Penipuan kod QR di Asia: pengajaran untuk peniaga dalam talian

Di seluruh Asia, kod QR telah menjadi cara lazim untuk membayar serta-merta dan antara sasaran kegemaran penipu. Antara 2019 dan 2026, polis dan pengawal selia di Singapura, Malaysia, Thailand, Filipina, Hong Kong dan India menggambarkan empat corak yang sama: kod QR ditukar atau ditampal di atas kod asal, halaman pembayaran palsu, kod QR yang mengambil wang daripada orang yang menyangka mereka sedang menerima bayaran, dan akaun keldai untuk menyalurkan wang dengan cepat. Bagi sesiapa yang berniaga dalam talian di pasaran ini, pengajarannya mudah: titik paling lemah ialah saat pembeli melihat kod QR dan meluluskan bayaran, dan saat itu berlaku di halaman peniaga sendiri.

Mengapa kod QR pembayaran segera menjadi sasaran

DuitNow di Malaysia, PayNow dan SGQR di Singapura, PromptPay di Thailand, QR Ph di Filipina, FPS di Hong Kong dan UPI di India berfungsi dengan logik yang sama seperti Pix, sistem pembayaran segera Brazil: pembayar mengimbas kod, menyemak jumlah dalam aplikasi bank atau e-dompet, lalu meluluskan pemindahan. Wang bergerak serta-merta. Tiada terminal kad, rangkaian kad atau caj balik yang mudah di tengah-tengahnya.

Kesederhanaan inilah kekuatan sistem-sistem ini, dan itulah juga yang dieksploitasi penipu. Sesiapa yang mengawal kod QR mengawal ke mana wang pergi. Oleh sebab pembayar sendiri yang meluluskan pemindahan, bayaran yang dilencongkan kelihatan seperti transaksi biasa di mata bank.

Empat corak yang berulang

1. Kod QR ditukar atau ditampal. Inilah penipuan yang paling kerap disebut. Pada Mei 2023, Agensi Keselamatan Siber Singapura (CSA) dan Pasukan Polis Singapura (SPF) memberi amaran bersama bahawa kod QR pembayaran di premis perniagaan boleh diubah supaya wang masuk ke akaun penipu, dan meminta orang ramai berwaspada terhadap kod yang ditampal di atas kod asal. Di Filipina, menurut media tempatan, seorang pegawai bank pusat (BSP) mengulangi amaran itu pada April 2026, merujuk kepada pelekat di atas kod QR peniaga. Pada Julai 2026, Polis Nasional Filipina (PNP) melangkaui kaunter fizikal: ia menggambarkan kod QR pembayaran penjual yang ditukar dan mengumumkan tindakan bersama dengan jabatan teknologi (DICT) dan perdagangan (DTI) terhadap pengedar kod palsu, khususnya di platform jualan dalam talian.

2. Halaman pembayaran palsu. Kod QR juga boleh membuka pintu ke laman yang meniru bank, kedai dan gerbang pembayaran. Pada September 2026, Pengarah Jabatan Siasatan Jenayah Komersial (JSJK) Bukit Aman, Komisioner Datuk Rusdi Mohd Isa, menyenaraikan gerbang pembayaran palsu dan kod QR pembayaran palsu yang melencongkan wang ke akaun sindiket antara modus operandi semasa. BSP menasihatkan orang ramai menyemak alamat laman sebelum membuka pautan dan tidak memasukkan butiran kewangan di halaman yang dicapai melalui imbasan QR.

3. Kod QR yang menarik wang, bukan membayar. Di sini sasarannya ialah penjual. Penipu menyamar sebagai pembeli, mengatakan mereka mahu membayar dan menghantar kod QR atau pautan supaya penjual dapat “menerima” wang. Sebaik sahaja diimbas dan diluluskan, mangsalah yang membayar. Polis Malaysia menggambarkan skrip ini terhadap penjual dalam talian dan menegaskan bahawa bagi DuitNow QR, penerima hanya perlu menunjukkan kod mereka sendiri. Di India, bank pusat (RBI) memberi amaran pada 2022 bahawa menerima wang tidak memerlukan imbasan QR atau PIN, dan penipu menyalahgunakan fungsi permintaan bayaran UPI dengan mesej yang meminta PIN untuk “menerima” wang. Di Thailand, laporan Thai PBS berdasarkan panduan polis merumuskannya dengan jelas: siapa yang mengimbas, dialah yang membayar.

4. Akaun keldai. Tiada satu pun penipuan ini berjaya tanpa akaun untuk menerima wang dan memindahkannya dengan pantas. Sebab itu pasaran-pasaran ini melabur dalam semakan sebelum bayaran. Di Malaysia, JSJK menyediakan portal SemakMule untuk menyemak akaun bank, nombor telefon dan nama syarikat. Di Hong Kong, Penguasa Kewangan Hong Kong (HKMA) melancarkan amaran FPS pada November 2023 berdasarkan alat Scameter polis: 44 bank dan pengendali kemudahan nilai tersimpan kini memberi amaran apabila pengecam penerima (nombor telefon, e-mel atau ID FPS) ditanda berisiko tinggi.

