什麼是 Quishing？QR 碼網路釣魚解析

QR 碼隨處可見，從餐廳的桌面、停車計費器、送貨通知，甚至到工作電子郵件中都能看到。大多數人掃描時都不會多想，而網路犯罪分子正是看準了這份便利性。

Quishing 是一種快速增長的網路攻擊手法，利用 QR 碼誘騙毫無防備的受害者交出密碼、付款資訊或個人資料。接下來，讓我們深入了解 Quishing 攻擊的常見形式，以及如何保護自己免受其害。

Quishing（QR 碼網路釣魚）是一種網路釣魚攻擊，網路犯罪分子利用 QR 碼將受害者引導至偽造網站，或誘騙他們下載惡意軟體。這類攻擊也稱為 QR 碼釣魚、QR 釣魚，或簡稱 QR 碼詐騙。

QR 碼（Quick Response Code，快速回應碼）是一種二維條碼，可使用手機鏡頭掃描。它可以儲存網址，以及付款指示、聯絡資訊、Wi-Fi 連線憑證等內容的快速連結。使用起來非常方便，只要拿起手機對準 QR 碼掃描，就能快速存取相關資訊。但也正是這種便利性，讓 QR 碼詐騙變得如此危險。

與一般連結不同，QR 碼會隱藏連結的目的地。網路犯罪分子正是利用人們對 QR 碼的信任，以及掃描前無法直接看到連結網址的特性來發動 QR 碼網路釣魚攻擊。等到您發現連結通往哪個網站時，可能已經進入該網站了。

但攻擊者真正的目的究竟是什麼？大約90% 的 QR 碼釣魚案件旨在竊取敏感資訊，例如登入憑證、信用卡號碼、銀行帳戶的存取權限，以及可用於身分盜用的個人資料。有些攻擊還會試圖安裝惡意軟體，以便持續進行詐騙活動。

了解 QR 碼釣魚攻擊的運作方式，有助於您在遭受損失前及早識破這類攻擊。典型的 QR 碼釣魚攻擊通常會經過以下幾個步驟：

QR 碼釣魚攻擊通常能繞過傳統的電子郵件安全篩選器，因為網址是以 QR 碼的形式嵌入圖片中，而非以可點擊的文字連結呈現。大多數電子郵件安全解決方案會掃描可疑的文字連結和已知的惡意網域，但預設不會解析圖片或 PDF 附件中的 QR 碼。

2024 年 6 月至 9 月期間，Barracuda Networks 發現超過 50 萬封網路釣魚電子郵件，其中的 QR 碼隱藏在 PDF 附件中。在這些 QR 碼釣魚攻擊所冒充的品牌中，Microsoft 佔 51%，Docusign 則佔 31%。

QR 碼釣魚的形式多種多樣，但常見的社交工程手法不外乎製造緊迫感、引發恐懼或利用便利性。接下來，讓我們看看攻擊者如何透過數位管道（電子郵件、簡訊、社群媒體）及實體場所（停車計費器、餐廳桌面、送貨通知）中的 QR 碼進行詐騙。

詐騙分子利用偽造的停車繳費 QR 碼竊取付款資訊。手法很簡單：犯罪分子印製假的 QR 碼貼紙，並將其覆蓋在人潮眾多地區的停車繳費機或告示牌上原有的 QR 碼。

例如，美國德州奧斯汀市有超過 24 台停車繳費機被發現貼有偽造的 QR 碼貼紙，聖安東尼奧也傳出類似的停車繳費詐騙案件³。在英國，反欺詐與執法部門（CFEU）警告，詐騙分子會在停車告示牌和繳費機上張貼偽造的 QR 碼，假冒 PayByPhone 等合法付款平台，藉此竊取銀行帳戶資訊並進行身分盜用⁴。

FBI 的網路犯罪投訴中心（IC3）也發現，越來越多詐騙分子利用 QR 碼引導受害者前往實體加密貨幣 ATM，讓他們迅速付款，完成感情詐騙、彩券詐騙或冒名詐騙⁵。

以下是我們的資訊安全經理 Miguel Fornes 所提出的建議：

配送通知經常利用 QR 碼將使用者引導至網路釣魚網站。這類通知可能以門把吊牌、傳單或電子郵件的形式出現，聲稱知名快遞公司有包裹「配送失敗」。掃描 QR 碼後，使用者會被導向偽造的網站，要求支付小額「重新配送費」，並提供完整的付款卡資料。

FBI 也警告，犯罪分子現在會寄送未經收件人訂購、且未標示寄件人資訊的包裹。這是刷評詐騙的一種變形，包裹內附有 QR 碼，誘使收件人提供個人及財務資料，或在不知情的情況下下載惡意軟體⁶。

