QR Code ปลอมและ Quishing: วิธีสังเกตก่อนสแกน

QR Code ปลอมคืออะไร?

QR Code ปลอมคือ QR Code ที่มิจฉาชีพนำไปวางไว้ ซึ่งเปิดหน้าฟิชชิง หน้าชำระเงินปลอม หรือไฟล์ดาวน์โหลด แทนที่จะเป็นสิ่งที่สถานที่นั้นบ่งบอก ลวดลายของมันเป็น QR Code ธรรมดาทุกประการ ไม่มีอะไรในช่องสี่เหลี่ยมที่บอกว่ามันปลอม สิ่งที่ทำให้โค้ดเป็นของปลอมคือที่ที่มันถูกวางและที่ที่มันพาไป

QR Code เก็บข้อความ และในกลโกงเกือบทุกแบบ ข้อความนั้นคือที่อยู่เว็บ ซึ่งเป็นสิ่งเดียวที่ QR Code แบบ URL เก็บไว้ การสแกนโค้ดไม่ได้รันอะไรบนมือถือ กล้องเพียงอ่านที่อยู่และเสนอให้เปิด ความเสียหายเริ่มที่หน้าที่เปิดขึ้นมา เช่น หน้าชำระเงินที่ลอกแบบผู้ให้บริการที่จอดรถ หน้าเข้าสู่ระบบที่แต่งให้เหมือน Microsoft 365 แบบฟอร์มนัดส่งพัสดุใหม่ที่ขอข้อมูลบัตร หรือข้อความชวนให้ติดตั้งแอป

FBI เตือนเรื่องนี้ในประกาศบริการสาธารณะเมื่อวันที่ 18 มกราคม 2022 ว่าอาชญากรกำลังดัดแปลง QR Code ทั้งแบบดิจิทัลและแบบที่พิมพ์ เพื่อพาเหยื่อไปยังเว็บไซต์อันตรายที่ขโมยข้อมูลเข้าสู่ระบบและข้อมูลทางการเงิน FTC ย้ำคำเตือนนี้ในประกาศเตือนผู้บริโภคเมื่อวันที่ 6 ธันวาคม 2023

Quishing คืออะไร?

Quishing คือฟิชชิงที่ทำผ่าน QR Code แทนลิงก์ที่คลิกได้ เป็นคำที่วงการความปลอดภัยสร้างขึ้นจากคำว่า QR และ phishing โดยทั่วไป QR Code จะมาในอีเมลหรือไฟล์แนบ PDF ที่เลียนแบบผู้ส่งที่คุ้นเคย เช่น การรีเซ็ตรหัสผ่าน การแจ้งเตือนการยืนยันตัวตนแบบหลายปัจจัย เอกสารที่แชร์ หรือการส่งพัสดุ แล้วขอให้คุณสแกนด้วยมือถือ

Quishing ทางอีเมลได้ผลด้วยเหตุผลทางเทคนิคสองข้อ ข้อแรก ลิงก์อยู่ในรูปภาพ ศูนย์ความมั่นคงปลอดภัยไซเบอร์แห่งชาติของสหราชอาณาจักรระบุในเดือนกุมภาพันธ์ 2024 ว่าเครื่องมือความปลอดภัยอีเมลไม่ได้สแกนรูปภาพทุกตัว ลิงก์ที่จะถูกบล็อกเมื่อเป็นข้อความจึงผ่านไปได้เมื่อเป็น QR Code ข้อสอง การสแกนย้ายเหยื่อจากคอมพิวเตอร์ที่ทำงานไปยังมือถือส่วนตัว ซึ่ง Cisco Talos ชี้ในเดือนกุมภาพันธ์ 2024 ว่าอยู่นอกการเฝ้าระวังความปลอดภัยของบริษัทส่วนใหญ่

ตัวกรองอีเมลกำลังตามทัน Microsoft ระบุในเดือนพฤศจิกายน 2024 ว่า Defender for Office 365 สามารถดึง URL ที่ซ่อนในรูป QR Code ออกมาได้ตั้งแต่ช่วงต้นของการส่งอีเมล เพื่อตรวจเหมือนลิงก์อื่น ๆ วิธีนี้ทำให้ช่องโหว่แคบลงแต่ไม่ได้ปิดสนิท เพราะโค้ดเดียวกันอาจมาในรูป PDF จดหมาย หรือข้อความ SMS แทน

