QR 碼隨處可見，無論是餐廳餐桌、咪錶、送貨通知，甚至工作電郵中都有其蹤影。多數人想都不想就會直接掃描，但網絡罪犯正是看準了這一便利。
Quishing 是一種發展極為迅速的網絡攻擊手法，專門利用 QR 碼誘騙毫無戒備的受害者交出密碼、付款資料或個人資料。接下來，我們將深入探討 Quishing 攻擊的常見手法，以及應如何保護自身安全。
Quishing 是什麼？
Quishing（QR 碼釣魚）是一種網絡釣魚攻擊，網絡罪犯透過偽造 QR 碼，誘導受害者前往虛假網站，或誘騙他們下載惡意軟件。這類攻擊亦被稱為 QR 碼網絡釣魚、QR 釣魚或簡稱 QR 碼騙局。
QR（快速反應）碼是一種可用手機掃描的二維條形碼，能儲存網址以及付款指示、聯絡資料、Wi-Fi 憑證等快速連結。它極其方便：拿起手機一掃就能直接跳轉至目標頁面。但這份便利，恰恰是 QR 騙局的最大風險來源。
與普通連結不同，QR 碼能隱藏目標網址。掃描前看不到真實網址，加上大眾對 QR 碼的固有信任，正是網絡罪犯實施 QR 碼釣魚攻擊的突破口：等你發現時，已經跳轉到目標頁面了。
但攻擊者的真正目的是什麼？約 90% 的 QR 碼釣魚案件¹，都以竊取敏感資料為目的，例如登入憑證、信用卡號碼、銀行戶口存取權限，以及可用於身份盜竊的個人資料。部分攻擊還會植入惡意軟件，以持續實施詐騙。
以下為常見的 QR 碼釣魚騙局實例：你見到泊車收費告示牌上的 QR 碼，掃描繳費後就會進入一個逼真頁面，要求輸入信用卡資料。但這個頁面是假的，你的錢和信用卡資料都會直接落入騙徒手中。
QR 碼釣魚攻擊是如何運作的？
了解 QR 碼釣魚攻擊的運作方式，即可在受損前及早識破騙局。常見的 QR 碼釣魚攻擊，會遵循一套清晰的流程：
- 設立陷阱：攻擊者會先註冊一個欺詐域名，以冒充銀行、速遞公司或企業登入網站等信譽品牌，再建立一個幾可亂真的釣魚網站。
- 生成 QR 碼：騙徒自訂生成一個 QR 碼，將其連結至該惡意網站。有時，還會透過縮短網址或正規重導向服務，掩飾最終目標網址。
- 散播 QR 釣魚碼：罪犯會把惡意 QR 碼放到電子郵件、傳單、社交媒體貼文、PDF 附件內，或在公共場所的正規 QR 碼上，直接貼上釣魚貼紙。
- 誘騙受害者：QR 碼旁的提示會打出便利牌，或是用緊急通知、嚇人資訊、誘人優惠來煽動情緒，讓人忍不住立刻掃碼。
- 竊取資料或植入惡意軟件：受害者一旦打開釣魚網站，頁面就會要求輸入登入憑證或付款資料。一旦照做提供該等資料，就會慘遭憑證被盜或財務詐騙。如果釣魚網站彈出檔案下載，你還會不慎在裝置上安裝惡意軟件。
「即使是平時會仔細檢查電郵標頭、短訊連結，且極具私隱意識的用戶，也依然容易中招，因為 QR 碼釣魚利用的是人們對實體空間的固有信任。停車收費器、電動車充電樁、自動販賣機、ATM 上出現QR 碼本就很常見，掃一下也比輸入 50 個字元的網址方便太多。
問題在於，網絡罪犯最愛這類能夠模糊、隱藏和簡化現有流程的便利功能。直接在 QR 碼上貼一層薄薄的釣魚貼紙，成本極低，卻能完全繞過你的判斷力和數碼垃圾郵件過濾器。」
——Surfshark 資訊安全經理 Miguel Fornes
為什麼 QR 碼能繞過電郵安全防護
QR 碼釣魚攻擊往往能繞過傳統的電郵安全過濾器，因為網址是直接嵌入在圖片中，而非可點按的文字形式。大多數電郵安全解決方案都會掃描可疑文字連結和已知惡意域名，但在預設情況下，不會解碼圖片或 PDF 附件中的 QR 碼。
