QRIS palsu, bukti transfer palsu, dan modus penipuan merchant: cara mengenali dan langkah bila sudah terjadi

Modus yang paling sering merugikan merchant non-tunai ada empat: QRIS palsu yang ditempel di atas kode asli sehingga pembayaran masuk ke rekening orang lain; tangkapan layar pembayaran palsu atau yang diedit; notifikasi atau pesan palsu yang meniru penyedia; dan penipuan atas nama penyedia yang meminta kode OTP, kata sandi, atau "biaya aktivasi". Pencegahannya sederhana tetapi harus konsisten: serahkan barang hanya setelah notifikasi muncul di aplikasi merchant, soundbox, atau EDC Anda sendiri, periksa kode QRIS fisik setiap hari dengan memindainya sendiri, dan jangan pernah membagikan OTP. Bila sudah terjadi, segera hubungi penyedia lewat kanal resmi, kumpulkan bukti, dan laporkan ke kepolisian.

Panduan ini bagian dari panduan risiko pembayaran non-tunai UMKM.

Modus 1: QRIS palsu ditempel di atas kode asli

Pelaku menempelkan stiker kode QR miliknya di atas QRIS toko, terutama di tempat yang tidak selalu diawasi: meja makan, kotak amal, gerai tanpa penjaga, atau papan di pintu.

Cara mengenali:

• Saat dipindai, nama merchant di aplikasi pembeli tidak sama dengan nama usaha Anda.
• Stiker tampak menempel di atas stiker lain, tepinya tidak rata, atau warnanya berbeda.
• Pembeli mengaku sudah membayar, tetapi notifikasi tidak muncul di aplikasi Anda.

Pencegahan:

• Pindai sendiri setiap kode QRIS fisik setiap pagi dan periksa nama merchant yang muncul.
• Gunakan bingkai atau akrilik yang sulit ditempeli, atau tampilkan QRIS dinamis dari kasir.
• Tulis di dekat kode: "Pastikan nama penerima: [nama usaha Anda]". Ini membantu pembeli memeriksa sebelum membayar.
• Untuk gerai tanpa penjaga, periksa lebih sering.

Modus 2: tangkapan layar pembayaran palsu

Pembeli menunjukkan layar "pembayaran berhasil" yang ternyata tangkapan layar lama, hasil edit, atau pembayaran ke QRIS lain.

Pencegahan:

• Patokannya adalah notifikasi di perangkat Anda, bukan layar pembeli.
• Pasang soundbox atau aktifkan notifikasi suara di aplikasi merchant agar kasir tidak perlu mengecek ponsel pemilik.
• Untuk transaksi besar, cek mutasi rekening atau laporan transaksi di aplikasi merchant sebelum menyerahkan barang.
• Latih kasir untuk berkata dengan sopan: "Mohon tunggu notifikasi masuk di mesin kami."

Modus 3: bukti transfer bank palsu

Untuk pembayaran lewat transfer, pelaku mengirim foto bukti transfer palsu, terutama di penjualan daring atau pesanan besar.

Pencegahan:

• Kirim barang hanya setelah dana tercatat di mutasi rekening.
• Untuk pesanan daring, pertimbangkan virtual account yang mencocokkan dana otomatis. Lihat biaya payment gateway dan virtual account.
• Waspadai pembeli yang mendesak pengiriman cepat dengan alasan darurat.

Modus 4: penipuan atas nama penyedia

Pesan, telepon, atau tautan yang mengaku dari bank atau penyedia QRIS, misalnya "pembaruan data merchant", "QRIS Anda akan diblokir", "klaim program MDR 0%", atau "biaya aktivasi soundbox". Tujuannya adalah mendapatkan kode OTP, kata sandi, PIN, atau memasang aplikasi berbahaya.

Pencegahan:

• Penyedia resmi tidak meminta OTP, PIN, atau kata sandi.
• Perubahan tarif QRIS diumumkan Bank Indonesia dan penyedia melalui kanal resmi. Merchant tidak perlu mendaftar ulang untuk mendapatkan MDR 0% sampai Rp100.000 yang berlaku sejak 1 Oktober 2026.
• Hubungi penyedia hanya melalui nomor atau aplikasi resmi yang Anda simpan sendiri, bukan nomor di pesan.
• Jangan memasang aplikasi dari tautan di pesan.

Langkah bila sudah terjadi

1. Hentikan kerugian. Lepaskan stiker palsu, ganti kata sandi, dan keluar dari semua perangkat bila akun mungkin diakses orang lain.
2. Hubungi penyedia melalui kanal resmi. Minta nomor tiket.
3. Kumpulkan bukti: foto stiker palsu, nomor referensi transaksi, tangkapan layar pesan, rekaman CCTV, dan waktu kejadian.
4. Laporkan ke kepolisian dengan bukti itu. Untuk kejahatan siber, kepolisian memiliki unit khusus.
5. Beri tahu pembeli yang terdampak agar mereka bisa melapor ke penerbit aplikasinya.
6. Bila penyedia tidak menanggapi, gunakan jalur pengaduan ke Bank Indonesia.

Pengembalian dana dari penipuan tidak pernah pasti, terutama bila dana sudah dipindahkan. Karena itu, pencegahan jauh lebih penting.

Contoh perhitungan kerugian (ilustrasi)

Kedai kopi dengan 80 transaksi QRIS per hari, rata-rata Rp35.000. Stiker palsu menempel di dua dari delapan meja selama satu hari, sehingga sekitar seperempat transaksi meja masuk ke rekening pelaku. Misalkan 60 dari 80 transaksi lewat meja:

• Transaksi yang hilang: 60 × 25% = 15 transaksi.
• Kerugian: 15 × Rp35.000 = Rp525.000 dalam satu hari.

Jika baru disadari setelah lima hari, kerugiannya sekitar Rp2.625.000. Pemeriksaan pagi selama dua menit mencegah hampir seluruhnya.

Daftar periksa singkat untuk kasir

Pertanyaan yang sering diajukan

Siapa yang menanggung kerugian bila pembeli membayar ke QRIS palsu?

Tergantung fakta kasus dan pihak yang lalai. Dalam praktik, dana yang masuk ke rekening pelaku sulit ditarik. Laporkan segera agar penyedia bisa menindak rekening penerima.

Apakah QRIS dinamis lebih aman?

Lebih sulit dipalsukan karena kodenya dibuat per transaksi di perangkat Anda. Namun notifikasi tetap harus diperiksa.

Bagaimana dengan pembeli yang membayar kurang karena salah ketik?

Itu bukan penipuan, tetapi tetap periksa nominal di notifikasi sebelum menyerahkan barang. Lihat chargeback dan sengketa.

Apakah perlu melapor ke Bank Indonesia?

Laporan pertama ke penyedia dan polisi. Bank Indonesia bisa dihubungi bila penanganan oleh penyedia tidak memadai.

Sumber resmi

• Bank Indonesia — edukasi penggunaan QRIS yang aman
• BI Bicara 131 — pengaduan sistem pembayaran
• Kepolisian Negara Republik Indonesia — laporan dugaan penipuan
• Otoritas Jasa Keuangan — informasi waspada penipuan keuangan