Podvody s DuitNow QR: jak falešné QR kódy kradou peníze v malajsijských restauracích a na trzích

DuitNow QR změnil způsob, jakým Malajsijci platí. Jediným naskenováním můžete zaplatit v restauraci, na pasar malam, v obchodě s potravinami i u stánku u silnice. Bank Negara Malaysia uvedla za rok 2025 přes 2 miliardy transakcí DuitNow QR, čímž se tento způsob upevnil jako nejoblíbenější bezhotovostní platba v zemi.

Podvodníci však našli jednoduchý a účinný způsob, jak systém zneužít: vymění pravé QR kódy za vlastní. Oběť zaplatí, peníze jdou podvodníkovi a obchodník nedostane ani sen.

Jak funguje podvod s výměnou QR kódu

Princip je zničujícím způsobem jednoduchý:

1. Podvodník navštíví restauraci, stánek na trhu nebo malý obchod.
2. Přes pravý QR kód obchodníka nalepí nálepku s vlastním QR kódem DuitNow.
3. Zákazníci naskenují falešný QR kód, uvidí platební obrazovku a transakci potvrdí.
4. Peníze místo na účet obchodníka odejdou na účet podvodníka.
5. Obchodník problém zjistí až při kontrole plateb, někdy po hodinách nebo dnech.

Proč jsou terčem malé podniky

Velcí prodejci používají integrované pokladní systémy, které pro každou transakci vygenerují dynamický QR kód. S tím se manipulovat téměř nedá. Malé podniky, jako jsou stánky mamak, prodejci na pasar malam, jídelny nasi campur a trhovci, ale často používají vytištěné statické QR kódy na zalaminovaných kartičkách nebo nálepkách. Ty se dají snadno přelepit.

Varianty podvodu s DuitNow QR

Přelepovací nálepka

Nejběžnější metoda. Nová nálepka s QR kódem se nalepí přímo přes původní. Má stejnou velikost, může nést podobné logo a bez bližšího pohledu se těžko pozná.

Výměna stojánku

Někteří obchodníci vystavují QR kódy na akrylových stojáncích. Podvodníci vymění celý stojánek za identický se svým QR kódem. Obchodník si záměny nemusí všimnout celé dny.

Podvod ve sdíleném prostoru

Ve food courtech a hawker centrech, kde se o prostor dělí více prodejců, umisťují podvodníci další QR kódy na místa, kde to vypadá, že patří k určitému stánku. Zmatení zákazníci pak naskenují nesprávný kód.

Přesměrování přes dynamický QR kód

Zdatnější podvodníci vytvářejí QR kódy, které přesměrují na phishingovou stránku napodobující platební rozhraní DuitNow. Místo spuštění skutečné bankovní platby falešná stránka zachytí vaše přihlašovací údaje do bankovnictví.

Jak se chránit jako zákazník

Před naskenováním

Kontrola	Na co se zaměřit
Stav QR kódu	Není to nálepka přelepená přes jinou? Nejsou vidět okraje nebo hrbolky?
Jméno obchodníka	Odpovídá zobrazené jméno podniku, kterému platíte?
Okolí	Je QR kód na zabezpečeném místě, nebo tam, kam se dostane kdokoli?
Více QR kódů	Nejsou tam konkurenční QR kódy, které by mohly zákazníky zmást?

Během platby

1. Vždy ověřte jméno příjemce, které se zobrazí v bankovní aplikaci, než platbu potvrdíte. Pokud se restaurace jmenuje „Restoran Ali Nasi Kandar“, ale jako příjemce DuitNow se zobrazí „Ahmad bin X“ (jméno soukromé osoby), něco není v pořádku.
2. Zkontrolujte částku. Pokud obchodník používá statický QR kód, zadáváte částku sami. Dynamický QR kód může mít částku přednastavenou. V obou případech ji před potvrzením ověřte.
3. Ukažte potvrzení platby obchodníkovi. Po zaplacení jen tak neodcházejte. Nechte obchodníka ověřit, že mu přišlo oznámení.

Po platbě

• Uložte si referenční číslo transakce. Bankovní aplikace eviduje každou transakci DuitNow s referenčním číslem.
• Pokud obchodník tvrdí, že platbu neobdržel, neplaťte hned znovu. Nejdřív se obraťte na svou banku.