2024 年 6 月至 9 月，Barracuda Networks 偵測到 50 多萬封釣魚電郵，將 QR 碼直接隱藏在 PDF 附件中。這類 QR 碼釣魚攻擊冒充的品牌中，Microsoft 佔 51%，Docusign 佔 31%²。
常見的 QR 碼釣魚詐騙、示例及注意事項
QR 碼釣魚的手法五花八門，但背後的社交工程學套路都如出一轍：營造急迫感、引發恐懼以及主打便利旗號。接下來看看攻擊者如何透過數碼渠道（電子郵件、短訊、社交媒體）和真實場所（停車收費器、餐廳餐桌、送貨單），使用 QR 碼來行騙。
虛假付款／泊車 QR 碼
騙徒會利用偽造的泊車 QR 碼竊取付款資料。手法十分簡單：罪犯先印製 QR 碼貼紙，直接貼在繁忙街區停車繳費機或告示牌的正規 QR 碼上。
例如，德克薩斯州奧斯汀就曾有二十多個泊車繳費機被貼上了 QR 碼詐騙貼紙，聖安東尼奧亦通報過類似的泊車繳費騙案³。英國反詐騙及執法部門（CFEU）也發出警示，騙徒會在泊車告示牌和繳費機上張貼假 QR 碼，冒充 PayByPhone 這類正規付款平台，竊取銀行資料、實施身份盜竊⁴。
FBI 的互聯網犯罪投訴中心 (IC3) 亦發現，愈來愈多騙徒利用 QR 碼誘騙受害者前往實體加密貨幣 ATM，快速完成付款，實施浪漫騙局、彩票詐騙、冒名騙局等犯罪⁵。
以下是資訊安全經理 Miguel Fornes 的實用建議：
應留意的危險訊號：
- 用指甲刮一下 QR 碼邊緣：正規 QR 碼通常直接印在金屬或塑膠外殼上。若是感覺到明顯凸起的邊緣，立刻停止交易操作；
- 觀察貼紙位置：是否奇怪、不合人體工學或偏離中心？正規公司在設計實體介面時，通常會選擇畫面中央、順手好掃的位置；
- 新舊反差明顯：若在一台滿是刮痕、日曬褪色的老舊停車機上，貼著一張雪白嶄新的 QR 碼貼紙，是極明顯的危險訊號；
- 掃碼後發現預覽網址在進入最終付款頁面之前，快速跳轉至多個不同域名、或是 bit.ly 這類短網址，立刻關閉瀏覽器。
虛假包裹遞送及「改期遞送」通知
派送通知經常利用 QR 碼將用戶重導向至釣魚網站。這些通知可能以門把掛牌、傳單或電子郵件的形式出現，聲稱某知名速遞公司「未能成功送達包裹」。一旦掃描 QR 碼，即會進入一個虛假門戶網站，要求用戶支付小額「重新遞送費」，同時提交完整的信用卡資料。
FBI 亦警告，如今不法分子會主動郵寄沒有寄件人資料的不明包裹，這是一種變相的刷單詐騙。包裹內附有 QR 碼，誘騙收件人提供個人及財務資料，或在不知不覺中下載惡意軟件⁶。
應留意的危險訊號：
- 語氣緊迫，以免包裹被退回；
- 追蹤號碼模糊不清；
- 無具體物流承運商名稱。
如收到此類通知，直接前往速遞公司的官方應用程式或網站查詢，切勿掃描隨附 QR 碼。
虛假發票與薪資通知電郵
人們在工作中也時常會收到 QR 碼釣魚電子郵件，當中通常附帶虛假發票、薪資調整通知或供應商付款確認單，以及一個 QR 碼，聲稱「用於查看安全文件」。掃描這些 QR 碼，即會跳轉至偽造的 Microsoft 或 Google 登入頁面，專門用於竊取用戶憑證。由於連結隱藏在圖片中，這類電郵能輕易躲過許多電郵安全過濾器。
應留意的危險訊號：
- 寄件人域名不匹配或高度相似；
- 語氣極其緊迫，施壓即時操作；
- 未經事先溝通或授權，突發財務或薪資變動。
餐廳點餐 QR 碼遭篡改
