6 Modus Penipuan QRIS dan Cara Menghindarinya (2026)
Penipuan QRIS adalah modus penipuan yang menyalahgunakan sistem pembayaran QRIS, bukan celah pada teknologi QRIS itu sendiri. Pelaku menempel stiker QR palsu di gerai, menyamar sebagai merchant atau lembaga donasi, dan mengirim kode QR untuk “mengembalikan” dana. Kenali enam modus utama, ciri transaksi mencurigakan, cara aman bertransaksi, dan cara melaporkannya ke bank serta Bank Indonesia.
Apa Itu Penipuan QRIS dan Mengapa Modus Ini Cepat Menyebar
Penipuan QRIS adalah segala bentuk penipuan yang memanfaatkan Quick Response Code Indonesian Standard (QRIS) sebagai alat untuk mengalihkan pembayaran atau mencuri data korban. QRIS sendiri adalah standar kode QR pembayaran nasional yang diatur Bank Indonesia dan dikelola bersama Asosiasi Sistem Pembayaran Indonesia (ASPI). Standar ini menyatukan berbagai dompet digital dan bank dalam satu kode. Titik lemahnya bukan pada sistem, melainkan pada perilaku pengguna dan proses onboarding pihak-pihak yang menerbitkan akun pembayaran.
Adopsi QRIS yang tumbuh pesat di pasar Indonesia membuat modus ini menarik bagi pelaku. Semakin banyak orang terbiasa memindai kode QR tanpa memeriksa detailnya, semakin mudah pelaku menyisipkan kode palsu. Sebagian besar modus penipuan QRIS berakar pada social engineering, yaitu manipulasi psikologis agar korban bertindak terburu-buru, bukan pada peretasan sistem QRIS.
6 Modus Penipuan QRIS yang Paling Sering Terjadi di Indonesia
Enam modus di bawah ini menjelaskan pola yang paling banyak dilaporkan. Semua modus dijalankan oleh pihak ketiga yang menyalahgunakan sistem, bukan oleh penyelenggara QRIS resmi.
| Modus | Cara Kerja | Target Utama |
|---|---|---|
| Tukar stiker QR statis | Pelaku menempel stiker QRIS miliknya menutup kode asli toko | Merchant kecil dan pelanggannya |
| QRIS donasi palsu | Kode QR mengatasnamakan masjid, panti, atau korban bencana | Donatur di ruang publik dan media sosial |
| Scam refund “salah transfer” | Korban diminta memindai QR untuk “mengembalikan” dana | Pengguna e-wallet perorangan |
| QRIS palsu penjual fiktif | Kode QR dikirim untuk barang yang tidak pernah dikirim | Pembeli di media sosial |
| Phishing upgrade merchant | Pesan meminta data, OTP, atau PIN untuk “aktivasi QRIS” | Pemilik usaha |
| Quishing (QR phishing) | QR mengarah ke situs atau aplikasi palsu pencuri kredensial | Pengguna umum |
1. Penukaran Stiker QRIS Statis di Gerai Merchant
Pelaku menempel stiker QRIS miliknya di atas kode asli milik pedagang. Ketika pelanggan memindai dan membayar, dana masuk ke rekening pelaku, bukan ke merchant. Modus ini menyerang QRIS statis, yaitu kode cetak yang tidak berubah tiap transaksi.
2. QRIS Donasi dan Galang Dana Palsu
Pelaku memasang kode QR yang mengatasnamakan lembaga amal, rumah ibadah, atau korban bencana di tempat ramai dan media sosial. Uang donasi masuk ke akun pribadi pelaku. Korban jarang memverifikasi karena momen emosionalnya tinggi.
3. Modus “Salah Transfer” dengan QR Refund
Pelaku mengaku salah mengirim uang ke rekening korban, lalu meminta korban memindai sebuah kode QR untuk “mengembalikan” dana. Kode QR pada QRIS adalah instrumen membayar, bukan menerima. Saat korban memindai dan menyetujui, korban justru mengirim uang ke pelaku.