มีสัญญาณหนึ่งที่แยก quishing ส่วนใหญ่ออกจากอีเมลจริง บริการจริงแทบไม่เคยขอให้คุณสแกน QR Code จากอีเมลบนคอมพิวเตอร์เพื่อเข้าสู่ระบบ ข้อความที่บอกให้คุณหยิบมือถือขึ้นมาสแกนอย่างเร่งด่วนเพื่อรักษาบัญชีไว้ คือรูปแบบที่ควรหยุดคิด

QR Code ปลอมพบได้ที่ไหน

QR Code ปลอมปรากฏทุกที่ที่คนคาดว่าจะต้องจ่ายเงินหรือทำอะไรอย่างรวดเร็ว และไม่สามารถตรวจได้ง่ายว่าใครเป็นคนวางโค้ดไว้ การประเมินของ NCSC ในเดือนกุมภาพันธ์ 2024 ระบุว่าการฉ้อโกงด้วย QR Code ส่วนใหญ่เกิดในพื้นที่เปิด เช่น สถานีและลานจอดรถ กรณีที่มีการบันทึกไว้กระจุกตัวอยู่ในไม่กี่สถานที่

หลายสภาท้องถิ่นตอบโต้การฉ้อโกงค่าที่จอดรถด้วยการประกาศชัดเจนว่าไม่ใช้ QR Code Kensington and Chelsea ระบุในเดือนมกราคม 2025 ว่าระบบที่จอดรถของตนไม่ใช้ QR Code เลย และ Hartlepool ระบุในเดือนพฤษภาคม 2025 ว่าเครื่องจ่ายค่าที่จอดรถของตนจะไม่ใช้ QR Code เด็ดขาด QR Code บนเครื่องที่ผู้ให้บริการประกาศเช่นนั้นย่อมเป็นของปลอมโดยปริยาย

วิธีสังเกต QR Code ปลอม

สังเกต QR Code ปลอมได้ด้วยการตรวจสามอย่างก่อนเปิด โค้ดเป็นสติกเกอร์ที่แปะทับอะไรบางอย่างหรือไม่ คุณคาดว่าจะเจอโค้ดในที่นั้นตั้งแต่แรกหรือไม่ และโดเมนในหน้าตัวอย่างของมือถือเป็นขององค์กรที่คุณคิดว่ากำลังติดต่ออยู่หรือไม่ การตรวจโดเมนจับได้มากที่สุด เพราะเป็นสิ่งเดียวที่มิจฉาชีพปลอมแปลงไม่ได้

โดเมนคือชื่อของเว็บไซต์ที่ลิงก์เปิด เป็นส่วนที่อยู่ระหว่าง https:// กับเครื่องหมายทับเดี่ยวตัวถัดไป ใน https://parking.example-city.gov/pay โดเมนคือ parking.example-city.gov ส่วนใน https://example-city.gov.pay-now.io โดเมนคือ pay-now.io ไม่ว่าส่วนต้นจะเขียนว่าอะไร ให้อ่านจากขวา ส่วนที่อยู่ก่อนเครื่องหมายทับเดี่ยวตัวแรกคือส่วนที่ตัดสินว่าคุณอยู่ที่ไหน

รูปแม่กุญแจหรือ https ที่ต้นลิงก์ไม่ได้หมายความว่าหน้านั้นเป็นของจริง มันหมายความเพียงว่าการเชื่อมต่อถูกเข้ารหัส และหน้าหลอกลวงก็ใช้ https เป็นปกติเหมือนหน้าจริง

วิธีตรวจ QR Code ก่อนเปิด

ตรวจ QR Code ก่อนเปิดได้ด้วยการอ่านลิงก์ที่มือถือแสดงโดยไม่แตะมัน บน iPhone หรือ iPad คำแนะนำของ Apple คือเล็งกล้องไปที่โค้ดแล้วแตะลิงก์เพื่อเปิด ช่วงระหว่างสองขั้นตอนนั้นคือจังหวะที่คุณอ่านลิงก์ แอปกล้องบน Android และ Google Lens มักแสดงลิงก์เป็นปุ่มให้แตะ ซึ่งให้จังหวะเดียวกันในการอ่าน

