QRIS Palsu Buatan AI Menguras Toko Kelontong, dan Satu Kebiasaan Kecil Bisa Hentikan

Kasus Ini Sudah Terjadi, dan Modusnya Sangat Sederhana

Seorang pemuda berinisial AY (25), warga Kutai, Kalimantan Timur, sedang menganggur dan merantau ke Surabaya. Modus yang dipilihnya nyaris tidak butuh modal selain satu ponsel pintar. Ia mendatangi sebuah toko kelontong di Jalan Bulak Banteng Wetan, Kecamatan Kenjeran, lalu meminta tarik tunai. Sebagai ganti uang, ia menunjukkan layar hp berisi bukti pembayaran QRIS. Uang tunai berpindah tangan, dan rekening toko ternyata tidak menerima apa-apa.

Bukti QRIS yang ditunjukkan pelaku adalah hasil suntingan kecerdasan buatan. Aksi pertamanya pada 11 Februari 2026 mengambil Rp370.000. Merasa tidak ketahuan, ia kembali pada 20, 21, dan dua kali pada 22 Mei 2026, masing-masing Rp550.000, Rp550.000, Rp720.000, dan Rp600.000. Total kerugian karyawan toko berinisial IN (25) tercatat Rp3.390.000 dalam lima aksi. Iptu Suroto, Kasi Humas Polres Pelabuhan Tanjung Perak, mengatakan pelaku sengaja menyerang pekerja toko yang kurang teliti saat memeriksa mutasi rekening.

Pelaku akhirnya tertangkap karena pemilik toko berinisial MNR menyadari kejanggalan dalam pembukuan dan ketiadaan dana masuk. Saat pelaku datang untuk aksi berikutnya, pemilik toko sudah menunggu bersama petugas Polsek Kenjeran. Polisi menyita ponsel yang dipakai menyunting gambar pembayaran, dan masih menelusuri kemungkinan tempat kejadian perkara lain meski pelaku mengaku baru pertama kali beraksi.

Quishing, Jebakan Lama yang Berpakaian Baru

Kasus di Surabaya adalah bentuk yang paling langsung. Tapi ada modus lain yang lebih halus dan sedang naik daun, namanya quishing, gabungan dari QR code dan phishing. Cara kerjanya memanfaatkan sifat dasar kode QR yang sebagian besar orang tidak tahu akan dibawa ke mana sebelum memindainya. Setelah dipindai, kode bisa membuka situs web, pesan teks, daftar aplikasi, atau peta.

Pelaku quishing memanfaatkan kebingungan itu untuk mengarahkan calon korban ke situs palsu, atau mengelabui korban agar mengunduh berkas yang membahayakan ponsel. Setelah masuk, korban diminta memasukkan kredensial login, dan data itu langsung jatuh ke pelaku. Modus ini semakin masif karena siapa saja bisa membuat kode QR tanpa keahlian khusus.

Kode QR jahat biasanya berbau tergesa-gesa. Peringatan seperti pindai sekarang untuk memverifikasi identitas atau mencegah penghapusan akun adalah contoh pola yang sengaja memompa rasa urgensi. Selain waspada terhadap kode asal di tempat umum, aktifkan autentikasi dua faktor di setiap akun penting.

Pedagang juga punya empat modus yang harus diwaspadai. Pertama, kelebihan transfer, pembeli mengaku salah kirim nominal lebih besar lalu meminta pengembalian dana yang sebenarnya tidak pernah masuk. Kedua, struk palsu, bukti transfer hasil edit yang ditunjukkan ke kasir. Ketiga, penggantian QRIS, kode QR asli ditimpa kode milik penipu sehingga pembayaran masuk ke rekening lain. Keempat, kesalahan pembayaran oleh pembeli, bisa murni keliru atau sengaja.

Satu Kebiasaan di Kasir yang Memutus Modusnya

Semua modus di atas runtuh di satu titik yang sama, kebiasaan memeriksa notifikasi transaksi masuk langsung di aplikasi, bukan memercayai layar pembeli. Pemilik toko di Surabaya menyelamatkan sisa uangnya dengan langkah yang persis seperti ini. Bukan menduga, tapi membuka pembukuan dan mencocokkannya dengan mutasi rekening sungguhan.

Ada beberapa langkah praktis yang bisa langsung dipakai. Sebutkan nama toko dan nominal pembayaran kepada pelanggan sebelum mereka melakukan transaksi. Letakkan QRIS di lokasi yang mudah diawasi agar tidak tertimpa kode QR lain. Pastikan pembayaran hanya lewat aplikasi mobile banking atau dompet digital resmi, bukan aplikasi kamera biasa. Dan jangan pernah menjadikan struk pembeli sebagai satu-satunya bukti, karena struk adalah hal pertama yang bisa dipalsukan.