虛假 QR 碼可能會替換餐廳原有的點餐碼。攻擊者會在餐桌或海報的真實 QR 碼上，悄悄貼一層貼紙。一旦掃描，即會跳轉至詐騙點餐網站。
應留意的危險訊號：
- 登入社交媒體；
- 要求提供信用卡資料以預留席位；
- 提示安裝應用程式。
如有餐廳點餐 QR 碼要求提供個人資料、登入憑證或付款資料，立即關閉該頁面。
虛假帳戶驗證與密碼重設提示
騙徒還可利用 QR 碼，發送虛假帳戶安全警告以竊取資料。這些釣魚電郵或信件聲稱帳戶即將被停用或存在可疑活動，然後要求用戶「掃描此 QR 碼以驗證帳戶」，進而跳轉至虛假登入頁面。
正規服務商極少要求透過 QR 碼來解決帳戶問題。請直接手動輸入已知、可信網址，前往官方網站或應用程式。
應留意的危險訊號：
- 網址或寄件人域名不匹配；
- 語氣緊迫，要求立即掃描並進行驗證；
- 異常權限或登入要求。
誰最易成為 QR 碼釣魚目標？
QR 碼釣魚詐騙會影響掃描 QR 碼的所有人，而有些群體受騙的風險會更高：
- 普通消費者：日常使用 QR 碼付款、開啟點餐單、購買活動門票和連接公共 Wi-Fi。大眾普遍認為 QR 碼方便且安全，適合處理簡單任務，因而很少懷疑所掃描內容；
- 辦公室職員與遙距工作者：容易收到 QR 碼釣魚郵件，偽裝成 IT、人力資源或財務通知（根據 Abnormal Security 的數據，在 2024 年上半年，高階管理層遭遇 QR 碼攻擊的概率是普通員工的 42 倍⁷）；
- 中小型企業：依賴 QR 碼進行營銷業務和開立發票，但通常缺少成熟的安全意識培訓；
- 高價值行業：例如金融、醫療保健和政府部門，一旦發生洩漏事件，便會導致財務資料、患者記錄或機密情報外洩；
- 精通科技的用戶亦不能倖免：QR 碼釣魚利用的是人們對實體環境和便利性的固有信任，而非技術方面的無知。
如何識別 QR 碼釣魚攻擊
要識別 QR 碼釣魚攻擊，需從以下方面尋找蛛絲馬跡：用詞語氣緊迫、陌生寄件人、異常域名，以及掃描後即會發生什麼情況。
可疑或意外 QR 碼
時刻警惕突然透過電子郵件、即時通訊軟件收到的 QR 碼，或留在車上、信箱裡的紙質傳單。判斷 QR 碼釣魚攻擊的特徵是，訊息內催促你立即掃描。正規機構極少會將 QR 碼作為解決問題或存取其服務的唯一途徑。
切勿掃描來自陌生寄件人的 QR 碼；如有疑問，直接透過官方渠道聯絡該寄件方核實。
存在外觀篡改或位置異常的跡象
這類攻擊還會採用篡改外觀的手法，即攻擊者將虛假 QR 碼貼紙直接貼在原有代碼上。大家在掃描公共告示牌或餐桌上的 QR 碼之前，務必注意以下情形：
- 現有 QR 碼上有貼紙或邊緣翹起；
- 與周圍告示牌字體、顏色或品牌標誌不匹配；
- QR 碼隨意貼在燈柱或升降機牆壁等位置。
掃描之前，檢查 QR 碼有無被篡改：官方場所通常擁有統一的品牌標識，且在正規 QR 碼旁附有清晰說明。
異常網址、短連結或權限請求
務必先檢查手機掃描後顯示的網址預覽，再點擊開啟。若訊息語氣緊迫，或出現以下情況，則對此 QR 碼提高警覺：
- 拼寫錯誤、隨機字元或陌生域名；
- 網址很短，且來自陌生寄件人；
- 立即要求提供登入憑證、信用卡資料或應用程式權限。
若瀏覽器或安全軟件彈出警告，或覺得網站有任何不對勁之處，立即關閉該頁面。
如何保護自身免受 QR 碼釣魚侵害
無須對 QR 碼徹底敬而遠之：在確認安全之前，只需將每個 QR 碼視為未知連結即可。透過養成謹慎的習慣，配以基礎安全工具，便可防範大多數 QR 碼釣魚攻擊：
更安全的掃描習慣
