QRIS Palsu di 38 Masjid, Bagaimana Memastikan Transaksi Aman?

Tampang pelaku aksi tempel QRIS palsu di Masjid Blok M Square, Jakarta. Foto: Dok. Istimewa

Temuan stiker QRIS "palsu" di 38 masjid di Jakarta menunjukkan bahwa "ada yang bolong" dan "perlu disempurnakan" dalam sistem pendaftaran dan verifikasi layanan pembayaran tersebut, kata pengamat ekonomi digital dari Institute For Development of Economics and Finance (Indef), Nailul Huda.

"Di sini, pengawasan dari lembaga yang mengeluarkan QRIS [untuk pelaku] ini harus diperketat lagi. Persetujuan dan penyaringannya itu harus diperbaiki lagi," kata Nailul ketika dihubungi, Rabu (12/4).

Modus penipuan ini terungkap ketika marbot di Masjid Nurul Iman Blok M Square, Jakarta Selatan, menanyakan soal stiker-stiker QRIS yang ditempel di tembok masjid kepada pengurus.

Pengurus masjid mengatakan tidak tahu siapa yang menempelkan QRIS tersebut dan melaporkan kasus ini ke polisi.

Pengurus masjid juga mengumumkan di akun Instagram mereka, bahwa mereka “tidak menggunakan barcode QRIS untuk infaq kegiatan masjid”

Setelah itu, terungkap pula bahwa sebanyak 50 stiker QRIS palsu juga terpasang di Masjid Istiqlal, Jakarta Pusat.

Video rekaman dari CCTV yang beredar di media sosial pun menunjukkan aksi pelaku ketika menyebarkan stiker QRIS “palsu” tersebut.

Setelah kasus itu viral di media sosial, Polda Metro Jaya menangkap tersangka berinisial MIML, 39, pada Selasa (11/4).

MIML diduga telah menempelkan stiker QRIS pada 38 masjid di Jakarta sejak 1 April 2023.

Direktur Kriminal Khusus Polda Metro Jaya Komisaris Besar Auliansyah Lubis mengatakan bahwa Iman mendaftarkan tiga rekening pribadinya melalui aplikasi Youtap dan Pulsabayar. QRIS itu dia buat atas nama Restorasi Masjid.

QRIS yang dipasang oleh MIML itu sebetulnya adalah QRIS asli yang diterbitkan oleh pihak yang memiliki lisensi dari Bank Indonesia.

Hanya saja, QRIS tersebut dibuat MIML dengan nama Restorasi Masjid, yang terhubung dengan rekening pribadinya.

QRIS itu dia tempelkan di atas stiker QRIS milik masjid atau di tempat-tempat lainnya yang belum dipasangi stiker.

“Ternyata pada yang bersangkutan masih banyak QRIS lain yang belum ditempel, akan ditempel tapi belum tahu di mana,” ujar Auliansyah dalam konferensi pers.

Menurut polisi, MIML meraup uang Rp13 juta dari penipuan tersebut.

Menanggapi peristiwa ini, Bank Indonesia menyatakan bahwa platform pembayaran QRIS pada dasarnya "aman", meski ada "risiko keamanan yang perlu dicermati bersama".

Apa Itu QRIS dan Bagaimana Bisa Disalahgunakan?

Ilustrasi transaksi dengan uang digital Gopay. Foto: Jamal Ramadhan/kumparan

QRIS (dibaca: KRIS) merupakan singkatan dari Quick Response Code Indonesian Standard, yakni fasilitas pembayaran menggunakan kode QR (barcode dua dimensi berbentuk titik hitam dan spasi putih).

Sistem pembayaran QRIS diluncurkan oleh Bank Indonesia dan Asosiasi Sistem Pembayaran Indonesia (ASPI) pada 17 Agustus 2019.

Ketika hendak bertransaksi, pengguna hanya perlu memindai kode QR dari aplikasi pembayaran pada telepon pintar.

Saat ini, QRIS dapat digunakan untuk pembayaran di bank maupun lembaga non-bank, mulai dari toko, warung, pedagang kaki lima, layanan parkir, tiket wisata, hingga untuk donasi.

Dikutip dari situs Bank Indonesia, merchant yang ingin menerapkan sistem pembayaran ini bisa membuka rekening dan mendaftar pada penyedia jasa pembayaran (PJP) QRIS yang sudah berizin dari BI.

Hingga Februari 2023, Bank Indonesia mencatat bahwa total pengguna QRIS di Indonesia telah mencapai 30,87 juta dengan nilai transaksi Rp12,28 Triliun.

Menurut Nailul Huda, QRIS banyak digunakan oleh anak muda sebagai opsi tambahan pembayaran karena dirasa praktis, di tengah kebiasaan mereka membayar secara nontunai.

Oleh sebab itu, banyak tempat termasuk masjid-masjid juga memanfaatkan layanan ini sebagai sarana mengumpulkan infaq.

"Ini yang mendorong masyarakat, terutama generasi muda lebih efisien untuk membayar sedekah atau zakat lewat online, ini yang ditangkap oleh para penyedia jasa," kata Nailul.

Terkait kasus QRIS "palsu" ini, kode QR yang ditempel oleh pelaku MIML pun sebenarnya adalah asli dan diterbitkan oleh lembaga berlisensi.