Jak se mohou chránit obchodníci

Pokud v Malajsii provozujete malý podnik, udělejte tyto kroky:

Zabezpečte svůj QR kód

• Zalaminujte QR kód a umístěte ho tam, kde na něj uvidíte.
• Kontrolujte QR kód každý den a hledejte přelepky nebo známky manipulace.
• Používejte stojánek na QR kód s ochranným krytem, který výměnu ztíží.
• Zvažte dynamické QR kódy generované pokladním systémem pro každou transakci.

Ověřujte platby v reálném čase

• Zapněte okamžitá oznámení ve své firemní bankovní aplikaci.
• Vždy si ověřte, že vám přišlo oznámení o platbě, než zákazníkovi transakci potvrdíte.
• Na konci každého dne platby odsouhlaste. Rozdíly mezi evidovanými tržbami a přijatými platbami mohou ukazovat na manipulaci s QR kódem.

Hlaste podezřelou činnost

• Pokud objevíte zmanipulovaný QR kód, neodstraňujte ho sami. Nejdřív ho vyfoťte a nahlaste policii.
• Informujte svou banku o podvodném účtu, na který chodí platby.
• Upozorněte sousední obchodníky. Pokud se útok zaměřil na váš QR kód, mohou být zasaženi i ostatní.

DuitNow QR a jiné platební metody: srovnání bezpečnosti

Metoda	Úroveň rizika	Poznámky
DuitNow QR (dynamický)	Nízká	Částka přednastavená, obtížnější manipulace
DuitNow QR (statický)	Střední	Spoléhá na to, že zákazník ověří jméno příjemce
Hotovost	Střední	Riziko padělků, žádná auditní stopa
Kreditní/debetní karta	Nízká	Ověření čipem a PINem
QR kód Touch 'n Go eWallet	Střední	Podobná rizika statického QR kódu jako u DuitNow

Co dělají banky a BNM

Bank Negara Malaysia a zapojené banky zavedly několik protiopatření:

• Zobrazení jména příjemce: všechny platby DuitNow QR nyní před potvrzením zobrazují registrované jméno.
• Limity transakcí: denní limity a limity na jednu transakci pomáhají omezit možné ztráty.
• Sledování podvodů v reálném čase: banky označují neobvyklé vzorce v transakcích DuitNow.
• Ověřování obchodníků: registrovaní obchodníci DuitNow procházejí ověřením, které propojí jejich QR kód s jejich podnikatelským subjektem.

Tato opatření ale nedokážou zcela odstranit základní slabinu statických QR kódů, které lze fyzicky vyměnit.

Bezpečné sdílení platebních údajů

Pro podniky, které potřebují sdílet svůj QR kód DuitNow nebo platební údaje se zákazníky či partnery, například kvůli zálohám, platbám předem nebo registracím na akce, je posílání obrázků QR kódů přes skupiny na WhatsAppu nebo sociální sítě riskantní. Kdokoli si může QR kód vyfotit z obrazovky a dál ho šířit nebo upravit.

LOCK.PUB nabízí bezpečnější přístup. Sdílejte platební údaje přes odkaz chráněný heslem, který máte pod kontrolou. Můžete nastavit, aby po určité době vypršel (Pro), takže platební údaje budou dostupné jen tehdy, kdy chcete.

Co dělat, když jste se stali obětí podvodu

1. Okamžitě kontaktujte svou banku a požádejte o zrušení transakce. Čas je rozhodující, protože podvodník může peníze rychle vybrat.
2. Vyfoťte QR kód na místě dřív, než ho někdo odstraní.
3. Podejte trestní oznámení na policii a uveďte referenční číslo transakce, částku a místo.
4. Nahlaste věc Bank Negara přes BNMTELELINK na čísle 1-300-88-5465.
5. Informujte obchodníka, aby mohl svůj QR kód zabezpečit a upozornit další zákazníky.

Buďte ostražití

DuitNow QR zpřístupnil bezhotovostní platby i nejmenším podnikům v Malajsii. To je dobře. Pohodlí „naskenuj a zaplať“ ale vyžaduje pár sekund na ověření. Než potvrdíte jakoukoli platbu přes QR kód, zkontrolujte jméno příjemce. Trvá to tři sekundy a může vás to uchránit před ztrátou peněz.

---

Chraňte své platební údaje a citlivé firemní informace. Vytvářejte zabezpečené odkazy s expirací na LOCK.PUB.