- 切勿掃描任何不請自來的電郵、短訊或社交貼文內所附 QR 碼。若遇到付款、送貨和帳戶問題，直接前往官方網頁或應用程式；
- 若在實體場所，直接向工作人員詢問或與同一張海報或收據上所印網址進行比對，核實 QR 碼；
- 使用 QR 碼掃描器應用程式，支援在開啟網址前進行預覽，進而有機會核實目標網站是否可信；
- 在輸入個人資料前，先核實網址：登入或付款時，手動輸入已知的可信網址，切勿掃描進入。
技術防護與工具加持
- 及時更新作業系統、瀏覽器與應用程式，更能攔截已知的安全漏洞和惡意網站；
- 為重要帳戶啟用 MFA（多重要素驗證）：即使密碼被盜，MFA 也能讓攻擊者難以入侵；
- 若為流動裝置，選用信譽良好的安全軟件，協助阻截惡意網站與下載；
- 在掃描之前，使用如 Surfshark 的電郵詐騙檢查器這類工具，為防範釣魚郵件增添額外保護。此工具會自動標記語氣緊迫的電子郵件、檢查當中所含連結並分析寄件人資料，提示您可疑詐騙跡象（適用使用 Chrome 擴充功能的 Gmail 收件箱）。
不慎掃描惡意 QR 碼後該怎麼辦
迅速採取行動即可及時止損。最關鍵的一步是，立即停止與可疑網站進行任何互動。後續操作取決於你與該網站的互動程度。
僅掃描但未輸入資料
若只是造訪釣魚網站且無進一步互動，危險性相對較低，但仍需保持警覺。
- 立即關閉瀏覽器分頁。
- 切勿點擊任何按鈕或下載提示。
- 立即清除與可疑網站相關的瀏覽器歷史記錄與快取。
- 在接下來的幾天內，留意有無彈出式視窗、系統變慢或異常行為。
- 檢查手機上的應用程式清單，立即刪除掃描後新安裝的任何應用程式。
若輸入了密碼或個人資料
掃描後，受害者可能會被誘騙提供個人資料，因此迅速採取行動對於防止 QR 碼釣魚攻擊惡化至關重要。
- 立即更改洩漏的密碼，包括受影響的服務，以及重複使用該密碼登入的所有其他帳戶。
- 使用生物辨識、身份驗證器應用程式或硬件密匙啟用 MFA。
- 檢查最近的帳戶活動，登出所有活躍連線階段，並密切留意任何未經授權的變更。
- 建議往後使用密碼管理器，建立獨一無二的強密碼，可大幅降低日後遭受攻擊的影響。
若輸入了付款資料或安裝了任何內容
- 立即聯絡開戶行或發卡機構，告知你的信用卡資料可能已透過 QR 碼騙局洩漏，要求對方即刻監控、凍結或補發卡片。
- 查看最近的交易記錄，設定新增收費提示通知。
- 如在掃描後下載了檔案或應用程式，立即將其卸載，並使用Surfshark Antivirus 這類安全軟件，進行全裝置掃描。這有助找出個人裝置背景可能正在運行的惡意內容。
- 若洩漏了大量個人資料，立即啟用信貸監控以追蹤潛在風險，及早發現身份盜用情況。
持續監控與舉報
- 持續留意遭入侵的帳戶，查看有無密碼重設電郵、登入提示或異常訊息。
- 建議使用 Surfshark Alert 這類安全工具，當發生資料外洩時，一旦發現你的電郵或財務資料出現在網上即會發出通知。這是當發生 QR 碼釣魚事件後，追蹤潛在洩漏風險的絕佳方法。
- 向相關平台（電郵供應商、通訊應用程式）舉報攻擊；如適用，直接向工作地的 IT 團隊或當地消費者保護機構反映。
- 在安全情況下，保留詐騙 QR 碼及網站詳情截圖，有助於安全團隊進行調查，並防止其他人受害。
QR 碼釣魚與網絡釣魚、短訊釣魚及語音釣魚
