在日常生活中，QR Code（二維條碼）已廣泛應用於餐廳點餐、停車繳費、公共場所導覽及商業促銷等情境。使用者只需拿起手機掃描，就能快速開啟網頁、取得資訊或完成付款。然而，QR Code 帶來便利的同時，也可能成為網路詐騙與資安攻擊的入口。
在資訊安全領域，利用 QR Code 誘騙使用者前往惡意網站的手法，稱為 Quishing（QR Code Phishing，QR Code 網路釣魚）。由於使用者無法直接從黑白方格圖案辨識其背後的網址，若未確認連結來源，就可能被引導至仿冒網站、洩漏帳號密碼，甚至下載惡意應用程式。
因此，了解常見的 QR Code 詐騙手法，並建立正確的掃碼習慣，是個人與企業降低資安風險的重要一環。
一、常見的 QR Code 詐騙手法解析
從資安防禦的角度來看，攻擊者通常會利用使用者對實體環境的信任、對通知訊息的焦慮，或對快速操作的習慣，誘使使用者掃描惡意 QR Code。常見手法包括以下三種：
1. 實體標籤調包：將惡意 QR Code 覆蓋在正版條碼上
攻擊者可能印製偽造的 QR Code 貼紙，覆蓋在公共場所、餐廳桌牌、停車繳費機或商家櫃檯原有的條碼上。當民眾以為正在進行正常點餐或繳費時，實際上卻可能被導向仿冒網站。
這類攻擊的風險在於，使用者通常會因為 QR Code 出現在熟悉或看似可信的場域，而降低警戒心。因此，掃描公共場所的固定式條碼時，應留意貼紙是否有覆蓋、破損或遭到竄改的跡象。
2. 釣魚郵件與惡意簡訊：利用通知內容誘導掃碼
攻擊者也可能透過電子郵件、簡訊或即時通訊軟體，傳送看似緊急或與使用者切身相關的通知，例如包裹配送失敗、帳單逾期、銀行帳戶異常或退款申請等，並要求使用者掃描訊息中的 QR Code 進行確認。
這類訊息通常會搭配限時處理、帳戶停用或款項退還等說法，促使使用者在尚未查證來源前就採取行動。QR Code 也可能讓惡意網址較不容易在訊息文字中被直接辨識，但不代表所有 QR Code 都能繞過郵件或簡訊的安全偵測機制。
收到類似通知時，應優先透過官方網站、官方 App 或已知的客服管道查證，而不是直接掃描訊息提供的條碼。
3. 誘導下載惡意應用程式：竊取個資與帳戶資訊
部分惡意 QR Code 會將使用者導向應用程式下載頁面，誘使其安裝來路不明的 App。若應用程式包含惡意程式碼，可能進一步竊取個人資料、帳戶憑證，或濫用簡訊及其他裝置權限。
尤其當使用者被要求下載非官方商店提供的安裝檔，或授予與應用程式功能不相符的權限時，更應提高警覺。簡訊驗證碼（OTP）也可能成為攻擊目標，因此不應向任何人提供驗證碼，也不應任意授權不明應用程式讀取簡訊。
二、為什麼 QR Code 詐騙容易讓人上當？
QR Code 詐騙不一定仰賴複雜的技術，也可能透過日常使用習慣與心理反應，降低使用者的防備。常見原因包括以下三點：
1. 視覺盲點：掃描前難以直接辨識網址
一般網址可能包含拼字錯誤、可疑網域或不自然的字串，使用者有機會在閱讀時發現異常；QR Code 則以圖像形式呈現內容，無法單憑外觀判斷其連結是否安全。
因此，掃描後應先確認手機顯示的網址，再決定是否開啟。即使網址看起來正常，也不能完全保證網站安全，仍需留意網域是否正確，以及頁面是否要求不合理的個人資料或付款資訊。
2. 權威信任：誤以為實體場域或官方通知一定可信
張貼在餐廳、停車場、商家櫃檯或公共設施上的 QR Code，容易讓人產生「既然出現在這裡，應該就是官方提供」的印象。然而，實體條碼可能遭到替換，電子訊息也可能被仿冒。
使用者不應只依據條碼出現的位置或訊息的視覺設計判斷可信度，而應確認提供者身分與連結目的是否合理。
3. 情境急迫性：利用焦慮縮短思考時間
詐騙訊息常以「今天未繳費將停用服務」、「包裹需要立即重新配送」或「帳戶出現異常」等內容製造時間壓力，讓使用者擔心錯過期限或遭受損失，進而忽略查證程序。
遇到要求立即付款、登入帳戶、輸入信用卡資料或提供驗證碼的 QR Code 時，應先暫停操作，透過官方管道確認通知真偽。愈是強調立即處理的訊息，愈值得多花時間查證。
三、資安防禦指南：如何降低 QR Code 詐騙風險？
