Penggunaan QRIS yang semakin luas ikut membuka celah bagi penipu untuk mengalihkan dana, mencuri data, hingga mengecoh pedagang dengan bukti transaksi palsu. Risiko ini perlu dikenali karena kode QR dapat ditempel di tempat umum, dikirim lewat pesan, atau disisipkan pada situs yang menyerupai layanan resmi.
Bank Indonesia mencatat pengguna QRIS telah mencapai 60,77 juta hingga Februari 2026. Pertumbuhan transaksi digital tersebut membuat pengguna dan pelaku usaha perlu lebih teliti memeriksa identitas penerima sebelum menyelesaikan pembayaran.
Penipuan QRIS umumnya memanfaatkan kemiripan tampilan kode, nama merchant, jenis barang, atau nominal transaksi. Pelaku dapat membuat korban yakin bahwa pembayaran masuk ke pihak yang benar, padahal dana justru mengarah ke rekening pribadi penipu.
Ringkasan 5 Modus Penipuan QRIS
| Modus | Cara Kerja | Target Utama |
|---|---|---|
| Barcode QRIS palsu | Kode asli di tempat umum diganti dengan kode milik pelaku. | Pengunjung dan donatur |
| Screenshot transaksi lama | Bukti pembayaran lama diedit untuk mengelabui penjual. | Pedagang |
| Penukaran rekening | Korban diarahkan membayar ke rekening tujuan berbeda. | Pembeli |
| Scamming | Pelaku menawarkan hadiah atau keuntungan untuk mendorong transfer. | Pengguna QRIS |
| Phishing | Situs palsu dipakai untuk mengambil data dan dana korban. | Pengguna layanan pembayaran |
1. Mengubah Barcode QRIS di Tempat Umum
Modus ini terjadi ketika pelaku menempelkan kode QR palsu di lokasi yang ramai, seperti gerai makanan, minuman, maupun area publik. Kode tersebut dapat terlihat meyakinkan karena ditempatkan di dekat titik pembayaran yang biasa digunakan pengunjung.
Contohnya dapat terjadi pada kotak amal masjid yang memiliki QRIS di beberapa titik. Pelaku berpotensi mengganti barcode donasi dengan QRIS yang mengarah ke rekening pribadinya, sehingga dana tidak masuk ke pengelola yang seharusnya.
2. Memakai Screenshot QRIS Lama untuk Mengecoh Penjual
Pedagang juga menjadi sasaran melalui bukti pembayaran palsu yang dibuat dari screenshot transaksi sebelumnya. Gambar bukti itu dapat diedit agar tampak sesuai dengan nominal pembelian baru.
Menurut Bank Mega Syariah, pelaku memanfaatkan situasi ketika penjual sedang melayani banyak pembeli dan tidak sempat memeriksa transaksi secara rinci. Karena itu, bukti yang ditunjukkan pelanggan tidak cukup dijadikan satu-satunya tanda bahwa dana telah diterima.
3. Menukar Rekening Tujuan Pembayaran
Penipu dapat mengirim QRIS palsu dan mengarahkan korban membayar ke rekening yang berbeda dari tujuan semestinya. Modus ini memanfaatkan pengguna yang belum memahami cara memeriksa informasi penerima sebelum pembayaran dikonfirmasi.
Korban bisa mengira transaksi dilakukan kepada penjual atau lembaga yang sah karena tampilan QRIS dibuat menyerupai kebutuhan pembayaran tertentu. Padahal, rekening penerima dana telah diubah dan dikendalikan oleh pelaku.
4. Scamming dengan Iming-Iming Keuntungan
Scamming menggunakan pendekatan psikologis agar korban segera melakukan transfer melalui QRIS. Pelaku biasanya mengaku sebagai pihak resmi lalu menawarkan hadiah atau keuntungan besar untuk mendorong korban mengambil keputusan cepat.
Tekanan untuk segera membayar perlu dianggap sebagai tanda peringatan. Penerima pembayaran yang sah seharusnya dapat diverifikasi melalui nama penerima dan identitas lembaga yang jelas.
5. Phishing lewat Situs yang Menyerupai Layanan Resmi
Phishing dilakukan dengan membuat situs palsu yang tampilannya mirip dengan penyedia jasa pembayaran non-tunai. Korban dapat diarahkan untuk memindai QRIS atau memasukkan data pribadi tanpa menyadari bahwa halaman tersebut bukan layanan resmi.
Jika korban melanjutkan proses, pelaku berpotensi memperoleh data pribadi sekaligus dana yang ditransfer. Risiko ini meningkat ketika pengguna tidak memeriksa alamat situs dan identitas pihak penerima pembayaran.
Cara Mengurangi Risiko Saat Bertransaksi
Langkah pertama adalah memastikan nama penerima yang muncul dalam aplikasi sesuai dengan merchant, penjual, atau lembaga yang dituju. Pemeriksaan ini penting terutama ketika QRIS digunakan untuk donasi, pembayaran di tempat umum, atau transaksi dari tautan digital.
Pengguna juga perlu memperhatikan kondisi fisik poster QRIS. Di restoran atau gerai, pastikan kode yang dipindai memang berasal dari pengelola tempat tersebut, bukan stiker tambahan atau kode dari sumber lain.
Bagi pedagang, konfirmasi transaksi sebaiknya dilakukan langsung melalui aplikasi penerima pembayaran. Periksa apakah dana benar-benar masuk, termasuk waktu transaksi, nominal, dan tujuan pembayaran, karena screenshot dapat dipalsukan atau diedit.
Jangan sembarang memindai kode QR yang muncul di situs web, terutama bila terdapat perbedaan nama institusi atau informasi penerima. Jika ada pemberitahuan bahwa rekening tujuan berubah, pastikan informasi itu berasal dari pihak resmi sebelum melakukan pembayaran.
Kode QR juga dapat berkaitan dengan informasi pribadi. Karena itu, hindari membagikan kode QR maupun dokumen pribadi secara sembarangan, baik dalam bentuk cetak, pesan digital, maupun unggahan media sosial.
