Antrean bergerak cepat. Orang di belakang sudah pegang ponsel. Kasir menyebut total. Kita scan QRIS yang ditempel dekat meja, layar pembayaran muncul, jempol hampir otomatis menekan lanjut.
Di momen seperti itu, yang paling sering dicek cuma nominal.
“Seratus dua puluh lima ribu, ya?”
Benar. Klik.
Padahal ada satu detail lain yang sama pentingnya: uang itu sebenarnya akan masuk ke siapa?
Bank Indonesia secara eksplisit mengajarkan pengguna untuk memeriksa nama merchant yang muncul setelah memindai QRIS dan memastikan nama tersebut sesuai dengan tempat atau toko yang dituju. BI juga pernah menangani kasus penyalahgunaan QRIS dengan berkoordinasi bersama penyedia jasa pembayaran agar QRIS yang disalahgunakan tidak lagi menerima pembayaran.
Artinya, scan berhasil bukan berarti tujuan pembayaran otomatis benar.
QR bisa valid secara teknis, aplikasi pembayaran bisa membacanya, nominal bisa masuk, tetapi penerimanya tetap bisa salah kalau kode yang dipindai bukan milik merchant yang kita maksud.
Tempat ramai justru membuat autopilot makin kuat
Bayangkan suasana food court jam makan siang.
Satu orang menjaga meja. Satu orang antre. Grup kantor sudah kirim pesan, “gue titip es kopi sekalian.” Kasir buru-buru. Di samping mesin kasir ada beberapa stiker: QRIS, promo, nomor meja, membership, dan mungkin barcode lain.
Kita scan.
Muncul nama.
Jarang dibaca sampai habis.
Bukan karena kita ceroboh. Otak cuma sedang menyelesaikan tugas yang sangat rutin. Scan, masukkan nominal kalau perlu, cek angka, bayar, tunjukkan layar sukses.
Modus QRIS palsu memanfaatkan rutinitas itu. Kode QR tidak harus terlihat “jahat”. Ia bisa berupa cetakan rapi yang ditempel di atas QR asli, diletakkan berdekatan, atau diposisikan di area yang memang terlihat seperti tempat pembayaran.
Karena itu keamanan QRIS tidak cukup berhenti pada “scan dari tempat yang kelihatan resmi”.
Yang menjadi bukti terakhir tetap informasi penerima yang tampil di aplikasi.
Nama merchant adalah checkpoint, bukan dekorasi
Saat kita membayar dengan transfer bank biasa, banyak orang sudah punya kebiasaan mengecek nama penerima.
Nomor rekening dimasukkan, aplikasi menampilkan nama, lalu kita memastikan, “oh iya, ini orangnya.”
Di QRIS, kebiasaan yang sama perlu dibawa.
Setelah scan, jangan langsung lompat ke tombol bayar. Baca nama merchant yang tampil.
Apakah sesuai dengan nama toko?
Kalau bisnis memakai nama badan usaha yang berbeda dari merek di papan depan, tanyakan ke kasir sebelum lanjut. Itu bisa saja normal. Banyak merchant memang terdaftar dengan nama legal atau nama pemilik usaha yang berbeda dari brand yang dilihat pelanggan.
Yang tidak normal adalah ketika nama penerima sama sekali tidak nyambung dan kita tetap membayar hanya karena antrean panjang.
Misalnya kita sedang bayar di toko makanan, tapi layar menunjukkan nama individu yang tidak dikenal. Jangan buru-buru menyimpulkan penipuan, tapi jangan pula mengabaikan. Tunjukkan layar ke kasir.
“Ini nama merchant-nya benar?”
Kalimat lima detik bisa mencegah salah tujuan.
QRIS palsu bukan berarti sistem QRIS-nya palsu
Istilah “QRIS palsu” kadang bikin orang salah paham seolah seluruh sistem pembayarannya yang tidak aman.
Yang sering terjadi justru penyalahgunaan pada titik fisik atau sosial. Kode QR yang ditempel bisa mengarahkan pembayaran ke merchant atau rekening yang berbeda dari tujuan yang dimaksud. BI dalam materi edukasi keuangan digital bahkan menjelaskan risiko quishing, yaitu pemanfaatan QR code sebagai pintu menuju situs berbahaya, aplikasi, atau rekening penipu.
Jadi ada dua skenario berbeda yang perlu dibedakan.
Pertama, QR digunakan untuk pembayaran, tetapi penerimanya bukan merchant yang seharusnya.