如果您收到此類通知，請直接開啟物流業者的官方應用程式或網站，不要掃描通知中附帶的 QR 碼。

員工在工作中可能收到 QR 碼釣魚電子郵件，內容通常包含偽造的發票、薪資發放資訊更新或供應商付款確認通知，並附上聲稱可用來「檢視安全文件」的 QR 碼。這些 QR 碼會將使用者引導至偽造的 Microsoft 或 Google 登入頁面，藉此竊取登入憑證。由於連結隱藏在圖片中，這類電子郵件得以繞過許多電子郵件安全篩選器。

偽造的 QR 碼可能取代餐廳原本的菜單 QR 碼。攻擊者會將印有惡意 QR 碼、不易察覺的貼紙覆蓋在餐桌或海報上的原有 QR 碼上。掃描後，您可能會被導向偽造的菜單網站。

如果掃描餐廳菜單 QR 碼後，開啟的網頁要求您提供個人資料、登入憑證或付款資訊，請立即關閉該網頁。

詐騙分子可能利用 QR 碼假冒帳戶安全警告，藉此竊取資料。這類網路釣魚電子郵件或信件會聲稱您的帳戶即將遭到停用，或出現可疑活動，並要求您「掃描此 QR 碼以驗證帳戶」。掃描後，您就會被導向偽造的登入頁面。

正規服務供應商很少要求使用者掃描 QR 碼來解決帳戶問題。請自行輸入您熟悉且信任的官方網址，或直接開啟官方應用程式。

任何掃描 QR 碼的人都可能遭遇 QR 碼釣魚詐騙，但某些族群受騙的風險更高：

要識破 QR 碼釣魚攻擊，必須留意與 QR 碼相關的各種可疑跡象，例如催促您立即採取行動的措辭、不明寄件人、可疑的網域名稱，以及掃描後立即出現的情況。

如果您突然透過電子郵件、通訊應用程式收到 QR 碼，或在車上、信箱中的傳單上發現 QR 碼，請提高警覺。QR 碼釣魚攻擊的常見跡象之一，就是訊息會催促您立即掃描。正規機構很少要求使用者只能透過掃描 QR 碼來解決問題或使用其服務。

避免掃描來路不明的 QR Code。如有疑慮，請透過官方管道向疑似寄件人確認。

攻擊者可能透過實體方式竄改 QR 碼，例如將印有偽造 QR 碼的貼紙覆蓋在原本的 QR 碼上。掃描公共場所告示牌或餐桌上的 QR 碼之前，請注意：

掃描前請先檢查 QR 碼是否遭到竄改。正規場所通常會使用一致的品牌識別設計，並在官方 QR 碼旁提供清楚的使用說明。

掃描 QR 碼後，請務必先確認手機顯示的網址預覽，再點選 開啟。如果訊息刻意製造緊迫感，或出現以下情況，請對其中的 QR 碼提高警覺：

如果您的瀏覽器或安全軟體顯示警告，或者該網站有任何不對勁的地方，請立即關閉頁面。

您不必完全避免使用 QR 碼，只要在確認安全之前，將每個 QR 碼都視為不明連結，謹慎處理即可。只要養成謹慎的使用習慣，並搭配基本的安全工具，就能有效防範大多數 QR 碼釣魚攻擊：

迅速採取行動有助於降低損害。最重要的是立即停止操作可疑網站。接下來該採取哪些措施，則取決於您先前在網站上進行了哪些操作。

單純造訪釣魚網站而不進行互動的危險性較小，但仍需保持警惕。

受害者在掃描 QR 碼後，可能受騙而提供個人資料，因此必須迅速採取行動，防止 QR 碼釣魚攻擊造成更嚴重的損害。

QR 碼釣魚、網路釣魚、簡訊釣魚（Smishing）和語音釣魚（Vishing）攻擊都有相同的目的：誘騙受害者提供資料或金錢。這些詐騙手法通常會利用冒名詐騙假冒可信賴的品牌，或偽造電話號碼和電子郵件地址，讓詐騙訊息看起來更可信。不過，各種攻擊使用的管道並不相同：

QR 碼已廣泛應用於日常生活中的付款、票券、菜單和身分驗證等用途，而且未來仍會持續使用，因此攻擊者也會繼續利用 QR 碼進行詐騙。好消息是，您不必完全避免使用 QR 碼，只要將每個 QR 碼都視為尚未確認安全性的連結，不要急著掃描，先確認 QR 碼的來源及使用情境是否可信，並善用本文介紹的安全工具與防護措施即可。