PayNow 与 SGQR：统一二维码如何运作，风险在哪里

SGQR 是新加坡的统一支付二维码：一张标签整合多个支付方案，而 PayNow 是其中接受度最高的一个。主管机构记录的风险主要来自三方面：被篡改的二维码、骗子在交易过程中发来的二维码，以及假冒网站；核心防线始终不变：确认付款前先核对收款方名称。在网上销售时，结账页面上显示的二维码就相当于那张标签，同样需要保护。

统一二维码如何运作

SGQR 于 2018 年 9 月 17 日由新加坡金融管理局（MAS）和资讯通信媒体发展局（IMDA）推出。概念很简单：商家不必在柜台贴满各家钱包和银行的贴纸，只需展示一张印有所接受支付方案标志的标签。推出时共有 27 个支付方案加入，包括 PayNow、NETS 和 GrabPay。

根据新加坡银行公会（ABS）的资料，银行即时转账服务 PayNow 于 2019 年 11 月 11 日起采用 SGQR 规范。企业要收款，先以唯一实体编号（UEN）注册为 PayNow 代号，再把这个代号绑定到标签上。顾客用自己的银行应用程序扫码，核对商家名称，输入金额后付款。基本方案是静态二维码；带有每笔金额和参考编号的动态二维码，可向银行申请。

普及程度很高。政府在 2022 年 10 月的国会书面答复中表示，约有 550 万个银行账户注册了 PayNow，超过 21 万家商家接受 SGQR，占商家总数九成以上。

已记录的风险在哪里

• 被篡改的二维码： 2023 年 5 月，新加坡网络安全局（CSA）与新加坡警察部队（SPF）发布联合警示，指出商家展示的二维码遭到篡改，付款被转入骗子的账户。同一份警示也提到会把人引向钓鱼网站或恶意软件下载的二维码。
• 骗子发来的二维码： 2026 年 6 月，警方就社交媒体上的演唱会门票骗局发出警示，至少有 14 起案件；受害者被要求通过 PayNow 付款，或扫描假卖家发来的 PayNow 二维码。
• 假冒的 PayNow 网站： 2024 年 12 月，警方提醒公众留意声称 PayNow 证书即将过期的短信。链接通往一个索取信用卡资料的网页，而 PayNow 并没有这类登记网站。

值得一提的是：根据同一份国会答复，涉及假支付二维码以及顾客假装已付款的案件，在 2020 年至 2022 年上半年共有 20 起，当时并不普遍。风险确实存在，但买卖双方养成良好习惯仍能有效防范。

为什么网上结账页面就是新的“标签”

官方给消费者的建议归结为一个动作：核对银行应用程序中显示的商家名称，是否与标签上印的名称一致。SGQR 规则也要求收单机构教导商家如何核实付款，并保护标签免遭欺诈。

网店没有实体标签。PayNow 二维码由商店或支付服务商的系统生成，却显示在买家的浏览器里，与页面加载的其他内容并存：插件、营销工具、在线客服、第三方脚本。如果页面上运行着恶意代码，它可以把二维码换成另一个同样有效、金额相同的二维码，指向一个名称看似合理的已注册 UEN。买家核对后觉得名称没问题，就确认付款。商店收不到钱，顾客却确信自己已经付了。

在银行卡领域，这个盲点早有规则规范：PCI DSS 第 6.4.3 和 11.6.1 项要求管控支付页面上的脚本，并侦测送达浏览器的内容是否遭到未经授权的更改。PCI 安全标准委员会于 2025 年 3 月就这两项要求发布了专门指南。同样的逻辑也适用于 PayNow 二维码。

网上接受 PayNow 的商家检查清单

1. 每笔订单使用动态二维码，带有金额和参考编号，并按参考编号逐笔对账。
2. 在二维码旁以文字显示注册名称和 UEN，请顾客核对银行应用程序中的名称是否完全一致。
3. 只在银行或支付服务商确认收款后才放行订单，绝不凭截图发货。MAS 建议商家在交货前先确认收到付款成功通知。
4. 告诉顾客，商店绝不会通过短信或社交媒体发送二维码，也绝不会要求提供信用卡资料来“激活”PayNow。
5. 精简结账页面上的脚本，并保持平台、主题和插件为最新版本，删除不再使用的部分。
6. 监控线上运行中的支付页面，把屏幕上显示的二维码与系统签发的进行比对。
7. 怀疑有欺诈时立即联系收单机构（这也是 MAS 的建议），并提醒顾客可拨打防诈热线 ScamShield Helpline 1799。

想了解 PayNow 收款中哪些内容可能被调包，以及页面防护无法覆盖的范围，请参阅 PayNow 与 SGQR 支付保护。

Proteside 在买家的浏览器中核对结账页面显示的 SGQR、PayNow 代号和金额，是否与您的商店所签发的完全一致，并在付款确认前拦截任何调包，同时向您发出警报，并生成 PCI DSS 合规证据。它适用于任何电商平台和支付服务商，欢迎免费试用 14 天。