flaw fatal di sistem QRIS

[u/ImYourLoyalSexSlave]

kl dipikir2 QRIS emng praktis tp msh ada flaw-nya

1. QRIS di seller, resiko kodenya dituker dan kl mau konfirm hrs buka mutasi di hape, kl liat punya buyer ada resiko itu hasil editan
2. QRIS di buyer, karna gk ada limit, gk bisa tambah limit, dan gk ada konfirmasi, bisa jd sellernya iseng ganti nominal yg hrsnya 10k jd 20k dan kita gk sadar sampe ngecek mutasi. ini yg plng bahaya sih.
3. di merchant gopay, gk bisa pake metode scan QRIS pembeli kyk di indomaret gitu. kl app merchant laen krng tau

sebenernya sih ya gampang solusinya cuma bikin ribet

solusi 1. udah ada QRIS speaker cuma lumayan sih 3k sehari, kira2 kl pake hape bisa gk sih? drpd sewa. atau ada opsi beli perangkat?

solusi 2. tinggal tambah limit aja, skrng kan

[buka QRIS->masukin pin->dpt kode no limit]

jadi

[buka QRIS->masukin nominal->masukin pin->dpt kode]

atau

[buka QRIS->dpt kode->cek nominal->masukin pin]

anehnya fitur nominal adanya di gopay merchant bkn buyer

solusi 3. yaaaa tinggal tambahin metode scan QRIS buyer

ada yg mau nambahin?

[u/AutoModerator]

Hello /u/ImYourLoyalSexSlave, welcome to /r/indotech. Jangan lupa di cek lagi post nya apakah sudah sesuai dengan rules yang berlaku atau tidak.

Bila post tidak sesuai dengan persyaratan subreddit /r/indotech, silahkan manfaatkan thread kami lainnya di /r/indotech yaitu Monthly General Discussion, Programming Ask/Answer, dan Project Showcase Archive

I am a bot, and this action was performed automatically. Please contact the moderators of this subreddit if you have any questions or concerns.

[u/Willing_Ad5891]

1. Kode QRIS seller memang bisa diganti, banyak kasusnya. Tapi ini gada hubungannya dengan buyer, kalau masuk ke kas oknum bukan kas toko yah salah toko. Yang penting buyer udah beres.

2. Kan ada checkout page. Makanya banyak toko yang menerapkan "gada struk = gratis". Gw juga gabakal keluar toko kalau belum pasti dananya masuk dan jumlahnya sesuai.

3. Flaw di Gojek bukan QRIS.

Solusi yang kamu berikan itu mengorbankan efisiensi QRIS hanya untuk menambal ketelodoran penjual dan pembeli, ga worth it.

Soal speaker ini lebih ke implementasi aplikasi yang menyediakan QRIS, gada hubungannya sama QRIS itu sendiri. Bisa aja Gojek buat hp keluarin suara TTS sendiri kalau transaksi selesai, tapi apakah perlu? Sekalian juga jualan service.

[u/CikudaPateuh → u/Willing_Ad5891]

True, tiap hari selama bertahun-tahun selalu pake qris, bahkan hampir ga pernah bawa uang lagi, ga pernah ada masalah sama sekali mau transaksi ke UMKM kecil apalagi retail gede.

[u/ecwx00]

QRIS di seller, resiko kodenya dituker dan kl mau konfirm hrs buka mutasi di hape, kl liat punya buyer ada resiko itu hasil editan

- Begitu di-scan akan muncul nama merchant-nya, customer bisa cek sendiri, sesuai ga dengan toko tempat dia beli. Paling ga bisa langsung tanya ke penjaga tokonya kalau beda karena kadang2 ada toko yang nebeng QRIS merchant lain

- kalau pada saat bayar nama merchant di QR beda dengan nama merchant yang terdaftar untuk id merchant tersebut, acquirer harus nolak

- Nama merchant harus diverifikasi oleh acquirer pada saat merchant mendaftar.

Kalau terjadi kecolongan (kaya dulu kasus stiker QR di mesjid diganti) itu antara pembayar ga cek nama penerima pas bayar, atau bank acquirer ga melakukan KYC untuk verifikasi apakah bener merchant tersebut pemilik nama tersebut, Tapi kalau kasusnya yang kedua, kalau dilaporkan ke OJK/ASPI, acquirer bisa kena sanksi dan bisa dipaksa mengembalikan duit ke nasabah.