4. QRIS Palsu dari Penjual Fiktif
Dalam transaksi jual beli di media sosial, penjual fiktif mengirim kode QRIS agar korban membayar di muka. Setelah dibayar, barang tidak pernah dikirim dan akun penjual menghilang. Pola ini beririsan dengan penipuan online pada umumnya.
5. Phishing Berkedok Verifikasi atau Upgrade Merchant QRIS
Pemilik usaha menerima pesan yang mengatasnamakan bank atau penyedia QRIS, meminta data akun, OTP, atau PIN untuk “aktivasi” atau “peningkatan limit”. Data yang diserahkan dipakai untuk mengambil alih akun. Penyelenggara pembayaran resmi tidak pernah meminta OTP atau PIN melalui pesan pribadi.
6. Quishing: QR Phishing yang Mengarah ke Situs Palsu
Quishing adalah phishing berbasis kode QR. QR di brosur, email, atau tempat parkir mengarahkan korban ke situs atau aplikasi palsu yang mencuri kredensial atau memasang malware. Karena QR menyembunyikan alamat tujuan, korban sulit menilai keamanannya sebelum memindai.
Ciri-Ciri Transaksi QRIS yang Patut Dicurigai
Kunci membedakan transaksi wajar dan mencurigakan ada pada dua hal: nama penerima yang muncul di aplikasi dan arah aliran dana. Tabel berikut merangkum pembedanya.
| Transaksi Wajar | Transaksi Mencurigakan |
|---|---|
| Nama merchant di aplikasi sesuai nama toko | Nama penerima berupa nama pribadi yang tidak dikenal |
| Anda memindai untuk membayar barang atau jasa | Anda diminta memindai untuk “menerima” atau “refund” dana |
| Nominal sesuai yang Anda masukkan atau tertera | Nominal berbeda dari kesepakatan |
| Kode QR berada di posisi tetap dan resmi di kasir | Stiker QR tampak baru ditempel menutup kode lain |
| Tidak ada permintaan OTP atau PIN oleh pihak lain | Ada yang meminta OTP, PIN, atau data kartu |
Cara Menghindari Penipuan QRIS Saat Bertransaksi Harian
Pencegahan penipuan QRIS bertumpu pada kebiasaan memeriksa sebelum menyetujui. Enam langkah berikut menutup hampir semua modus di atas.
- Periksa nama penerima sebelum konfirmasi. Pastikan nama merchant yang muncul di aplikasi sama dengan nama toko tempat Anda membayar.
- Ingat arah QRIS. Memindai kode QRIS berarti Anda membayar. Untuk menerima uang, Anda tidak perlu memindai kode apa pun.
- Cek nominal setiap kali. Cocokkan angka yang muncul dengan harga yang disepakati sebelum menekan bayar.
- Hindari memindai QR dari sumber tak dikenal. Waspadai kode di komentar media sosial, pesan pribadi, brosur, dan tempat umum.
- Verifikasi donasi lewat kanal resmi. Untuk sumbangan, konfirmasi rekening atau QR resmi lembaga melalui situs atau kontak resminya.
- Jaga OTP, PIN, dan data pribadi. Jangan menyerahkannya untuk alasan “verifikasi” atau “upgrade merchant” dari siapa pun.
Cara Melaporkan Penipuan QRIS yang Sudah Terjadi
Kecepatan menentukan peluang dana bisa ditahan. Jika terlanjur menjadi korban, jalankan langkah berikut segera.
- Hubungi penyedia dompet digital atau bank penerbit melalui call center resmi untuk meminta pemblokiran dan penelusuran transaksi.
- Laporkan rekening penerima melalui kanal pengaduan resmi. Panduan langkahnya ada di artikel cara melaporkan penipuan online.
- Sampaikan ke Bank Indonesia melalui kontak resmi BICARA di 131 untuk persoalan yang menyangkut sistem pembayaran QRIS.
- Laporkan penipuan finansial ke Indonesia Anti-Scam Centre (IASC) di bawah OJK, dan buat laporan kepolisian sebagai dasar hukum penelusuran.
