QRIS palsu dan stiker yang ditimpa: cara modusnya bekerja, satu pemeriksaan yang menutupnya bagi pembeli, dan rutinitas penjual yang menangkapnya di hari yang sama

QRIS palsu bukan kode yang rusak atau dibuat-buat. Kodenya sah dan berfungsi, hanya saja milik orang lain: penipu mendaftar sebagai merchant, mencetak QRIS miliknya, lalu menempelkannya di tempat orang terbiasa membayar. Pembeli memindai, membayar, dan uangnya masuk ke penipu. Karena itu, pemeriksaan yang menutupnya juga sederhana: nama merchant yang muncul di aplikasi pembeli dibaca sebelum menekan bayar, dan penjual memeriksa stikernya setiap hari serta mencocokkan jumlah pembeli dengan jumlah pembayaran yang benar-benar masuk. Tulisan ini menguraikan ketiganya.

Bagaimana modusnya bekerja

Kasus yang membuat modus ini dikenal luas terjadi di Jakarta pada April 2023. Menurut Katadata (11 April 2023), polisi menangkap seorang pelaku yang mencetak QRIS miliknya dan menempelkannya di masjid, kotak amal, dan tempat umum lain, termasuk di area pasar, SPBU, dan galeri ATM, pada kurang lebih 38 titik antara 1 dan 9 April 2023. Tiga cara penempatannya patut diingat karena tidak semuanya berupa “menimpa”:

• Ditempel di samping QRIS yang asli, sehingga pembeli memilih salah satu tanpa tahu ada dua pemilik.
• Ditempel di dinding yang agak jauh dari QRIS asli, di tempat orang lebih mudah berdiri dan memindai.
• Ditempel di tempat yang memang tidak menyediakan QRIS, sehingga pembeli mengira pemilik tempat baru saja memasangnya.

Bentuk keempat, yang paling sering dibayangkan, adalah stiker baru yang ditempel tepat di atas stiker lama. Akibatnya sama: semua pembayaran sejak saat itu masuk ke merchant lain, sementara penjual tidak menerima kabar apa pun karena di sisinya memang tidak terjadi apa-apa.

Bank Indonesia menanggapi kasus itu dengan dua imbauan (Kontan, 11 April 2023): pembeli memastikan nama merchant yang tercantum di aplikasi sebelum bertransaksi, dan merchant memastikan QRIS yang ditampilkannya tidak bisa diganti atau dimodifikasi, serta memeriksanya secara berkala. Seluruh sisa tulisan ini adalah cara menjalankan dua kalimat itu dengan konkret.

Kenapa QRIS statis yang paling rentan

Stiker statis berlaku untuk nominal berapa pun dan untuk siapa pun, tidak ada yang mengawasinya di sebagian besar jam buka, dan pembeli sudah terbiasa mengetik nominalnya sendiri. Itu tiga syarat yang dibutuhkan penipu. QRIS dinamis memotong ketiganya: kodenya baru muncul saat penjual membuat permintaan pembayaran, nominalnya sudah terisi, dan pada tautan pembayaran Kasera Pay masa berlakunya 60 menit. Penipu yang ingin mengganti kode itu harus mengganti layar ponsel penjual, bukan menempel kertas.

Display cetak dari halaman pembayaran permanen ada di tengah. Kertasnya bisa saja ditimpa, tetapi isinya alamat, misalnya pay.kasera.id/pp/nama-usaha, dan kamera ponsel menampilkan alamat itu sebelum halamannya dibuka. Setelah dibuka, halaman itu menerbitkan QRIS baru untuk satu pembayaran. Perbedaan ketiga jalur ini, termasuk biayanya, dibahas di panduan menerima QRIS tanpa website.

Satu pemeriksaan untuk pembeli

Setelah QR dipindai, aplikasi bank atau dompet digital menampilkan layar konfirmasi berisi nama merchant sebelum pembayaran dikirim. Itu satu-satunya titik yang bisa membedakan QR asli dari QR palsu, karena keduanya sama-sama QRIS yang sah. Yang dibaca:

1. Nama merchant. Apakah masuk akal untuk tempat ini? Nama perorangan pada kotak amal sebuah masjid, atau nama toko lain di kasir sebuah warung, adalah alasan untuk berhenti dan bertanya.
2. Nominal. Pada QRIS dinamis nominalnya sudah terisi. Kalau aplikasi justru meminta nominal diketik padahal penjual menunjukkan QR di layar dengan harga tertentu, ada yang tidak cocok.
3. Alamat, untuk QR berisi tautan. Display cetak Kasera Pay membuka alamat di pay.kasera.id. Alamat lain yang mirip, alamat pendek dari layanan pemendek tautan, atau formulir yang meminta PIN dan kode OTP berarti jangan dilanjutkan. Tanda-tanda lain dari halaman pembayaran yang sah ada di artikel tentang membayar lewat tautan.

