DuitNow QR-bedrägerier: Hur falska QR-koder stjäl pengar på malaysiska restauranger och marknader

DuitNow QR har förändrat hur malaysier betalar. Med en enda skanning kan du betala på restauranger, pasar malams, livsmedelsbutiker och till och med vägstånd. Bank Negara Malaysia rapporterade över 2 miljarder DuitNow QR-transaktioner 2025, vilket cementerade det som landets föredragna kontantlösa betalningsmetod.

Men bedragare har hittat ett enkelt, effektivt sätt att utnyttja det här systemet: att byta ut legitima QR-koder med sina egna. Offret betalar, pengarna går till bedragaren, och handlaren får aldrig en sen.

Hur QR Swap Scam fungerar

Mekaniken är förödande enkel:

1. En bedragare besöker en restaurang, marknadsstånd eller en liten butik.
2. De sätter sin egen DuitNow QR-kod-dekal över handlarens legitima QR-kod.
3. Kunder skannar den falska QR, se en betalningsskärm och bekräfta transaktionen.
4. Pengarna går till bedragarens konto istället för handlaren.
5. Säljaren inser problemet först vid avstämning av betalningar - ibland timmar eller dagar senare.

Varför småföretag är målet

Stora återförsäljare använder integrerade POS-system som genererar dynamiska QR-koder för varje transaktion. Dessa är nästan omöjliga att manipulera. Men småföretag – mamak-stånd, försäljare av pasar malam, nasi campur-butiker och marknadshandlare – använder ofta tryckta statiska QR-koder som visa på laminerade kort eller klistermärken. Dessa är lätta att täcka med en ersättning.

Variationer av DuitNow QR Scam

Överläggsdekalen

Den vanligaste metoden. En ny QR-dekal placeras direkt över originalet. Den är av samma storlek, kan ha liknande varumärke och är svår att lägga märke till om du inte tittar noga.

Ställbytet

Vissa handlare visar QR-koder på akrylstativ. Bedragare byter ut hela stativet mot ett identiskt med deras QR-kod. Säljaren kanske inte märker bytet på flera dagar.

Scam med delat utrymme

I food courts och gatuhus där flera leverantörer delar ett utrymme, placerar ytterligare ytterligare QR-koder i områden där de verkar tillhöra ett visst stall. Förvirrade kunde skannar fel kod.

Den dynamiska QR-omdirigeringen

Mer sofistikerade bedragare skapar QR-koder som omdirigerar till en nätfiskesida som liknar DuitNows betalningsgränssnitt. Istället för att utlösa en legitim bankbetalning, fångar den falska sidan dina bankuppgifter.

Hur du skyddar dig själv som kund

Före skanning

Kontrollera	Vad man ska leta efter
QR-kod skick	Är det en klistermärke placerad ovanpå en annan? Finns det kanter eller stötar?
Säljarens namn	Stämmer namnet som visat med företaget du betalar?
Omgivningar	Är QR-kod på en säker plats eller någonstans lättillgänglig för alla?
Flera QR-koder	Finns det konkurrerande QR-koder som kan förvirra kunderna?

Under betalning

1. Verifiera alltid mottagarens namn som visat i din bankapp innan du bekräftar. Om restaurangen är "Restoran Ali Nasi Kandar" men DuitNow-mottagaren visar "Ahmad bin X" (ett personnamn) är något fel.
2. Kontrollera beloppet — om handlaren använder en statisk QR anger du beloppet själv. En dynamisk QR kan ha en förinställd mängd. Hur som helst, verifiera innan du bekräftar.
3. Visa betalningsbekräftelsen för handlaren — gå inte bara iväg efter att ha betalat. Låt säljaren verifiera att de tagit emot aviseringen.

Efter betalning

• Spara transaktionsreferensen. Din bankapp registrerar varje DuitNow-transaktion med ett referensnummer. – Om handlaren säger att de inte fått betalning, betala inte omedelbart igen. Kontrollera med din bank först.