Hasil pemindaian menunjukkan kode tersebut terafiliasi dengan LinkAja dan Bank Nobu.

Jadi dalam hal ini, yang dilakukan oleh MIML adalah mendaftarkan QRIS atas nama "Restorasi Masjid" dan menyalahgunakannya seolah itu adalah QRIS yang digunakan oleh pengurus masjid untuk menerima infaq dari jemaah.

Padahal, uang yang diterima masuk ke dalam rekening pribadi MIML.

Direktur Departemen Kebijakan Sistem Pembayaran Bank Indonesia Fitria Irmi Triswati mengatakan MIML mendaftarkan QRIS-nya sebagai merchant reguler, bukan tempat ibadah atau lembaga donasi.

Verifikasi Perlu Diperketat

Dari kasus ini, Nailul menilai proses verifikasi dan penyaringan dalam pendaftaran merchant "perlu diperketat", untuk memastikan tidak ada penyalahgunaan seperti dalam kasus ini.

Apalagi dalam pemanfaatan QRIS dalam lingkup sosial, yang menurut Nailul "lebih rawan" disalahgunakan.

Sebab, karakternya berbeda dengan pendaftaran QRIS untuk badan usaha yang lebih mudah diverifikasi dan ditelusuri kebenaran informasinya.

"Kalau perusahaan bisa ditelusuri dengan mudah, individu pun sebenarnya bisa, tapi masalahnya data kita enggak terintegrasi dengan baik. Kalau terintegrasi dengan baik, kan bisa dicek, ini benar tidak, bisa ditelusuri dari awal," jelas Nailul.

Kasus ini, kata Nailul, membuktikan bahwa proses pendaftaran, verifikasi, dan penyaringan merchant "perlu disempurnakan lagi", apalagi mengingat semua orang bisa mendaftarkan diri sebagai merchant QRIS.

Hal ini penting untuk menghindari penyalahgunaan QRIS dengan modus-modus penipuan lainnya di masa yang akan datang.

"Saya pribadi menilai ini masih agak longgar, jadi perlu disempurnakan lagi filter-filternya," ujar dia.

Terkait proses verifikasi, Fitria mengatakan bahwa tahapan itu harus dilakukan oleh penyedia jasa pembayaran untuk memastikan identitas pemilik usaha atau profil usahanya.

"Khususnya untuk pendafataran tempat ibadah atau donasi sosial, terdapat data atau informasi tambahan yang perlu dilakukan untuk memastikan ada tempat ibadah atau donasi sosial. Apalagi kepentingan rumah ibadah galang donasi dan sebagainya," jelas Fitria.

Sejauh ini, Bank Indonesia telah meminta PJP untuk memblokir akun QRIS pelaku, dan "mengkomunikasikan dengan PJP untuk meningkatkan awareness".

BI juga akan menerapkan daftar hitam (blacklist) bagi merchant yang mencurigakan, sehingga tidak dapat melakukan transaksi lagi.

"Ini salah satu upaya untuk memberikan efek jera dan memberikan kesadaran kepada masyarakat," kata Fitria.

Bank Indonesia pun tengah menyelidiki kemungkinan adanya kasus serupa, dan apakah menggunakan modus yang sama.

DKM Minta Masjid Waspada

Menyusul temuan tersebut, Dewan Keamanan Masjid meminta agar para pengurus masjid "meningkatkan kewaspadaan".

"Saya juga berpesan kepada pengurus mesjid agar dapat menjaga masjid sebaik-baiknya, sehingga orang-orang yang mau berbuat jahat dapat dicegah," kata Ketua DKM Jusuf Kalla melalui siaran pers, Rabu (12/4).

DKM juga berharap pelaku dapat dihukum, agar kepercayaan jemaah yang selama ini menyumbang menggunakan QRIS "tetap terjaga".

Bagaimana Memastikan QRIS Bukan Penipuan?

Ilustrasi logo Bank Indonesia. Foto: REUTERS/Iqro Rinaldi

Untuk memastikan transaksi QRIS tepat sasaran, Bank Indonesia mengimbau masyarakat untuk memperhatikan informasi di dalam aplikasi ketika meminta QRIS.

Antara lain memastikan nama pedagang/merchant yang tercantum di dalam aplikasi memang benar pedagang/merchant yang menerima pembayaran sesuai dengan tujuan transaksi yang dilakukan.

Misalnya dalam kasus ini, nama merchant penerima pembayaran semestinya adalah "Masjid Nurul Iman Blok M Square", bukan "Restorasi Masjid".

"Stop lakukan transaksi kalau menemukan kejanggalan atau informasi yang tidak sesuai dengan profil merchant atau transaksi yang tidak sesuai dengan tujuan pembayaran. Misalnya mau donasi, tapi kok di sini restorasi masjid? Di situ mulai kecurigaan, kita bangun awareness-nya," kata Fitria.

Dari sisi pedagang atau merchant, BI meminta mereka rutin memeriksa bahwa QRIS yang ditampilkan adalah benar milik mereka, dan tidak diganti atau diubah oleh pihak-pihak yang tidak bertanggung jawab.

Sedangkan bagi penyedia jasa pembayaran (PJP), BI mengatakan bahwa Asosiasi Sistem Pembayaran Indonesia (ASPI) telah menerbitkan pedoman edukasi pagi pedagang/merchant yang menggunakan QRIS untuk meningkatkan keamanan transaksi.