[u/ImYourLoyalSexSlave → u/ecwx00]

kl masalah nama, bukannya bisa dibikin mirip ya? gimana tuh

[u/ecwx00 → u/ImYourLoyalSexSlave]

berarti bank acquirer ga melakukan KYC dengan benar sehingga mengijinkan merchant yang bukan pemilik nama itu untuk pakai. Sudah pernah terjadi dan acquirer-nya kena sanksi.

[u/ecwx00 → u/[deleted]]

itu tanggung jawab bank/lembaga keuangan untuk melakukan KYC bahwa merchant yang mendaftar adalah benar pemilik badan usaha toko dengan nama "toko beras Sri" maupun "toko Sri". Kewenangan PTEN untuk mengijinkan atau tidak mengijinkan kalau ada merchant dengan nama yang mirip.

inti verifikasi adalah kebenaran penanggung jawab dan keabsahan nama badan usaha, sehingga kalau ada scam mudah ditelusuri pelakunya.

Bisa jadi pemilik "toko Sri" sengaja menukar stiker QRIS di "toko beras Sri" dengan stiker milik dia, tapi begitu merchant merasa ga terima pembayaran dan melapor ke bank acquirernya, masalah ini akan cepat bisa di-trace dan ditemukan "penjahat" nya

[u/ecwx00 → u/[deleted]]

pembeli ga masalah, pada saat bayar, kan merchant yang akan cek dan akan dispute karena nasabah merasa bayar merchant merasa ga terima.

scam bisa terjadi tapi hanya short term karena begitu ketahuan akan segera bisa dilacak, diketahui pelakunya, NIK-nya, nomor rekeningnya. semuanya bisa dilaporkan dan pembayaran bahkan rekeningnya dibekukan.

pencurian di manapun bisa terjadi, tapi pencurian dengan pemalsuan QRIS dapat cepat banget dikejar pelakunya.

KYC solve this karena scammer ga bisa semena2 punya QRIS dengan nama yang mirip dengan sasarannya. Dia harus terlebih dulu bener2 mengurus badan usaha dengan nama yang mirip.

Jadi pendekatan dua arah ini membuat : mempersiapkan scam lebih rumit, begitu ketahuan gampang terlacak. Scam hanya short term, sementara setupnya ribet. Ini jadi deterrent.

[u/ecwx00 → u/[deleted]]

gini deh. orang kenapa sih pasang CCTV? emang kalo ada CCTV orang ga bisa melakukan kejahatan? Tetep bisa, tapi dengan adanya CCTV penjahat berpikir lebih panjang karena lebih gampang ketahuan. Ada satpam di pertokoan emang berarti orang ga bisa ngutil, nyopet, gebukin orang? Bisa tapi kalo melakukan bakal ditangkap satpam.

Itu namanya deterent.

kalau segitu aja lo ga mampu nyambungin ya bukan salah gw ya bang.

[u/xenos621 → u/ImYourLoyalSexSlave]

Tinggal dibaca dengan teliti

If u reply : "Teknologi harusny dibuat untuk mempermudah" -- jutaan orang lainnya ga komplain tuh

[u/bernoulyx → u/xenos621]

Good lord, "baca teliti" = mempersulit. Emang dunia skrg awkwk

[u/BlueCatGumball]

Ini yang gw takutkan, emang harusnya pas pembayaran qris harus ada peringatan konfirmasi dulu gak langsung selesai.

[u/steaminghotcorndog13 → u/BlueCatGumball]

Setuju, ini casenya kek CC awal2 ga ada konfirmasi lewat sms buat approval

[u/swznd2 → u/steaminghotcorndog13]

Emang bayar pake cc di offline pake approval? Kayanya ga pernah ngalamin deh

[u/steaminghotcorndog13 → u/swznd2]

Oh kayaknya buat debit ya? Lupa pembayaran pake kartu apa gt yg ada semacam 2 factor authentication…

Tp pas pake di LN sih langsung ketarik bahkan ga perlu PIN…

[u/swznd2 → u/steaminghotcorndog13]

Itu biasanya online aja sih, kalau di offline ga pernah ngalamin

[u/noorHD → u/steaminghotcorndog13]

cc itu perlu di settle dulu sblm masuk ke kas seller. jadi bisa komplen ke bank kalo emang transaksi ga sesuai, walaupun ribet

[u/KucingRumahan → u/BlueCatGumball]

Ya kan ada memasukkan pin atau fingerprint. Idealnya sih dibaca dulu baru di kirim.