Kedua, QR mengarahkan pengguna ke situs atau proses lain yang mencoba mengambil kredensial, PIN, OTP, atau mendorong instalasi aplikasi.
Keduanya sama-sama berangkat dari kebiasaan manusia yang sudah percaya bahwa “kalau bentuknya QR, tinggal scan.”
Padahal QR hanyalah cara menyimpan dan mengarahkan informasi. Kita tetap perlu memeriksa apa yang terbuka setelah scan.
Jangan scan semua QR dengan kamera lalu ikuti apa pun yang muncul
Ada perbedaan kecil yang sering disepelekan.
Untuk pembayaran QRIS, gunakan aplikasi bank atau dompet digital resmi yang memang kita pakai untuk membayar. Jangan menggunakan kamera biasa untuk memindai QR acak lalu mengikuti link yang keluar jika konteksnya seharusnya transaksi merchant.
Kenapa?
Karena QR code bisa mengandung berbagai jenis data, termasuk tautan website. Kalau kita mengira semua QR di meja kasir adalah “QRIS pembayaran”, kita bisa saja diarahkan ke halaman yang tidak ada hubungannya dengan transaksi.
Bank Indonesia menyarankan pengguna menghindari scan QR dari sumber tidak jelas dan tidak mengunduh aplikasi dari hasil scan jika sumbernya meragukan.
Aturan praktisnya gampang:
Kalau mau bayar, buka aplikasi pembayaran sendiri.
Pilih fitur scan QRIS dari dalam aplikasi.
Periksa nama merchant dan nominal.
Baru konfirmasi.
Kita yang memulai prosesnya, bukan QR yang memerintahkan ponsel melakukan hal lain.
Stiker yang rapi tetap perlu dicurigai secara sehat
Banyak orang membayangkan scam selalu terlihat amatir. Kertas miring, tinta jelek, desain norak.
Itu standar yang sudah terlalu rendah.
Printer bagus murah. Desain QR sederhana. Stiker bisa dibuat sangat rapi. Di tempat ramai, orang juga tidak punya waktu melakukan inspeksi forensik pada meja kasir.
Karena itu jangan membuang energi untuk menilai apakah stikernya kelihatan profesional.
Lebih efisien cek hasil scan.
Nama penerima adalah data yang lebih relevan daripada estetika cetakannya.
Kalau merchant memakai QRIS statis, nominal mungkin harus kita masukkan sendiri. Di titik ini ada dua hal yang harus cocok: penerima dan angka.
Kalau merchant memakai QRIS dinamis, nominal bisa muncul otomatis. Tetap cek nama merchant dan nominal sebelum menyelesaikan transaksi.
Kebiasaan ini tidak butuh skill teknis. Cuma butuh satu detik tambahan sebelum konfirmasi.
“Sudah berhasil, Kak” belum tentu berarti merchant menerima
Skenario paling bikin bingung adalah ketika aplikasi pelanggan menunjukkan pembayaran berhasil, tapi kasir bilang belum masuk.
Jangan langsung bayar kedua kali hanya supaya antrean tidak macet.
Pertama, periksa detail transaksi di aplikasi. Lihat nama merchant, nominal, waktu, dan status. Tunjukkan ke kasir. Kasir juga perlu memeriksa sistem atau notifikasi merchant, bukan hanya melihat screenshot pelanggan.
Kalau nama merchant di aplikasi ternyata berbeda, kemungkinan masalahnya bukan “transaksi telat masuk”, melainkan pembayaran memang pergi ke penerima lain.
Kalau nama merchant benar tetapi merchant belum melihat dana, ikuti prosedur penyedia jasa pembayaran. Bank Indonesia memiliki mekanisme pengaduan konsumen yang pada prinsipnya meminta konsumen mengadu dulu kepada penyelenggara jasa pembayaran. Bila belum terselesaikan, ada jalur pengaduan lebih lanjut ke BI sesuai kewenangannya.
Yang sebaiknya tidak dilakukan adalah panik lalu scan QR yang sama lagi tanpa tahu masalah pertama ada di mana.
Satu kesalahan bisa berubah jadi dua transaksi.
Merchant juga perlu punya kebiasaan inspeksi fisik
Keamanan QRIS bukan cuma pekerjaan pembeli.
Pemilik warung, kedai, booth pameran, tempat ibadah, kasir toko, dan usaha kecil yang menaruh QRIS di area publik juga perlu memperlakukan stiker sebagai aset pembayaran.
