Ciri QRIS palsu dan cara cek QRIS asli sebelum bayar

QRIS membuat bayar jadi secepat memindai kode. Kemudahan itu juga dimanfaatkan penipu. Sepanjang 2025–2026, laporan QRIS palsu terus bermunculan: stiker QR yang ditempel di atas kode asli di warung dan kantin, kode di kotak amal dan parkiran, sampai link "update QRIS" yang dikirim lewat chat. Kasusnya pun nyata. Di sebuah food court kampus di Bandung, belasan pedagang menjadi korban karena QRIS mereka ditempeli stiker palsu, dan uang pembeli masuk ke rekening penipu.

Kabar baiknya: QRIS palsu hampir selalu bisa dikenali dalam sepuluh detik, asal Anda tahu apa yang dicek. Artikel ini membahas ciri-ciri QRIS palsu, cara cek QRIS asli sebelum membayar, apa yang harus dilakukan kalau sudah terlanjur membayar, dan langkah yang perlu diambil merchant agar QRIS tokonya tidak disalahgunakan.

Apa itu QRIS palsu?

QRIS palsu adalah kode QR yang terlihat seperti QRIS resmi milik sebuah toko, tetapi saat dipindai, uangnya mengalir ke rekening atau dompet digital orang lain. Yang dipalsukan bukan sistem QRIS-nya. Sistem QRIS dari Bank Indonesia tetap aman. Yang dipalsukan adalah kodenya: penipu membuat QRIS atas nama dirinya sendiri, lalu memasangnya di tempat yang seharusnya dipakai toko lain.

Karena itu, pertanyaan pentingnya bukan "apakah QRIS ini sah?", tapi "apakah QRIS ini benar milik toko yang saya bayar?". Semua cara cek di bawah ini berangkat dari pertanyaan itu.

Modus penipuan QRIS yang paling sering terjadi

1. Stiker QR ditempel di atas QRIS asli

Ini modus yang paling banyak dilaporkan. Penipu mencetak QRIS miliknya, lalu menempelkannya di atas stiker QRIS toko, biasanya saat toko ramai atau sudah tutup. Pembeli memindai seperti biasa, pembayaran "berhasil", tetapi uangnya tidak pernah masuk ke kas toko. Toko baru sadar setelah pembeli protes atau setelah mencocokkan mutasi di sore hari.

2. QRIS di tempat tanpa pengawasan

Kotak amal, parkiran, mesin minuman, tiang di pinggir jalan, sampai pompa bensin yang tidak dijaga adalah tempat favorit penipu. Tidak ada kasir yang bisa ditanya, jadi pembeli langsung memindai saja.

3. Link "update QRIS" dan hadiah palsu (quishing)

Modus ini disebut quishing (QR phishing). Penipu mengirim pesan berisi kode QR atau link dengan alasan "QRIS Anda harus diperbarui", "klaim hadiah", atau "verifikasi akun merchant". Setelah dipindai, korban dibawa ke website yang meminta PIN, OTP, atau data login mobile banking. Ingat: QRIS asli tidak pernah meminta Anda membuka website atau mengisi PIN di luar aplikasi pembayaran Anda.

4. Bukti bayar palsu

Ini kebalikannya: pembeli yang menipu toko. Pembeli menunjukkan screenshot "pembayaran berhasil" yang sudah diedit, padahal tidak ada uang yang masuk. Modus ini sudah kami bahas lengkap di cara mencegah penipuan bukti transfer palsu.

5. Mengaku dari bank, BI, atau penyedia pembayaran

Penipu menghubungi merchant lewat WhatsApp atau telepon, mengaku petugas bank, Bank Indonesia, atau tim support penyedia pembayaran, lalu meminta kode OTP atau meminta merchant "memasang QRIS baru". Bank dan penyedia pembayaran resmi tidak pernah meminta OTP atau password. Baca juga akun "support" palsu dan phishing.

