan menjana bukti untuk PCI DSS. Ia berfungsi dengan mana-mana platform e-dagang dan penyedia pembayaran. Cuba percuma selama 14 hari.