1. ดูโค้ดก่อนสแกน. ใช้นิ้วลูบขอบของโค้ด สติกเกอร์ที่แปะทับโค้ดที่พิมพ์ไว้ โค้ดบนเครื่องที่มีเครื่องอ่านบัตรของตัวเอง หรือโค้ดบนใบแจ้งที่ไม่มีชื่อองค์กร คือเหตุผลที่ควรหยุดตรงนี้
2. สแกนด้วยกล้องของมือถือเอง. ใช้แอปกล้องหรือ Google Lens ไม่ใช่แอปสแกนที่ดาวน์โหลดมา ทั้ง FBI และ NCSC แนะนำให้ใช้เครื่องสแกนที่มีอยู่ในมือถือ
3. อ่านโดเมนในหน้าตัวอย่าง. ก่อนแตะ ให้อ่านโดเมนที่มือถือแสดง มันควรเป็นโดเมนขององค์กรเอง สะกดถูกต้อง และไม่มีอะไรแปลก ๆ ต่อท้าย
4. ถอดรหัสจากรูปถ่ายถ้าหน้าตัวอย่างไม่ชัด. ถ่ายรูปโค้ดแล้วเปิดรูปนั้นในเครื่องสแกน QR Code บนเบราว์เซอร์ ซึ่งแสดงลิงก์เต็มเป็นข้อความโดยไม่เปิดมัน
5. ไปที่หน้าชำระเงินและหน้าเข้าสู่ระบบด้วยตัวเอง. ถ้าโค้ดพาไปที่การชำระเงินหรือการเข้าสู่ระบบ ให้ปิดแล้วพิมพ์ที่อยู่ขององค์กรเองหรือเปิดแอปทางการแทน คำแนะนำของ FBI คือหลีกเลี่ยงการจ่ายเงินผ่านเว็บไซต์ที่ QR Code พาไป

ลิงก์เต็มควรค่าแก่การอ่านเมื่อหน้าตัวอย่างแสดงเพียงบางส่วน Unit 42 ทีมวิจัยของ Palo Alto Networks ระบุในเดือนเมษายน 2025 ว่าแอปกล้องบนมือถือแสดงเพียงโดเมน และมิจฉาชีพพาเหยื่อผ่านการเปลี่ยนเส้นทางบนเว็บไซต์ที่ถูกกฎหมาย เพื่อให้โดเมนแรกดูไม่มีพิษภัย KoloQR เครื่องมือสร้าง QR Code ฟรีที่ทำ QR Code ทรงกลมและรูปทรงกำหนดเองได้ มีเครื่องสแกน QR Codeที่อ่านภาพหน้าจอหรือรูปถ่ายในเบราว์เซอร์ของคุณ ไม่อัปโหลดอะไรเลย และแสดงลิงก์ทั้งหมดเป็นข้อความ รวมถึงพารามิเตอร์เปลี่ยนเส้นทางที่ซ่อนอยู่ข้างใน สำหรับวิธีอื่นในการอ่านโค้ดจากรูปภาพ ดูวิธีสแกน QR Code จากรูปภาพ

QR Code ปลอดภัยไหม?

QR Code ปลอดภัยเท่ากับลิงก์หรือการกระทำที่อยู่ข้างใน การสแกนโค้ดด้วยกล้องมือถือเพียงอ่านข้อความของมัน ความเสี่ยงเริ่มเมื่อคุณเปิดลิงก์ กรอกข้อมูลในหน้านั้น ติดตั้งแอปที่มันเสนอ หรืออนุมัติการกระทำ เช่น การเข้าร่วมเครือข่าย Wi-Fi หรือการเริ่มชำระเงิน โค้ดที่คุณคาดว่าจะเจอ จากองค์กรที่คุณไว้ใจ บนสิ่งที่องค์กรนั้นพิมพ์เอง มีความเสี่ยงต่ำ

ตัวมือถือเองก็เคยมีบั๊กเกี่ยวกับ QR นี่คือเหตุผลที่การอัปเดตระบบอยู่ในรายการของ FTC ในเดือนมีนาคม 2018 นักวิจัยคนหนึ่งแสดงให้เห็นว่าแอปกล้องของ iOS 11 อาจแสดงเว็บไซต์หนึ่งในหน้าตัวอย่างแต่เปิดอีกเว็บไซต์หนึ่ง Apple แก้ไขใน iOS 11.3 หน้าตัวอย่างที่เชื่อถือได้จึงขึ้นอยู่กับมือถือที่อัปเดตแล้ว