面對 QR Code 相關威脅，單靠辨識詐騙訊息並不足夠。使用者應從網址確認、實體檢查、應用程式管理與帳戶安全等面向建立多層防禦。
1. 掃描後先預覽網址，確認來源再開啟
許多手機相機或掃描工具會在讀取 QR Code 後，先顯示對應網址或操作提示。使用者應先檢查網址是否符合預期，特別留意網域拼字、陌生的子網域、可疑的縮網址，以及與官方網址不一致的情況。
若 QR Code 宣稱來自銀行、政府機關或知名企業，卻要求使用者前往陌生網站輸入帳號、密碼、信用卡資料或簡訊驗證碼，應立即停止操作，並改用官方 App 或自行輸入已確認的官方網址。
2. 檢查實體 QR Code 是否遭到覆蓋或竄改
在餐廳、停車場或公共場所掃描固定式 QR Code 前，可以先觀察條碼周圍是否有不自然的貼紙、重複覆蓋、邊緣翹起或其他異常。如果對條碼的真實性有疑慮，應向現場工作人員確認，或改用官方 App 及其他已知的付款方式。
商家與場域管理者也應定期巡查 QR Code 標籤，確認張貼位置、內容與導向網址均未遭到更動，並在發現異常時及時更換及通報。
3. 審慎下載 App，避免授予不必要的權限
如果掃描 QR Code 後被要求下載應用程式，應先確認是否為官方提供，以及下載來源是否可信。不要因為頁面顯示品牌標誌或使用看似正式的文字，就認定程式安全。
安裝前應檢查應用程式的開發者、官方網站與所要求的權限。若功能單純的 App 卻要求讀取簡訊、存取聯絡人或啟用無障礙服務等高風險權限，應先確認其必要性。對於來源不明的安裝檔，尤其不應任意安裝。
4. 啟用多重身分驗證，強化重要帳戶的防護
電子郵件、網路銀行及社群媒體等重要帳戶，建議啟用多重身分驗證（MFA），並優先採用通行金鑰（Passkey）、安全金鑰或驗證器等較不容易遭到釣魚攻擊的驗證方式。
多重身分驗證可以增加帳戶遭入侵的難度，但並非所有驗證方式都能完全防止釣魚攻擊。如果使用者在仿冒網站中輸入密碼與一次性驗證碼，仍可能遭遇即時轉送憑證的攻擊，因此仍須搭配網址查證與安全操作習慣。
5. 發現可疑 QR Code 時，立即停止操作並通報
如果掃描後發現網址可疑，應立即關閉頁面，不要輸入個人資料、付款資訊或驗證碼，也不要下載不明檔案。若已輸入帳戶資訊，應盡快透過官方管道更改密碼、檢查帳戶活動，並聯繫相關金融機構或服務提供者。
若懷疑已遭遇詐騙，可保留相關簡訊、電子郵件、網址與交易紀錄，並向警方或台灣 165 反詐騙諮詢專線尋求協助。若已發生可疑轉帳，應立即聯繫銀行處理。
四、企業與商家也要建立 QR Code 資安管理機制
QR Code 詐騙不只影響一般消費者，也可能損害企業品牌信任、造成顧客財物損失，甚至讓商家成為詐騙事件中的受害場域。因此，企業除了提醒消費者提高警覺，也應主動管理 QR Code 的製作、張貼與後續維護。
- 統一管理 QR Code 與導向網址：建立條碼清單，記錄用途、張貼位置、負責部門及對應網址，避免使用來源不明或未經審核的條碼。
- 定期巡查實體張貼位置：針對點餐區、收銀台、停車繳費設備及活動宣傳物進行檢查，及早發現覆蓋、替換或破損等異常。
- 建立通報與應變流程：發現疑似偽造條碼時，應立即移除或停用相關連結，確認受影響範圍，並透過適當管道通知顧客。
- 加強員工與顧客的資安教育：提醒員工辨識可疑條碼、妥善處理顧客通報，並教導消費者透過官方管道確認付款或登入資訊。
對企業而言，QR Code 的安全性不應只依賴消費者自行判斷。透過明確的管理責任、定期檢查與異常通報機制，才能降低條碼遭竄改後持續被使用的風險。
掃碼前多一分查證，為個資與資產多一層保障
QR Code 已成為數位生活與商業服務的重要工具，但便利的操作方式也可能被攻擊者利用。從實體條碼調包、釣魚郵件與簡訊，到誘導下載惡意 App，詐騙手法可能隨使用情境改變，使用者不能只憑條碼外觀或訊息來源判斷安全性。
面對 QR Code 詐騙，最實用的防禦方式，是養成掃描後先確認網址、遇到急迫要求先查證、不任意下載不明 App，以及妥善保護帳戶憑證的習慣。企業與商家則應落實條碼管理、定期巡查與異常通報，從源頭降低風險。
科技帶來便利，也需要搭配相應的資安意識。每次掃碼前多花幾秒確認來源，就能為個人資料、帳戶與財產安全增加一道防線。
照片
img name