Keamanan Kode QR di Restoran: Cara Mengenali Stiker Palsu, Tautan Phishing, dan Melindungi Tamu Anda

Kode QR punya satu kelemahan yang jarang dipikirkan: manusia tidak bisa membacanya. Kita melihat kotak-kotak hitam putih, lalu percaya begitu saja bahwa kode itu membawa kita ke tempat yang benar. Selama ini kepercayaan itu hampir selalu benar. Tapi “hampir selalu” adalah celah yang dimanfaatkan penipu.

Bagi restoran dan kafe, ini bukan isu teknologi yang jauh. Kode QR ada di setiap meja, di kasir, di pintu masuk, dan di kemasan bawa pulang. Kalau satu saja disalahgunakan, yang rusak adalah kepercayaan tamu pada tempat Anda.

Modus yang sudah terjadi di Indonesia

Stiker QR palsu di atas kode asli. Pada Februari 2026, Bank Indonesia mengingatkan modus penipuan dengan menempelkan kode QR palsu di gerai atau tempat usaha, biasanya di atas QRIS resmi. Kode palsu itu terhubung ke rekening pribadi penipu, sehingga pembayaran tamu tidak pernah sampai ke kas Anda. BI menekankan bahwa penggantian atau penambahan stiker tanpa sepengetahuan pemilik usaha adalah celah utamanya.

Tautan phishing dan file berbahaya. Data Indonesia Anti-Scam Centre (IASC) di bawah OJK, yang dilaporkan Investortrust, mencatat 299.237 laporan penipuan dengan kerugian sekitar Rp7 triliun sejak IASC berdiri pada November 2024 hingga Oktober 2025. Di antara sepuluh modus terbanyak ada phishing (13.386 laporan, kerugian Rp507,53 miliar) dan file APK berbahaya lewat WhatsApp (3.684 laporan, Rp134 miliar).

Kode QR belum masuk daftar sepuluh besar itu. Tetapi kode QR adalah cara yang sangat mudah untuk mengarahkan orang ke tautan phishing atau ke file APK, karena tamu tidak bisa melihat tujuannya sebelum memindai.

Bagaimana kode QR menu bisa disalahgunakan

Skenarionya sederhana. Seseorang menempelkan stiker berisi kode QR lain di atas kode menu Anda. Tamu memindai, dan yang terbuka adalah halaman yang mirip menu, tetapi meminta mereka “login untuk melihat promo”, mengisi nomor kartu, atau mengunduh “aplikasi menu”. Tamu mengira itu bagian dari restoran Anda.

Kasus seperti ini lebih sering terjadi di tempat yang ramai dan jarang diperiksa: meja teras, food court, area antrean. Dan karena kode QR menu jarang diperhatikan setelah dipasang, stiker palsu bisa bertahan berhari-hari.

Langkah pengamanan untuk pemilik usaha

1. Periksa kode QR setiap hari. Jadikan bagian dari rutinitas buka dan tutup toko, sama seperti mengecek lampu dan kasir. Raba permukaannya: stiker yang menumpuk biasanya terasa.
2. Pindai sendiri secara berkala. Pastikan kode menu membuka alamat yang Anda kenal, dan QRIS menampilkan nama merchant serta NMID usaha Anda.
3. Pakai media yang sulit ditempeli. Kode yang dicetak langsung di akrilik atau dilaminasi di bawah kaca meja lebih sulit diganti daripada stiker kertas biasa.
4. Bedakan kode menu dan kode pembayaran dengan jelas. Beri label tegas di masing-masing.
5. Latih staf untuk satu jawaban. “Menu kami tidak pernah meminta login, data kartu, atau unduhan aplikasi.” Kalau ada tamu yang melaporkan hal aneh, periksa kodenya saat itu juga.
6. Kalau menemukan kode palsu, lepaskan, foto sebagai bukti, dan laporkan ke penyedia QRIS Anda atau kanal pengaduan resmi seperti IASC.

Ciri menu QR yang bisa dipercaya

Menu digital yang sehat punya satu sifat penting: ia hanya menampilkan informasi. Ia tidak meminta nama, nomor telepon, data kartu, kata sandi, atau unduhan apa pun. Semakin sedikit yang diminta sebuah menu, semakin sulit menu itu ditiru untuk mencuri sesuatu, dan semakin mudah tamu mengenali yang palsu.

Itulah alasan MenuOnGo sengaja dibuat hanya untuk menampilkan menu. Tidak ada pemesanan, tidak ada pembayaran, dan nama, email, atau nomor telepon tamu tidak pernah dikumpulkan. Menu selalu terbuka di alamat menuongo.com, tanpa aplikasi yang harus diunduh. Jadi aturan untuk tamu menjadi sangat sederhana: kalau setelah memindai kode menu Anda ada halaman yang meminta data kartu, login, atau unduhan, itu bukan menu Anda. Di situs kami juga tersedia pembuat kode QR gratis, sehingga Anda bisa membuat ulang kode dengan cepat bila perlu.

Tanda kode QR yang aman dan yang mencurigakan

Aspek	Wajar	Mencurigakan
Fisik kode	Tercetak rapi, menyatu dengan media	Stiker menumpuk, tepi terkelupas, tidak sejajar
Alamat yang terbuka	Alamat penyedia menu atau situs restoran	Alamat aneh, salah ketik, pemendek tautan tak dikenal
Yang diminta halaman	Tidak ada; hanya menampilkan menu	Login, data kartu, OTP, nomor telepon
Unduhan	Tidak ada	Meminta memasang aplikasi atau file APK
QRIS saat membayar	Nama merchant dan NMID sesuai usaha	Nama perorangan atau nama yang tidak dikenal

Pertanyaan yang sering diajukan

Apa itu modus stiker QRIS palsu? Penipu menempelkan kode QR palsu di atas QRIS resmi sebuah usaha, sehingga pembayaran tamu masuk ke rekening penipu. Bank Indonesia menyarankan tamu selalu memeriksa nama merchant sebelum membayar dan pemilik usaha rutin memeriksa tampilan QRIS-nya.

Seberapa besar kerugian akibat penipuan digital di Indonesia? Indonesia Anti-Scam Centre di bawah OJK menerima 299.237 laporan dengan kerugian sekitar Rp7 triliun antara November 2024 dan Oktober 2025. Phishing dan file APK berbahaya lewat WhatsApp termasuk sepuluh modus terbanyak.

Bagaimana cara mengetahui kode QR menu restoran asli atau palsu? Perhatikan fisik kodenya, lalu cek alamat yang terbuka. Menu yang asli hanya menampilkan informasi dan tidak meminta login, data kartu, atau unduhan aplikasi.

Apa yang harus dilakukan jika menemukan kode QR palsu di restoran saya? Lepaskan kodenya, dokumentasikan sebagai bukti, laporkan ke penyedia layanan pembayaran atau kanal pengaduan resmi, dan beri tahu staf agar memeriksa kode lain di area yang sama.

Apakah menu QR yang meminta data pribadi itu berbahaya? Tidak selalu berbahaya, tetapi patut diwaspadai. Menu yang hanya bertugas menampilkan hidangan tidak membutuhkan data pribadi tamu. Semakin sedikit data yang diminta, semakin kecil risikonya.

---

Sumber: Bank Indonesia via Selular.ID (25 Februari 2026); Otoritas Jasa Keuangan/Indonesia Anti-Scam Centre via Investortrust (20 Oktober 2025). Gambar: Pexels (bebas digunakan). Data per 19 Oktober 2026.