Hur handlare kan skydda sig själva

Om du driver ett litet företag i Malaysia, ta dessa steg:

Säkra din QR-kod

• Laminera din QR-kod och fäst den på en plats som du kan övervaka.
• Kontrollera din QR-kod dagligen — leta efter överlägg eller manipulering.
• Använd ett QR-stativ med skyddskåpa som gör det svårare att byta.
• Överväg att använda dynamiska QR-kods som genereras av ditt POS-system för varje transaktion.

Verifiera betalningar i realtid

• Aktivera omedelbara aviseringar på din företagsbankapp.
• Kontrollera alltid att du får ett betalningsmeddelande innan du bekräftar transaktionen till kunden.
• Stäm av betalningar i slutet av varje dag — luckor mellan försäljningsuppgifter och mottagna betalningar kan indikera QR manipulation.

Rapportera misstänkt aktivitet

• Om du upptäcker en manipulerad QR-kod, ta inte bort den själv — fota först och polisanmäla.
• Meddela din bank om det bedrägliga kontot som tar emot betalningar.
• Varna närliggande handlare — om din QR var inriktad på att andra också påverkas.

DuitNow QR vs andra betalningsmetoder: Säkerhetsjämförelse

Metod	Risknivå	Anteckningar
DuitNow QR (dynamisk)	Låg	Mängden förinställd, svårare att manipulera
DuitNow QR (statisk)	Medium	Förlitar sig på att kunden verifierar mottagarens namn
Kontanter	Medium	Risk för förfalskning, ingen revisionsspår
Kredit/betalkort	Låg	Chip + PIN-autentisering
Touch 'n Go eWallet QR	Medium	Liknande statiska QR-risker som DuitNow

Vad banker och BNM gör

Bank Negara Malaysia och deltagande banker har vidtagit flera motåtgärder:

• Visning av mottagarens namn — alla DuitNow QR-betalningar visar nu det registrerade namnet före bekräftelse.
• Transaktionsgränser — dagliga och per transaktionsgränser hjälper till att begränsa potentiella förluster.
• Bekämpning av bedrägerier i realtid — banker flaggar ovanliga mönster i DuitNow-transaktioner.
• Säljarverifiering — registrerade DuitNow-handlare genomgår verifiering som länkar deras QR till sin affärsenhet.

Dock kan dessa åtgärder inte skyddas den grundläggande sårbarheten hos statistisk QR som fysiskt ersätts.

Dela betalningsinformation på ett säkert sätt

För företag som behöver dela sin DuitNow QR eller betalningsinformation med kunder eller partners – för insättningar, förskottsbetalningar eller evenemangsregistreringar – är det riskabelt att skicka QR-bilder via WhatsApp-grupper eller sociala medier. Vem som helst kan skärmdumpa och omdistribuera eller modifiera QR.

LOCK.PUB erbjuder ett säkrare tillvägagångssätt. Dela dina betalningsuppgifter genom och lösenordsskyddad länk som du kontrollerar. Du kan ställa in den så att den löper ut efter en viss period, och se till att betalningsinformationen bara är tillgänglig när du vill att den ska vara det.

Vad du ska göra om du har blivit lurad

1. Kontakta din bank omedelbart — begär en återföring av transaktionen. Tiden är kritisk, eftersom bedragaren kan dra ut pengarna snabbt.
2. Ta ett foto av QR-kod på platsen innan den tas bort.
3. Gör en polisanmälan — ange transaktionsreferens, belopp och plats.
4. Rapportera till Bank Negara via BNMTELELINK på 1-300-88-5465.
5. Meddela handlaren så att de kan säkra sin QR-kod och varna andra kunder.

Håll dig vaksam

DuitNow QR har gjort kontantlösa betalningar tillgängliga även för de minsta företagen i Malaysia. Det är bra. Men bekvämligheten med "skanna och betala" kräver några sekunders verifiering. Innan du bekräftar någon QR-betalning, kontrollera mottagarens namn. Det tar tre sekunder och kan rädda dig från att förlora dina pengar.

---

Skydda dina betalningsuppgifter och känslig företagsinformation. Skapa säkra länkar som löper ut på LOCK.PUB.