马来西亚 DuitNow QR：运作方式与防范二维码调包

DuitNow QR 是马来西亚的国家二维码支付标准：由 PayNet 运营的统一二维码，顾客可以用任何参与的银行或电子钱包应用付款。对网上卖家来说，这意味着一件很直接的事：付款页面上显示的二维码，决定了钱进到谁的户口。如果这个二维码被调包，买家照样付款，转账即时完成，商家却毫无察觉。要防范，首先要弄清楚调包发生在哪里，以及在确认付款前可以核对什么。

DuitNow QR 如何运作

DuitNow QR 源自马来西亚国家银行（BNM）的《可互操作贷记转账框架》（ICTF），该框架要求建立统一、可互操作的二维码。负责国内共享支付基础设施的 PayNet 承担实施工作，2019 年首批银行和首个电子钱包开始接受 DuitNow QR。商家只需展示一个二维码，不必摆放多个专属二维码；顾客则用自己惯用的应用付款。

2026 年 6 月 30 日，国家银行发布《可互操作资金转账框架》（IFTF），取代 ICTF。根据法律界对该文件的解读，银行、电子货币发行机构和收单机构须在 2028 年 6 月 30 日前停止运营专属二维码网络，过渡期内也不得再为其接入新商家。二维码交易将经由共享基础设施处理，以支援诈骗监测；银行和电子钱包也须对每一笔资金变动发送即时通知。

换句话说，DuitNow QR 正逐渐成为马来西亚唯一的支付二维码。一个二维码越通用，对想要截走款项的人就越有吸引力。

二维码调包骗局发生在哪里

在实体柜台，典型手法是贴纸：把另一张二维码贴在正版二维码上面。2025 年 4 月，一名网络安全专家接受马来文报章《Sinar Harian》访问时提醒，正版二维码可能被假码替换，建议扫码后立即核对收款人名称。更早之前，2024 年 4 月，警方商业罪案调查局（CCID）就曾警告，有人挨家挨户派发印有二维码的赠品，扫码后会被引导到索取银行资料的网页。

在网购场景中，调包根本不需要贴纸。二维码是付款页面生成、并在买家浏览器中显示的图片。只要页面上加载了恶意脚本（来源可能是过时的插件、被入侵的第三方服务，或网店本身遭入侵），就能把正版二维码换成另一个同样有效、金额相同的二维码。买家扫码后，应用会显示一个收款人名称，如果没有留意就直接确认，钱在几秒内就进了骗子的户口。

这种情况之所以危险，有三个原因：

• 二维码本身有效。 银行端不会出现任何技术错误：那是一个真正的 DuitNow QR，只是收款人不同。
• 商家无法即时发现。 订单一直显示未付款；顾客以为已经付给商家，投诉往往迟些才到。
• 资金即时结算。 能否追回款项取决于行动是否够快，而且不一定成功。

网店自查清单

以下做法适用于任何电商平台和任何支付服务商：

• 为每张订单生成动态二维码，带上金额和参考编号，而不是在页面上放一个固定的静态码。这样对账更容易，也更容易发现异常。
• 在二维码旁边注明顾客在应用中应该看到的收款人名称，例如您注册的公司名称，并提醒顾客确认前先核对。
• 减少付款页面加载的内容。 每个第三方脚本都是一道门；只保留必要的，并定期检查清单。
• 及时更新平台、主题和扩展插件，删除不再使用的部分。
• 以银行流水对账，而不是看截图。 只有在银行或服务商确认到账后才放行订单，并开启即时通知。
• 把“我付了钱但订单没成功”的投诉当作安全警报，而不只是客服问题：这往往是二维码被调包的第一个信号。
• 监控线上运行中的付款页面，核对买家实际看到的内容，而不只是服务器上保存的代码。

应该提醒买家什么

买家也能帮忙拦截。在付款页面加上一段简短提示就很有用：扫码后先核对收款人名称和金额再授权；如果名称与商家不符就要提高警惕；怀疑受骗时，立即致电银行和国家诈骗应对中心（NSRC）热线 997。2026 年 3 月，马来西亚政府强调，拨打 997 即可启动处理程序，无需另外报警，而且越早致电，冻结款项的机会越大。

屏幕上的核验能做什么

上述措施可以降低风险，但有一个缺口只能在买家自己的浏览器里补上：确保屏幕上的二维码正是商家所发出的那一个。Proteside 在付款页面完成这项核对，在确认付款前拦截任何 DuitNow QR 调包，并立即通知商家，详见 DuitNow 保护如何运作。您可以免费试用 14 天，适用于任何平台和支付服务商。