Pindai Dulu Sebelum Dipindai, QRIS Tap Ubah Caranya

Bank Indonesia meluncurkan QRIS Tap pada 14 Maret 2025, dan cara kerjanya memang memotong satu titik kerawanan tadi. Layanan ini menggabungkan QRIS Consumer Presented Mode dengan teknologi NFC, jadi pembayaran cukup dilakukan dengan menempelkan ponsel ke terminal pembayaran nirsentuh. Tidak ada lagi pemindaian kode QR di udara, dan kecepatan transaksinya bisa sampai 0,3 detik, jauh dibanding 4 hingga 5 detik pada kartu chip konvensional.

Cara pakainya singkat. Buka aplikasi mobile banking atau dompet digital yang mendukung QRIS, pastikan fitur NFC sudah aktif di pengaturan ponsel, lalu pilih menu QRIS dan QRIS Tap. Tentukan sumber dana, masukkan PIN untuk konfirmasi, dan tempelkan ponsel ke terminal pembayaran di merchant. Sekitar 15 penyedia jasa pembayaran sudah mendukung fitur ini, mulai dari BRI, Mandiri, BNI, BCA, CIMB Niaga, Bank Mega, Bank DKI, Bank Permata, Bank Sinarmas, Bank BPD Bali, Bank National Nobu, hingga Gopay, ShopeePay, Dana, dan Netzme.

Pada Maret 2025, QRIS Tap sudah tersedia di 2.353 merchant, terdiri dari 1.528 ritel, 550 rumah sakit, 134 transportasi, 138 UMKM, dan tiga lokasi parkir. Layanan transportasi pada tahap awal mencakup MRT rute Bundaran HI hingga Lebak Bulus, 120 armada JRConn, dan 12 moda Royal Trans, lalu diperluas ke Trans Metro Pasundan Bandung dan Trans Sarbagita Bali. Dicky Kartikoyono, Kepala Departemen Sistem Pembayaran BI, menyebut 1.081.543 reader yang ada perlu disesuaikan supaya bisa membaca NFC QRIS Tap.

Yang Sudah Bisa dan Yang Masih Menunggu

QRIS Tap untuk sementara hanya bisa dipakai pada ponsel Android yang punya NFC aktif. Pengguna iPhone harus bersabar karena Apple belum membuka akses NFC untuk pihak ketiga, akses itu masih eksklusif untuk Apple Pay. Deputi Gubernur BI Filianingsih Hendarta mengatakan Apple Indonesia beserta kantor pusatnya sudah datang dan mendalami kemungkinan pembukaan fitur tersebut, seperti yang sudah mereka lakukan di Uni Eropa, tapi belum ada kepastian waktunya.

Meski begitu, pemakaiannya terus tumbuh. Per Februari 2026, QRIS Tap telah memproses lebih dari 475.000 transaksi dengan pertumbuhan sekitar 7,9 persen setiap bulan. Nilai transaksinya mencapai sekitar Rp4,6 miliar, tumbuh 6,4 persen per bulan. Tiket rata-rata transaksi di sektor transportasi sekitar Rp5.000-an, sedangkan di restoran dan ritel sekitar Rp70.000-an. Layanan ini kini juga bisa dipakai pada smartwatch berbasis Google WearOS.

QRIS juga makin melampaui batas negara. Sejak 25 Agustus 2025, QRIS resmi berlaku di Jepang, sehingga sekitar 500 ribu pelancong Indonesia bisa membayar tanpa menukar yen. Tahap awal mencakup World Expo 2025 di Osaka, termasuk Paviliun Indonesia dan sejumlah merchant di Bandara Haneda, sebelum diperluas bertahap. Gubernur BI Perry Warjiyo menyebut para pelancong hanya butuh ponsel, bukan lagi rupiah maupun yen.

Tiga Langkah yang Bisa Dimulai Hari Ini

Pertama, jadikan notifikasi transaksi masuk sebagai satu-satunya kebenaran di kasir, bukan struk atau layar pembeli. Kedua, kalau punya ponsel Android dengan NFC, coba aktifkan QRIS Tap di aplikasi pembayaran yang sudah mendukung, dan perbarui aplikasi sebelumnya. Ketiga, kalau memasang QRIS di tempat usaha, pastikan kode berada di tempat yang bisa diawasi dan tidak bisa diam-diam ditimpa kode lain.

Pelaku di Surabaya butuh lima kali percobaan dan teknologi AI hanya untuk menipu satu toko yang lalai memeriksa mutasi. Pelaku quishing butuh satu kode QR yang tidak perlu Anda pindai. Dua-duanya kalah sama cepatnya dengan satu kebiasaan kecil, yaitu membuka aplikasi dan memastikan uangnya benar-benar masuk.