Ciri-ciri QRIS palsu

Sebelum membayar, waspadai tanda-tanda berikut:

• Nama penerima tidak cocok. Setelah dipindai, aplikasi menampilkan nama merchant. Kalau yang muncul nama orang pribadi atau nama yang tidak ada hubungannya dengan toko, jangan bayar.
• Ada stiker di atas stiker. Pinggiran yang menonjol, posisi miring, warna yang berbeda dari stiker di bawahnya, atau terasa tebal saat diraba.
• Tidak ada NMID atau Terminal ID. Stiker QRIS resmi mencantumkan NMID (National Merchant ID) dan biasanya juga TID (Terminal ID) di bawah nama merchant. Stiker palsu sering tidak mencantumkannya.
• Cetakan buruk. Kode buram, logo pecah, warna kusam, atau stiker gampang mengelupas.
• Membuka website, bukan halaman bayar di aplikasi. QRIS resmi langsung membuka halaman pembayaran di dalam aplikasi bank atau e-wallet Anda. Kalau malah membuka browser, berhenti.
• Dikirim lewat chat dengan alasan mendesak. "Segera bayar ke QR ini, QR lama sudah tidak aktif" adalah kalimat klasik penipu.

Cara cek QRIS asli sebelum bayar

Lakukan lima langkah ini. Butuhnya kurang dari sepuluh detik.

1. Scan dari aplikasi pembayaran resmi, bukan dari kamera HP atau aplikasi pemindai QR biasa. Aplikasi bank atau e-wallet akan membaca data QRIS dan menampilkan nama penerima sebelum Anda membayar.
2. Baca nama penerima dengan teliti sebelum menekan "Bayar". Cocokkan dengan nama toko, papan nama, atau nama di struk. Untuk QRIS di halaman checkout toko online, cocokkan dengan nama yang tertera di halaman pembayaran resminya.
3. Cek NMID pada stiker. NMID biasanya diawali huruf ID diikuti deretan angka. Kalau ragu, foto stikernya dan tanyakan ke kasir.
4. Periksa fisik stiker. Raba pinggirannya. Stiker yang ditempel belakangan biasanya terasa lebih tebal atau tidak rata.
5. Tanya kasir untuk nominal besar. Penjual asli akan dengan senang hati memastikan kodenya. Kalau penjual menghindar, sebaiknya batalkan.

Satu kebiasaan kecil yang sangat membantu: untuk pembayaran besar ke penjual yang baru Anda kenal, bayar nominal kecil dulu, minta penjual memastikan uangnya masuk, baru bayar sisanya.

QRIS statis vs dinamis: mana yang lebih aman?

QRIS statis adalah satu kode yang dicetak dan dipakai berulang kali. Pembeli mengetik sendiri nominalnya. Kode seperti inilah yang paling sering ditimpa stiker palsu, karena tercetak di tempat terbuka dan jarang dicek ulang.

QRIS dinamis dibuat baru untuk setiap transaksi, sudah berisi nominal tagihan, dan biasanya punya batas waktu. Kode ini muncul di layar kasir atau di halaman checkout toko online, lalu kedaluwarsa. Karena selalu baru dan hanya berlaku beberapa menit, kode dinamis jauh lebih sulit dipalsukan dengan stiker. Penjelasan lengkapnya ada di QRIS statis vs QRIS dinamis.

Sudah terlanjur bayar ke QRIS palsu? Lakukan ini

Bergerak cepat. Semakin cepat dilaporkan, semakin besar peluang dana bisa diblokir sebelum dipindahkan penipu.

1. Simpan bukti. Screenshot riwayat transaksi di aplikasi Anda: nama penerima, nominal, tanggal, jam, dan nomor referensi. Foto juga stiker QRIS yang Anda pindai.
2. Lapor ke bank atau e-wallet yang Anda pakai untuk membayar, lewat call center atau menu bantuan resmi di aplikasinya. Minta laporan penipuan dicatat dan rekening penerima ditelusuri.
3. Lapor ke Indonesia Anti-Scam Centre (IASC) di iasc.ojk.go.id. Kanal resmi OJK ini dibuat agar rekening pelaku bisa diblokir dengan cepat. Hingga September 2026, IASC sudah menerima lebih dari 700 ribu laporan penipuan, dan sebagian dana korban berhasil dikembalikan.
4. Kabari pemilik toko atau pengelola tempat agar stiker palsu segera dicopot dan tidak ada korban berikutnya.
5. Lapor ke polisi bila nominalnya besar. Bawa semua bukti di atas.

Untuk pertanyaan seputar sistem pembayaran, Anda juga bisa menghubungi Bank Indonesia di 131 atau kontak OJK di 157.