Kalau QR dibiarkan berminggu-minggu tanpa dicek, seseorang bisa menempelkan kode lain di atasnya. Semakin terbuka lokasinya, semakin masuk akal dilakukan pemeriksaan berkala.
Sebelum buka, staf bisa memastikan kode tidak tertutup stiker lain, tidak bergeser, dan informasi merchant masih sesuai. Kalau ada beberapa QR untuk fungsi berbeda, beri label yang jelas agar pelanggan tidak salah scan.
Merchant juga jangan mengandalkan screenshot pembayaran dari pelanggan. Bukti paling kuat datang dari pencatatan atau notifikasi di sistem merchant sendiri.
Screenshots bisa diedit. Tampilan sukses bisa dipalsukan. Dan pelanggan jujur pun bisa menunjukkan transaksi yang sebenarnya masuk ke merchant lain karena salah QR.
Prosedur dua sisi, pelanggan cek nama penerima dan merchant cek dana masuk, membuat celah jadi lebih kecil.
Tempat ramai butuh desain pembayaran yang tidak membingungkan
Ada satu aspek yang sering luput: tata letak.
Meja kasir yang penuh QR adalah invitation to error.
Ada QR pembayaran. QR membership. QR menu. QR survei. QR promo. QR Wi-Fi. QR Instagram. Kadang semua dicetak dalam ukuran mirip dan diletakkan berdekatan.
Bahkan tanpa penipu, pelanggan bisa salah scan.
Merchant bisa mengurangi risiko hanya dengan desain sederhana: pisahkan QR pembayaran dari QR nonpembayaran, beri label besar, jangan menumpuk terlalu banyak stiker, dan letakkan QRIS di area yang terlihat kasir.
Kalau kode pembayaran berada tepat di depan staf, perubahan fisik juga lebih mudah terlihat dibanding kalau ditempel di tiang atau sudut yang jarang diperhatikan.
Keamanan sering bukan soal teknologi baru. Kadang cuma soal meja yang tidak bikin orang menebak.
Kalau menemukan QR mencurigakan, jangan buru-buru jadi detektif sendirian
Misalnya kita scan di sebuah tempat dan nama merchant sama sekali tidak cocok.
Jangan langsung menuduh kasir atau membuat keributan. Bisa jadi ada penjelasan legal yang sah, bisa jadi salah penempatan, bisa jadi kode memang sudah diganti pihak tidak bertanggung jawab.
Tunjukkan hasil scan ke pengelola.
Kalau QR terlihat ditempel menimpa kode lain, jangan dicopot sembarangan jika itu bisa menjadi bukti. Minta pengelola mengamankan area dan menghubungi penyedia jasa pembayaran mereka. Jika sudah ada kerugian, simpan detail transaksi dan ikuti kanal pelaporan resmi.
Bank Indonesia juga menyarankan pengguna melaporkan QR mencurigakan kepada pihak berwenang atau penyedia layanan.
Tujuannya bukan membuat semua orang takut bayar pakai QRIS. Justru sebaliknya, sistem pembayaran digital tetap nyaman kalau kebiasaan penggunanya ikut matang.
Satu ritual sebelum jempol turun
Kita tidak perlu berdiri satu menit di depan kasir membaca semua data di layar.
Bikin ritual tiga langkah yang bisa dilakukan bahkan saat food court berisik.
Scan dari aplikasi resmi.
Baca nama merchant.
Cek nominal.
Baru bayar.
Kalau salah satu tidak cocok, jangan biarkan tatapan orang di belakang antrean mengambil keputusan untuk kita.
Mereka paling menunggu beberapa detik.
Uang yang salah kirim bisa memakan waktu jauh lebih lama.
Di kota yang semuanya ingin bergerak cepat, keamanan transaksi sering datang dari kemampuan melakukan satu hal kecil sedikit lebih lambat.
Kasir mungkin sudah bilang, “boleh langsung scan ya.”
Silakan scan.
Tapi sebelum jempol menyentuh konfirmasi, lihat satu baris yang sering dilewati karena kita terlalu hafal prosesnya: nama merchant.
QR bisa ditempel ulang. Stiker bisa diganti. Antrean bisa bikin fokus pecah.
Nama penerima di layar adalah kesempatan terakhir kita untuk bertanya, “Ini uang gue benar-benar mau dikirim ke sini?”