Sebelum Memindai QR Code, Berhenti Sejenak dan…

QR code sudah menjadi bagian dari aktivitas sehari-hari: membayar makanan, membuka menu, mengisi formulir, sampai mengakses promosi. Masalahnya, kita sering memperlakukan semua QR code sebagai sesuatu yang netral. Padahal, kode tersebut hanya berfungsi sebagai pintu menuju suatu tujuan—dan kita perlu memastikan pintunya mengarah ke tempat yang benar.

Penipu dapat menempelkan QR code baru di atas kode resmi, mengarahkan pengguna ke situs palsu, atau mengganti tujuan pembayaran dengan rekening mereka sendiri. Modus yang memanfaatkan QR code untuk phishing sering disebut quishing, gabungan dari QR dan phishing. Bank Indonesia juga mengingatkan masyarakat untuk menghindari QR code dari sumber mencurigakan, tidak memasukkan data keamanan pada halaman hasil pemindaian, dan segera mengganti kredensial jika telanjur mengikuti instruksi yang mencurigakan.

QR code tidak otomatis berarti aman

Bentuk kotak hitam-putih pada QR code tidak memberi tahu kita apakah tujuan di baliknya dapat dipercaya. Kamera ponsel hanya membaca pola tersebut lalu meneruskan kita ke alamat tertentu. Jika alamatnya mengarah ke halaman login palsu, aplikasi berbahaya, atau akun pembayaran yang bukan milik merchant, proses pemindaian dapat menjadi awal masalah.

Untuk pembayaran QRIS, standar teknis dan penyelenggara resminya memang diawasi. Namun, penipu masih dapat menyalahgunakan situasi di lapangan—misalnya dengan menempelkan stiker QRIS palsu di meja kasir atau menampilkan kode pembayaran yang tidak sesuai dengan nama toko. Karena itu, keamanan tidak berhenti pada teknologi QRIS. Pengguna tetap perlu memeriksa tujuan transaksi sebelum menekan tombol bayar.

Lima pemeriksaan sebelum memindai

1. Periksa sumber QR code

Tanyakan dari mana kode itu berasal. QR code di kasir resmi, aplikasi bank, atau situs organisasi yang Anda buka sendiri memiliki konteks berbeda dari kode yang dikirim lewat pesan pribadi, ditempel di tempat umum, atau muncul pada poster yang kualitas cetaknya buruk.

Jangan langsung memindai kode yang disertai tekanan seperti “wajib scan sekarang”, “akun akan diblokir”, atau “hadiah akan hangus dalam lima menit”. Desakan waktu sering dipakai agar korban tidak sempat berpikir.

2. Lihat hasil pemindaian sebelum melanjutkan

Memindai tidak sama dengan menyetujui. Beri waktu untuk membaca alamat situs, nama merchant, nominal, dan informasi lain yang muncul di layar. Jika hasilnya berupa tautan dengan alamat aneh, banyak karakter acak, atau domain yang menyerupai layanan resmi, tutup halaman tersebut.

Waspadai pula QR code yang meminta Anda mengunduh aplikasi dari sumber tidak dikenal. Untuk aplikasi pembayaran, gunakan toko aplikasi resmi atau situs resmi penyedia layanan. Bank Indonesia secara khusus menyarankan agar pengguna tidak mengunduh aplikasi dari hasil pemindaian jika sumbernya tidak jelas.

3. Cocokkan nama merchant dan nominal

Saat membayar dengan QRIS, nama merchant yang muncul di aplikasi harus sesuai dengan tempat atau orang yang menerima pembayaran. Nama yang berbeda adalah alasan untuk berhenti dan bertanya, bukan sesuatu yang boleh diabaikan karena antrean sedang panjang.

Periksa nominal sebelum memasukkan PIN. Kesalahan satu angka nol dapat mengubah pembayaran kecil menjadi kerugian besar. Bank Indonesia juga menekankan pentingnya memastikan tujuan pembayaran dan nilai transaksi sudah sesuai sebelum otorisasi dilakukan.

4. Jangan masukkan PIN, OTP, atau password di halaman hasil scan

QR code untuk pembayaran biasanya diproses di aplikasi pembayaran yang sudah Anda buka, bukan melalui halaman web acak yang meminta password, PIN, OTP, atau data kartu. Jika sebuah halaman meminta informasi tersebut dengan alasan verifikasi hadiah, pembaruan akun, atau pembatalan transaksi, anggap itu sebagai tanda bahaya.

PIN dan OTP adalah kunci untuk mengotorisasi tindakan penting. Pihak resmi tidak seharusnya meminta Anda membagikan kode tersebut melalui chat, telepon, formulir asing, atau situs yang tidak Anda akses melalui kanal resmi.

5. Pastikan transaksi benar-benar selesai

Setelah membayar, periksa notifikasi pada aplikasi Anda. Jangan hanya mengandalkan tangkapan layar dari pihak lain atau pesan “sudah masuk” yang tidak dapat diverifikasi. Untuk transaksi di toko, merchant juga sebaiknya memeriksa notifikasi penerimaan pada perangkat atau aplikasi mereka.

Dalam panduan QRIS, Bank Indonesia menyarankan pengguna memeriksa nama merchant sebelum pembayaran dan memastikan notifikasi transaksi diterima setelah pembayaran berhasil.

Bagaimana jika sudah telanjur memindai?

Tidak semua pemindaian langsung menyebabkan kerugian. Yang penting adalah tindakan setelahnya. Jika Anda hanya membuka halaman lalu menutupnya tanpa memasukkan data, mengunduh aplikasi, atau menyetujui transaksi, risikonya biasanya lebih rendah—meski tetap pantas memeriksa aktivitas akun.

Tutup halaman tersebut dan jangan mengikuti instruksi lanjutan.
Jika sempat memasukkan password, segera ganti password dari aplikasi atau situs resmi yang diketik sendiri alamatnya.
Jika PIN, OTP, atau data kartu ikut diberikan, hubungi bank atau penyedia pembayaran melalui nomor resmi.
Periksa riwayat transaksi dan aktifkan notifikasi transaksi jika belum aktif.
Jika terjadi pembayaran tidak sah, segera laporkan kepada penyedia jasa pembayaran dan simpan bukti berupa waktu, nominal, nama merchant, serta tangkapan layar.

Apa artinya bagi kita?

QR code bukan sesuatu yang harus ditakuti atau dihindari seluruhnya. Ia adalah alat yang praktis, tetapi praktis tidak sama dengan otomatis aman. Kebiasaan paling berguna adalah menerapkan jeda beberapa detik sebelum memindai atau membayar: lihat sumbernya, baca hasilnya, cocokkan tujuannya, lalu otorisasi hanya jika semuanya masuk akal.

Untuk pemilik toko dan penyelenggara acara, pemeriksaan juga perlu dilakukan dari sisi sebaliknya. Tempelkan QRIS pada tempat yang mudah diawasi, gunakan materi resmi dari penyedia pembayaran, dan periksa secara berkala apakah ada stiker tambahan atau perubahan pada kode. Bagi pengguna, jangan merasa tidak enak untuk bertanya ketika nama merchant atau nominal terlihat berbeda.

Di dunia digital, satu kebiasaan sederhana sering lebih berguna daripada rasa percaya diri yang berlebihan: jangan membayar sesuatu yang belum Anda pastikan tujuannya.

Sumber & bacaan lebih lanjut

– Rio Yotto @rioyotto