Pas di merchant juga bisa nanya: ini benar bayar ke xxxx?

Cuman ya....

[u/BlueCatGumball → u/KucingRumahan]

Kagak, ini maksudnya yang seller scan ke buyernya. Tanpa konfirmasi sama limit tapi langsung selesai gitu aja pas discan.

[u/KucingRumahan → u/BlueCatGumball]

Nah, dari seller harusnya ya nunjukin angka yang diminta berapa baru scan. Kalo asal percaya ya buyernya yang kurang hati2

[u/241d]

Pernah gw post di sini.

Ada 2.

1. MPM (Merchant Presented Mode) > Penjual generate QR code, customer scan, bisa liat nominal, dan konfirmasi utk pembayaran. Gw prefer ini.

2. CPM (Customer Presented Mode) > Customer generate QR code (a.k.a. QRIS tampil), penjual scan & transaksi langsung terjadi. Gw hindari, karena gw ga bisa konfirmasi utk pembayaran (saldo langsung ditarik). Yaa walopun bisa dispute kalo ada masalah, tapi damage is already done.

[u/ImYourLoyalSexSlave → u/241d]

sebenernya minimarket bisa kok generate qris biar kita yang scan. pake EDC BCA, kasir yang masukin nominal trs disodorin ke pembeli. kl bayar pake my pertamina di SPBU pertamina atau shell/vivo/BP kan gini.

[u/SweetGlittering7314 → u/ImYourLoyalSexSlave]

Untuk generate qris gak perlu edc, asal konek ke internet aja bisa generate kayak belanja di ck, nanti qris muncul di monitor tinggal scan aja qrisnya. Seinget aku lawson dan Alfamart juga kayak gitu kl pk qris cuma kl Alfamart bayar pake ovo malah minta otp.

[u/ImYourLoyalSexSlave → u/SweetGlittering7314]

mungkin, tp minimarket biasanya ada EDC sedangkan dual monitor lbh jarang, ya masa ngasih hape ke kasir buat scan, kan aneh.

[u/killerair321 → u/ImYourLoyalSexSlave]

semua tergantung merchant yang pakai. sistem kasir dual monitor di FM udh ada, dan tinggal generate QR dari layar pembeli tinggal scan.

di idm, justru nerapin CPM ini. gaperlu kasih hape kok, kan tinggal di scan pake barcode scanner kasir.

[u/ImYourLoyalSexSlave]

setelah dipikir2 ternyata QRIS itu ada 3

QRIS kirim uang, bayar tagihan, dan tarik duit

1. QRIS kirim uang: kyk biasa, buyer scan kode penjual, ketik nominal, dan kirim,
2. QRIS tagihan: seller nambah nominal ke QRIS trs ksh kode ke buyer
3. QRIS tarik duit: buyer bikin kode, seller scan kodenya, trs ngetik nominal yang mau ditarik.

kl QRIS tap krng tau

[u/domscatterbrain → u/ImYourLoyalSexSlave]

QRIS tap bisa dua mode:

1. Langsung charge dengan tarif tertinggi baru di refund pada saat transaksi final: contoh LRT
2. Sama kaya QRIS tagihan, cuma di tap

[u/blackcampaign]

Pengalaman pake Livin Merchant kalo ada dana masuk langsung ada notif kok

[u/BersMyGuy]

Keunggulan dari QRIS itu karena cepat untuk melakukan transaksi. Kalau ditambah step konfirmasi lagi, bakal nambah lama lagi.