Rutinitas penjual yang menangkapnya di hari yang sama

Penjual tidak bisa memaksa setiap pembeli membaca nama merchant. Yang bisa dikerjakan adalah membuat penggantian stiker cepat ketahuan, sebelum ada puluhan pembayaran yang hilang.

Pertama, ketahui nama yang benar-benar muncul. Nama di aplikasi pembeli ditentukan oleh penerbit QRIS-nya dan tidak selalu sama dengan nama di papan toko. Bayar sendiri satu kali dari ponsel lain dan catat persis nama yang muncul di layar konfirmasi. Di Kasera Pay, nominal terkecil untuk QRIS adalah Rp 1.000, dengan biaya Rp 257 (0,7% ditambah Rp 250). Setelah nama itu diketahui, tulis di dekat QR, misalnya “Pastikan nama yang muncul: …”, supaya pembeli punya pembanding.

Kedua, periksa fisik stikernya saat buka dan saat tutup. Raba tepinya: stiker yang ditempel di atas stiker lain terasa lebih tebal dan tepinya tidak rata. Periksa juga dinding dan meja di sekitarnya untuk QR yang tidak pernah dipasang sendiri. Display yang dilaminasi dan dimasukkan ke dudukan akrilik lebih sulit ditimpa daripada kertas yang ditempel di dinding, dan display yang berada dalam pandangan kasir lebih sulit lagi.

Ketiga, cocokkan jumlah pembeli dengan jumlah baris. Setiap pembayaran lewat Kasera Pay muncul sebagai baris sendiri di menu Transaksi dengan status Dibayar, dan notifikasi yang dinyalakan (surel ke pemilik, notifikasi peramban, atau push aplikasi) muncul untuk setiap pembayaran live yang berhasil. Pembeli yang berkata sudah membayar tetapi barisnya tidak ada, dua kali dalam satu hari, adalah tanda paling awal bahwa ada QR lain yang sedang dipakai. Langkah memeriksa satu kasus seperti itu ada di artikel tentang pembeli yang bilang sudah bayar. Kebiasaan yang sama juga menutup modus lain yang mirip, yaitu tangkapan layar pembayaran yang dipalsukan; polanya dibahas di artikel tentang bukti transfer palsu.

Keempat, untuk kotak amal dan tempat tanpa penjaga, pilih bentuk yang tidak bisa ditimpa diam-diam. Kalau QRIS statis tetap dipakai, pengurus perlu jadwal pemeriksaan yang tertulis dan satu orang yang bertanggung jawab atasnya, karena tempat inilah yang paling lama tidak diperiksa. Perlu dicatat juga bahwa kebijakan Kasera Pay mensyaratkan persetujuan tertulis lebih dulu untuk donasi dan penggalangan dana, jadi tanyakan ke halo@kasera.id sebelum memakai akun untuk kotak amal.

Kalau pembeli sudah terlanjur membayar ke QR palsu

Uangnya tidak pernah lewat akun penjual. Pembayaran ke QR milik orang lain tercatat di merchant orang itu, sehingga tidak ada yang bisa ditahan, dibatalkan, atau dikembalikan dari dashboard penjual. Yang bisa dikerjakan:

1. Cabut stiker palsunya, tetapi foto lebih dulu dari dekat dan dari jauh, termasuk letaknya, sebagai bukti.
2. Minta pembeli menyimpan riwayat transaksinya: jam, nominal, dan nama merchant yang tercatat. Nama itulah petunjuk ke rekening penipu.
3. Pembeli menghubungi bank atau aplikasi yang dipakainya membayar secepatnya, karena hanya penerbit itu yang memegang jalur pembayarannya.
4. Laporkan ke polisi dengan foto stiker dan riwayat transaksi dari pembeli. Pada kasus April 2023, pelaku dikenakan pasal dari UU ITE, UU Transfer Dana, dan KUHP.
5. Putuskan sendiri soal barang yang sudah diserahkan. Secara hukum uangnya tidak sampai ke penjual, tetapi pembeli membayar dengan itikad baik di tempat penjual. Banyak toko memilih menanggungnya sekali dan memperbaiki pemeriksaannya, karena kepercayaan pelanggan tetap lebih mahal.

Penjual online juga punya versi modus ini

Penjual yang menagih lewat chat tidak punya stiker, tetapi punya tautan dan gambar QR yang dikirim ke pembeli. Akun yang diretas, admin palsu yang menyamar di grup, atau gambar QR yang disimpan pembeli dari transaksi lama adalah versi online-nya. Dua kebiasaan menutupnya: kirim tautan pembayaran baru untuk setiap pesanan, bukan gambar QR yang dipakai berulang, dan sampaikan ke pembeli bahwa tautan yang sah selalu dimulai dengan pay.kasera.id/p/ untuk satu pesanan atau pay.kasera.id/pp/ untuk halaman pembayaran tetap.

Pertanyaan yang sering muncul