Untuk merchant: cara melindungi QRIS toko Anda

QRIS palsu merugikan merchant dua kali: uang pembeli hilang, dan kepercayaan pembeli ikut turun. Langkah-langkah ini mengurangi risikonya secara drastis.

Toko fisik

• Cek stiker QRIS setiap buka dan tutup toko. Jadikan bagian rutinitas, sama seperti menghitung kas.
• Pasang di tempat yang terlihat kasir, dan pakai dudukan akrilik atau laminasi yang sulit ditempeli stiker lain.
• Tulis nama toko dengan jelas di dekat QRIS, misalnya "Pastikan nama penerima: Kopi Senja", supaya pembeli tahu apa yang harus dicocokkan.
• Gunakan QRIS dinamis di kasir kalau memungkinkan, agar setiap transaksi punya kode baru.

Toko online

• Tampilkan QRIS hanya di halaman checkout resmi Anda, dan jangan pernah mengirim kode QR pembayaran lewat chat. Kalau pembeli terbiasa membayar dari halaman checkout, penipu yang mengaku sebagai "admin toko" dan mengirim QR lewat chat langsung terlihat janggal.
• Pakai QRIS dinamis per pesanan. Payment gateway seperti PAYWISE membuat QRIS baru untuk setiap pesanan, sudah berisi nominal yang tepat, dan kedaluwarsa otomatis. Lihat cara membuat QRIS untuk toko online.
• Jangan percaya screenshot. Status pembayaran harus datang dari sistem, lewat dashboard atau webhook, bukan dari halaman sukses atau foto yang dikirim pembeli. Penjelasannya ada di kenapa status pembayaran harus dicek dari webhook.
• Cocokkan nama QRIS dan nomor referensi. Di PAYWISE, setiap transaksi QRIS mencatat nama QRIS dan nomor RRN yang bisa Anda cocokkan saat ada komplain pembeli.
• Edukasi pembeli. Satu kalimat di halaman checkout, seperti "Kami tidak pernah mengirim kode QR lewat chat", sudah mencegah banyak kasus.
• Kenali pembeli penipu. Baca tanda-tanda pembeli penipu di toko online.

Ringkasan

Pertanyaan yang sering diajukan (FAQ)

Bagaimana cara cek QRIS asli atau palsu? Scan dengan aplikasi bank atau e-wallet resmi, lalu baca nama penerima sebelum menekan bayar. Pastikan namanya sama dengan toko, stiker tidak tertimpa stiker lain, dan ada NMID di bawah kode.

Apa itu NMID pada QRIS? NMID (National Merchant ID) adalah nomor identitas unik merchant yang terdaftar di sistem QRIS. Biasanya diawali huruf ID dan tercetak di bawah nama merchant pada stiker QRIS.

Apakah uang yang terlanjur dibayar ke QRIS palsu bisa kembali? Bisa, tetapi tidak selalu. Peluangnya paling besar kalau Anda segera melapor ke bank atau e-wallet dan ke IASC (iasc.ojk.go.id), sebelum penipu memindahkan dananya.

Apakah QRIS dinamis bisa dipalsukan? Jauh lebih sulit. QRIS dinamis dibuat baru untuk setiap transaksi, sudah berisi nominal, dan cepat kedaluwarsa. Penipu tidak bisa menimpanya dengan stiker. Tetap waspadai kode QR yang dikirim lewat chat atau link.

Apakah aman scan QRIS pakai kamera HP? Sebaiknya tidak. Kamera atau aplikasi pemindai biasa bisa membuka link berbahaya. Selalu scan dari dalam aplikasi pembayaran resmi, yang akan menampilkan nama penerima sebelum Anda membayar.

Apa yang harus dilakukan merchant kalau menemukan stiker QRIS palsu di tokonya? Copot stikernya, foto sebagai bukti, cek mutasi untuk memperkirakan berapa pembayaran yang hilang, lalu laporkan ke penyedia QRIS Anda dan ke polisi. Beri tahu pembeli lewat papan atau media sosial agar mereka memeriksa nama penerima.

Sumber: Kontan, 6 Okt 2026: IASC terima 702.342 laporan penipuan hingga September 2026, GoPay: cara mengetahui QRIS palsu, Ezeelink: ciri QRIS palsu. Artikel ini informasi umum, bukan nasihat hukum.