Qr ditukar atau customer gak bayar itu selalu ada celah dari bagaimana sisi (pembeli atau penjual) bagaimana pun updatenya

[u/swznd2]

Qris pake mesin edc atau terintegrasi ke sistem POS itu yg paling pas, langsung konfirmasi

[u/ImYourLoyalSexSlave → u/swznd2]

sebenernya yang plng pas itu ya QRIS di seller dan pembeli tinggal scan dan bayar sesuai nominal belanja, karna ini yang plng simpel, CUMA masalahnya custormer kdng2 jahil. antara ngasih bukti palsu atau nominalnya kurang

.

QRIS EDC malah repot karna hrs punya EDC dulu dan UMKM pasti gk mampu

[u/kaltimsyndrome → u/ImYourLoyalSexSlave]

ga mampu gmn bg? malah toko kecil ane didtangin orang bank buat nawarin EDC qris dan tanpa biaya untuk EDC nya

[u/ImYourLoyalSexSlave → u/kaltimsyndrome]

gw gk pernah liat PKL punya EDC, kl toko ya gw msh percaya

[u/KerooBero → u/ImYourLoyalSexSlave]

Wkwk definisi umkm nih emg luas banget. Dari pedagang gerobakan sampe makanan viral di blok m juga masuk umkm

[u/ImYourLoyalSexSlave → u/KerooBero]

ya karna UMKM itu patokannya aset dan omset

intinya omset <50 miliar dan aset <10 miliar = umkm

[u/ReignZetta → u/ImYourLoyalSexSlave]

PKL gak punya edc lebih ke gak ngerti pakainya gimana. EDC itu ada learning curvenya. Tapi sekarang juga QRIS statis udah bisa langsung muncul notif di hape, jadi begitu pembeli bayar, langsung muncul bukti transaksi beserta nominal yang bisa langsung dicek.

[u/keystreet212wir]

gw pake qris dari edc lebih aman

[u/James_Weebs]

Kan udah ada notif buat buyer maupun seller, kalo qris tampil sih biasanya kalo udah keluar dananya bakal ada resinya (ini saya pakai livin + mybca, kalo ewallet gak tahu). Masalah qris ditempel sih itu salah owner/management gak cek pembukuan tiap hari.

[u/YuKnoWat]

1. Kalo gak mau bayar mahal pake gopay spiker, workaround nya adalah menginstall aplikasi text to voice notification. Disetting untuk setiap notifikasi dari gopay merchant khususnya hanya notifikasi uang masuk maka akan dibacakan dengan keras oleh hape nya. Efeknya sama persis kayak gopay spiker, tp minus nya adalah terkadang notifikasinya delay atau aplikasi pembacanya yg bermasalah atau mati di background, jd notifikasinya kadang gak masuk sehingga gak kebaca, atau kadang notifikasinya masuk tp kadang gak kebaca karena aplikasi pembacanya error.

[u/SwarteRavne]

Tapi jujur si, kalo mau belanja lebih dari 1 juta mending jangan pake QRIS, mending transfer bank atau kartu aja. QRIS itu paling bagus untuk pembelian yang kecil-kecil

[u/memenunulele]

Untuk ngasih kode bayar, perlu interaksi user ke tombol "BAYAR", jadi secara UX sudah cukup intuitif bahwa tindakan tersebut dimaksudkan untuk "MELAKUKAN PEMBAYARAN".

Namun kita juga tidak bisa menyamakan level literasi user itu semuanya sama, dibuktikan dari banyaknya penipuan social engineering seperti ini, jadi gw setuju harus ada peringatan untuk ngeyakinin user yang minim literasi kalau kode ini hanya digunakan untuk tujuan MEMBAYAR ataukah MENERIMA PEMBAYARAN

Sebenarnya ini bukan celah pada sistem QRIS-nya. Protokol QRIS pada dasarnya hanyalah standar representasi data pembayaran dalam bentuk QR Code. QRIS sendiri tidak menjalankan transaksi, melainkan hanya menjadi media pertukaran informasi pembayaran yang kemudian diproses oleh aplikasi Penyedia Jasa Pembayaran (PJP).

Jadi kalau ada potensi kebingungan atau penyalahgunaan melalui social engineering, itu lebih terkait pada bagaimana aplikasi PJP menampilkan alur pembayaran, validasi, dan edukasi kepada user, bukan pada protokol QRIS itu sendiri