Apa yang diminta oleh pihak berkuasa

Nasihat mereka tertumpu pada beberapa perkara:

• Semak nama penerima dan jumlah dalam aplikasi sebelum mengesahkan (Singapura, Hong Kong, Thailand).
• Berwaspada dengan kod QR yang diterima melalui mesej, media sosial atau daripada sumber tidak dikenali (Singapura, Malaysia, Filipina).
• Jangan sekali-kali mengimbas kod QR atau memasukkan PIN, kata laluan, OTP atau TAC untuk menerima wang (Malaysia, India, Thailand).
• Periksa kod fizikal untuk pelekat di atas kod asal (Singapura, Filipina).
• Di pihak institusi, Hong Kong sejak 2019, dalam jawapan rasmi kepada Majlis Perundangan, menyatakan bahawa bank dan e-dompet patut mengesahkan kod QR adalah tulen dan memaparkan nama penerima sebelum bayaran.

Perhatikan bahawa hampir semuanya bergantung pada pembeli untuk menyemak sesuatu. Ia membantu, tetapi tidak mencukupi apabila pertukaran dilakukan dengan kemas.

Persamaan dengan Pix: pertukaran berpindah ke halaman checkout

Di Brazil, idea yang sama sudah berpindah daripada pelekat ke laman web. Pada September 2026, Kaspersky mendedahkan satu kempen yang menukar kod QR Pix dan kod salin-tampal di halaman checkout kedai yang sah sebaik pelanggan memilih Pix. Sebanyak 90 kedai kecil dan sederhana dikenal pasti, dengan satu persamaan: platform Magento yang tidak diselenggara. Kempen itu aktif sejak Jun 2025. Bagi peniaga, pesanan kelihatan seperti ditinggalkan atau belum dibayar; pelanggan hanya sedar beberapa hari kemudian, selepas wang melalui akaun keldai, sekali gus menyukarkan pemulihan melalui mekanisme pemulangan bank pusat Brazil (MED). Lihat cara serangan ini berfungsi di halaman perlindungan Pix di checkout.

Tiada apa yang menghalang kod yang sama daripada melakukan perkara ini pada kod QR DuitNow, PayNow atau UPI: PNP Filipina sudah pun menyebut kod QR penjual dalam talian yang ditukar. Bezanya, di kedai dalam talian tiada siapa boleh mencari pelekat: kod QR palsu dijana di halaman itu sendiri, dengan jumlah yang betul dan rupa yang serupa.

Senarai semak untuk peniaga di pasaran ini

1. Jana kod QR dinamik bagi setiap pesanan, dengan jumlah dan rujukan, bukannya menggunakan semula kod tetap.
2. Paparkan di halaman nama rasmi yang akan muncul dalam aplikasi pembeli dan minta mereka menyemaknya sebelum mengesahkan.
3. Padankan setiap bayaran dengan pesanan secara automatik dan beri amaran bagi pesanan yang lama tersekat pada “menunggu bayaran”.
4. Ringkaskan halaman checkout: kurangkan pemalam dan skrip pihak ketiga, kemas kini platform dan sambungan, serta gunakan pengesahan dua faktor untuk log masuk pentadbir.
5. Pantau halaman pembayaran yang sedang beroperasi seperti yang dilihat pembeli, bukan hanya kod di pelayan.
6. Beri taklimat kepada kakitangan dan pelanggan: kedai tidak pernah meminta sesiapa mengimbas kod QR atau memasukkan PIN untuk menerima bayaran balik.
7. Gunakan saluran semakan dan laporan tempatan, seperti SemakMule dan talian 997 NSRC di Malaysia atau Scameter di Hong Kong, dan laporkan insiden dengan segera.
8. Anggap aduan “saya sudah bayar tetapi pesanan tidak diluluskan” sebagai kemungkinan tanda pertukaran, bukan sekadar kelewatan.

Di setiap pasaran ini, penipuan menang pada saat yang sama: ketika pembeli melihat kod QR dan meluluskan bayaran. Proteside melindungi saat itu di halaman kedai: ia menyemak, dalam pelayar pembeli, bahawa kod QR yang dipaparkan dan kod yang disalin (DuitNow, PayNow/SGQR, PromptPay, QR Ph, FPS, UPI atau Pix) adalah tepat seperti yang dikeluarkan kedai, menyekat sebarang pertukaran sebelum pengesahan dan memaklumkan anda. Cuba percuma selama 14 hari.