QR 碼釣魚、網絡釣魚、短訊釣魚（SMS Phishing）和語音釣魚（Voice Phishing）攻擊的目標相差無幾：誘騙受害者交出數據或錢財。在這類詐騙中，攻擊者經常使用網絡犯罪偽冒手段，即冒充大眾信任的品牌、電話號碼或電郵地址，讓所發送訊息顯得可信逼真。然而，它們在行騙途徑方面各不相同：
結語：兼顧 QR 碼使用便利與安全
QR 碼已成為日常生活中不可或缺的一部分，如付款、門票、餐牌和驗證操作等。它們不會消失，也意味著攻擊者會繼續對其加以利用。但好消息是，無須對 QR 碼徹底敬而遠之。只需在預設情況下，將每個 QR 碼視為不可信連結，同時放慢操作，在掃描前核實背景資訊，並運用本文中學到的安全工具與良好習慣。
常見問題
是 QR 碼本身危險，還是所連接內容危險？
QR 碼只是一種編碼數據的圖案，本質上並無害處。危險源於掃描後所觸發的網站、應用程式或操作。惡意 QR 碼通常會跳轉至釣魚網站，或提示進行相關下載，以竊取資料或在裝置上安裝惡意軟件。僅是看到或拍攝 QR 碼但未進行掃描，並不會使任何裝置受到感染。
掃描 QR 碼就會安裝惡意軟件嗎？
對於大多數現代手機，掃描 QR 碼僅會打開網址預覽，而在網站載入或開始下載前，至少需要點按一次才能繼續。惡意軟件通常要求用戶點擊、安裝或授予權限。但某些路過式下載攻擊可能會利用過時的瀏覽器或應用程式下手，這就是為何及時更新裝置至關重要。若掃描後，彈出任何意料之外的頁面，則立即將其關閉。
若收到帶 QR 碼的釣魚電郵，刪除或舉報哪個最安全？
對大多數人而言，不作理會並直接刪除訊息是最簡單、最安全的做法。若為工作帳戶，請遵循內部政策，直接向 IT 或安全團隊舉報帶有 QR 碼的可疑電郵，而非只是刪除，以便他們能在整個組織範圍內阻截該威脅。
為了保持安全，應避免使用 QR 碼嗎？
不需要。許多 QR 碼都是合法且很實用，可用於門票、餐牌和應用程式。目的不是完全不掃描 QR 碼，而是避免盲目信任。核實來源、預覽網址，並在涉及金錢或登入資料時時刻保持警惕。有一個很實用的經驗法則：只掃描信任的內容，並在核實之前將每個 QR 碼視為可疑釣魚連結。
參考資料
- https://keepnetlabs.com/blog/qr-code-phishing-trends-in-depth-analysis-of-rising-quishing-statistics
- https://blog.barracuda.com/2024/10/22/threat-spotlight-evolving-qr-codes-phishing-attacks
- https://www.pcmag.com/news/scammers-stick-fraudulent-qr-codes-on-texas-parking-meters
- https://cfeu.org.uk/beware-of-parking-scams-stay-safe-when-paying-for-parking/
- https://www.ic3.gov/PSA/2021/PSA211104
- https://www.fbi.gov/investigate/cyber/alerts/2025/unsolicited-packages-containing-qr-codes-used-to-initiate-fraud-schemes
- https://abnormal.ai/newsroom/press-releases/h1-2024-threat-report
