如果你卖东西、做 Freelance、经营小生意，很可能做过一件事：
直接把自己的 DuitNow QR 发给客户。
有人甚至会把 QR 放在 Facebook、Instagram、WhatsApp、网站或网店上，让客户自己付款。
这样做本身并不代表有问题。
PayNet 的 DuitNow QR 本来就支持商家展示 Static 或 Dynamic QR 收款。
真正要小心的是另外一种情况：
陌生人突然“多转钱给你”，然后叫你把多出来的钱转去另一个账户。
这时候，不要急着退款。
因为你可能正在被拉进一条 Mule Account，也就是“钱骡账户”的资金链。
一个很容易中招的情况
假设你卖一件 RM50 的东西。
对方扫描你的 DuitNow QR，却转了 RM500。
过几分钟，他 WhatsApp 你：
“不好意思，我按错金额了。可以把 RM450 退给我吗？”
然后给你另外一个银行账户。
你打开 Banking App。
RM500 真的已经进来了。
所以你觉得：
“钱是真的收到，那应该没问题吧。”
于是把 RM450 转过去。
问题就在这里。
如果最开始进入你账户的 RM500，并不是对方自己的钱，而是来自另一个诈骗受害者，你的账户就可能变成：
受害者 → 你的账户 → 另一个账户
中间的资金转移节点。
收到钱，不代表这笔钱就是“安全的”
这是整篇文章最重要的地方。
很多人会认为：
“Scammer 应该是骗我转钱给他，怎么会先转钱给我？”
但 Money Mule Scam 不一定这样运作。
Bank Negara Malaysia 对 Mule Account 的定义很直接：你的银行账户被别人用来接收或转移可能来自诈骗或非法活动的资金。
CIMB 目前的 Money Muling 安全提醒也特别提到：
如果有人把一大笔钱转进你的账户，然后要求你把钱转去另一个账户，不要照做，应该直接通知银行。
所以真正危险的不是：
“有人转错钱给你。”
而是：
你在没有确认资金来源的情况下，再按照陌生人的指示把钱转出去。
那我是不是一收到陌生钱，就自动变成 Mule Account？
不是。
这个一定要讲清楚。
有人误转钱进你的账户，并不代表你马上就是犯罪分子，也不代表一定构成 Mule Account offence。
真正的问题是后续怎么处理。
马来西亚现在已经有针对 Mule Account 和 Payment Instrument 滥用的相关刑事条文。如果账户涉及可疑资金流动，银行或警方可能需要调查资金到底从哪里来、为什么进入你的账户、之后又去了哪里。
所以最不应该做的，就是自己充当“退款中间人”。
尤其当对方要求：
“不要退回原来的地方。”
“转这个另外的银行账户。”
“这个是我老婆的账户。”
“这是公司 Finance Account。”
“很急，现在马上转。”
我都会直接停下来。
如果真的有人多转钱给我，应该怎么办？
最简单的处理方法：
不要花掉那笔钱，也不要自己转去对方另外提供的账户。
先保留 Transaction Record、金额、时间、Reference Number，以及对方与你的聊天记录。
然后通过你自己银行的官方 App、官网或 Hotline 联系银行，告诉银行：
“我的账户收到一笔我不认识 / 对方声称转错的款项，我应该怎样处理？”
让银行处理。
例如 GXBank 目前的条款就明确写明，如果账户收到来自 Unexpected Source 的转账，应立即通知银行，并配合调查。
PayNet 的 DuitNow 体系本身也有 Mistaken Payment、Dispute 和 Fund Recovery 的处理机制。
换句话说：
真正的“退款”，不一定应该由你重新做一次普通 DuitNow Transfer。
最危险的是：叫你退款去另一个账户
如果对方真的只是转错钱，他完全可以通过自己的银行提出错误转账或资金追回申请。
所以当一个陌生人非常坚持：
“不要找银行。”
“你直接转给我就好了。”
尤其是要求你转去另一个姓名、另一家银行或另一个账户时，我会把它当成非常大的 Red Flag。
因为正常的错误付款处理，不应该需要你帮忙把资金从 A 搬去 B。
那我的 DuitNow QR 到底还能不能放上网？
可以。
但要分情况。
如果你是小贩、实体店、Freelancer 或正式 Business，用 Merchant DuitNow QR 收取真实客户的付款，本身是非常正常的做法。
PayNet 也正式支持 Static 和 Dynamic Merchant-Presented QR。
问题是，如果你把自己的个人收款 QR 长期公开放在 Social Media、网站或任何人都能扫描的地方，就应该明白：
任何人都可能向这个 QR 付款。
而你未必知道付款者到底是谁。
所以如果已经是认真经营 Business，我反而建议把：
个人生活的钱
和
Business 收款
尽量分开管理。
网站或网店也不要只靠一张 Personal DuitNow QR 完成整个收款流程。
更理想的方式，是让：
Order → Amount → Payment → Reference
能够对应起来。
这样未来发生重复付款、错误金额、Refund 或 Scam，你会容易处理很多。
如果我已经把钱转出去了怎么办？
如果事情已经变成：
陌生钱进入你的账户，然后你已经按照对方要求把钱转去另一个账户，
不要继续跟对方处理下一笔。
马上联系自己的银行，说明整个经过。
如果怀疑涉及诈骗，也可以立即拨打 National Scam Response Centre 997。目前 NSRC 997 是每天 24 小时运作。
必要时再完成 Police Report，并把聊天记录、银行记录、Transaction Receipt 和对方资料全部保存下来。
如果已经出现实际诈骗或资金损失，可以直接按照我之前整理的《马来西亚被骗了怎么办？2026 Scam 紧急处理指南：先打银行与 997，再去报案》处理。
如果你想进一步了解现在的诈骗为什么越来越难判断，也可以看《AI Scam 已经不只是 Deepfake：马来西亚人怎么识别假声音、假网站和 AI 投资骗局？》。
我的判断
我不会因为这种骗局，就叫所有人不要再用 DuitNow QR。
那反而抓错重点。
DuitNow QR 本身是一个非常方便的付款工具。
真正应该改变的是我们的一个习惯：
钱进来了，不代表这笔钱就已经“安全”。
如果有人突然多转钱给你，然后催你把钱转去另外一个账户，我会直接停止操作，让银行处理。
因为正常退款是在解决一笔错误交易。
而不是帮一个陌生人把钱从一个账户搬去另一个账户。
这两件事情，看起来很像。
风险完全不同。
资料来源
PayNet｜DuitNow Merchant-Presented QR
PayNet｜DuitNow Domestic Dispute Management FAQ
Bank Negara Malaysia｜Mule Account
Portal Rasmi Kerajaan Malaysia｜NSRC 997 Hotline
Parlimen Malaysia｜Mule Account 法律执行资料
资料核对日期：2026 年 9 月 5 日
Update History
2026 年 9 月 5 日｜首次发布