Peran Verifikasi Identitas dalam Menekan Penyalahgunaan QRIS
Banyak modus penipuan QRIS bermula dari akun pembayaran atau akun merchant yang dibuka memakai identitas palsu atau hasil pengambilalihan akun. Di sinilah kualitas onboarding penyelenggara jasa pembayaran menentukan. Ketika pendaftaran merchant dan pengguna diverifikasi secara ketat, ruang gerak pelaku untuk membuat akun penampung menyempit.
Verihubs menyediakan lapisan verifikasi identitas untuk penyelenggara pembayaran dan lembaga keuangan, mencakup OCR KTP untuk membaca dokumen, face matching untuk mencocokkan wajah dengan identitas, serta liveness detection untuk memastikan yang mendaftar adalah orang asli yang hadir, bukan foto atau video. Untuk melawan wajah sintetis, Verihubs Deepfake Detection bekerja dengan tingkat keberhasilan 95% sebagai satu-satunya penyedia deteksi deepfake lokal di Indonesia. Lapisan ini melengkapi sistem deteksi transaksi yang membaca pola fraud setelah akun aktif.
Pertanyaan yang Sering Diajukan tentang Penipuan QRIS
Apakah QRIS aman digunakan?
Ya. QRIS sebagai sistem diatur Bank Indonesia dan memakai standar keamanan pembayaran. Risiko muncul dari penyalahgunaan oleh pihak ketiga, seperti penukaran stiker atau phishing, bukan dari kelemahan QRIS. Kebiasaan memeriksa nama penerima dan nominal sudah menutup sebagian besar risiko.
Bagaimana jika saya terlanjur menjadi korban penipuan QRIS?
Segera hubungi call center resmi dompet digital atau bank Anda untuk pemblokiran, laporkan rekening penerima melalui kanal pengaduan resmi, sampaikan ke Bank Indonesia di 131, dan buat laporan kepolisian. Semakin cepat dilaporkan, semakin besar peluang dana ditahan.
Apakah uang yang hilang karena penipuan QRIS bisa kembali?
Tidak ada jaminan. Peluang pengembalian bergantung pada kecepatan pelaporan, apakah dana masih tertahan di rekening penerima, dan hasil penelusuran bank serta kepolisian. Melapor dalam hitungan menit jauh lebih baik daripada menunggu.
Apa beda QRIS statis dan dinamis dari sisi keamanan?
QRIS statis berupa kode cetak yang sama untuk setiap transaksi, sehingga lebih rentan ditempel atau ditukar stikernya. QRIS dinamis dihasilkan per transaksi dengan nominal terkunci, sehingga lebih sulit dimanipulasi. Untuk merchant, QRIS dinamis mengurangi risiko penukaran kode.
Ke mana saya melaporkan penipuan QRIS?
Laporkan ke penyedia dompet digital atau bank penerbit, ke Bank Indonesia melalui BICARA 131 untuk isu sistem pembayaran, ke Indonesia Anti-Scam Centre (IASC) di bawah OJK untuk penipuan finansial, dan ke kepolisian untuk dasar hukum penelusuran.
Menutup Celah Antara Adopsi Cepat dan Kewaspadaan Pengguna
Penipuan QRIS berkembang bukan karena teknologinya lemah, melainkan karena adopsi tumbuh lebih cepat daripada kebiasaan memeriksa. Dua refleks sederhana, yaitu membaca nama penerima sebelum membayar dan menolak memindai untuk “menerima” uang, sudah mematahkan mayoritas modus. Di sisi penyelenggara, memperkuat verifikasi identitas saat onboarding merchant dan pengguna adalah cara paling efektif menutup pintu masuk pelaku sebelum akun penampung terbentuk. Literasi pengguna dan verifikasi identitas yang kuat adalah dua pertahanan yang saling melengkapi.
Pilih solusi verifikasi identitas yang telah memenuhi standar POJK dan UU PDP untuk onboarding merchant dan pengguna sistem pembayaran Anda. Diskusikan kebutuhan spesifik bisnis Anda dengan tim Verihubs yang telah dipercaya lebih dari 400 klien di Indonesia.