ข้อมูลประเภทอื่นขอสิ่งที่ต่างจากลิงก์ QR Code Wi-Fiขอให้เข้าร่วมเครือข่าย โค้ดรายชื่อติดต่อขอให้บันทึกนามบัตร และโค้ดโทรศัพท์หรือ SMS กรอกการโทรหรือข้อความไว้ให้คุณส่ง ให้อ่านสิ่งที่มือถือเสนอก่อนยอมรับ เหมือนกับที่คุณอ่านลิงก์

แอปสแกนที่ดาวน์โหลดมาเพิ่มความเสี่ยงแทนที่จะลดลง ประกาศของ FBI ในปี 2022 แนะนำว่าอย่าดาวน์โหลดแอปสแกน QR Code เพราะมือถือส่วนใหญ่มีเครื่องสแกนอยู่ในกล้องแล้ว เครื่องสแกนแยกต่างหากคืออีกหนึ่งแอปที่มีสิทธิ์เข้าถึงมือถือของคุณ และอ่านโค้ดได้ไม่ดีไปกว่ากล้อง

ต้องทำอะไรถ้าสแกน QR Code ปลอมไปแล้ว

ถ้าคุณแค่สแกน QR Code ปลอมแล้วปิดหน้าไป คุณน่าจะปลอดภัย การอ่านลิงก์ไม่ได้ทำให้ใครได้ข้อมูลของคุณ ถ้าคุณกรอกอะไรลงในหน้านั้น ให้ดำเนินการภายในวันเดียวกันตามลำดับด้านล่าง ประกาศเตือนของ FTC ในเดือนมกราคม 2025 ให้ขั้นตอนเดียวกันสำหรับทุกคนที่พิมพ์ข้อมูลลงในหน้าที่ QR Code เปิด

1. ข้อมูลบัตรหรือบัญชีธนาคาร โทรไปที่หมายเลขด้านหลังบัตร และขอให้ธนาคารอายัดบัตรและตรวจสอบรายการชำระเงินล่าสุด
2. รหัสผ่าน เปลี่ยนรหัสผ่านบนเว็บไซต์จริง และบนทุกเว็บไซต์ที่คุณใช้รหัสเดียวกัน แล้วเปิดการยืนยันตัวตนสองขั้นตอน
3. แอปที่คุณติดตั้ง ลบแอปนั้น และตรวจการตั้งค่าของมือถือว่ามีโปรไฟล์จัดการอุปกรณ์หรือสิทธิ์ใดที่มันเพิ่มเข้ามาหรือไม่
4. ข้อมูลส่วนตัว เช่น ที่อยู่หรือวันเกิด ตรวจรายงานเครดิตของคุณ และเฝ้าดูใบแจ้งยอดว่ามีบัญชีใหม่เกิดขึ้นหรือไม่
5. แจ้งเหตุ แจ้งผู้ให้บริการที่จอดรถหรือสภาท้องถิ่นเรื่องสติกเกอร์ แจ้งผู้ให้บริการอีเมลหรือทีมไอทีของนายจ้างเรื่องอีเมล ในสหรัฐฯ แจ้ง IC3 ของ FBI หรือ FTC และในสหราชอาณาจักรแจ้ง Action Fraud

ถ้าโค้ดอยู่บนเครื่องจ่ายค่าที่จอดรถ ให้แจ้งผู้ให้บริการเพื่อให้ลอกสติกเกอร์ออกก่อนคนขับคนถัดไปจะใช้ และจ่ายค่าที่จอดรถผ่านช่องทางทางการ เพื่อที่คุณจะไม่ได้ใบสั่งจริงเพิ่มมาอีก

ธุรกิจปกป้อง QR Code ที่พิมพ์ได้อย่างไร

ธุรกิจปกป้อง QR Code ที่พิมพ์ได้โดยหลักคือทำให้สติกเกอร์ที่แปะทับสังเกตเห็นได้ง่าย และทำให้ตรวจปลายทางจริงได้ง่าย ไม่มีมาตรฐานทางการที่ครอบคลุมเรื่องนี้ มาตรการด้านล่างคือวิธีที่ใช้ได้จริงซึ่งมาจากการทำงานของกลโกงที่จอดรถ และใช้ได้ทั้งกับเมนู ป้ายชำระเงิน หรือโปสเตอร์

• พิมพ์โดเมนไว้ใต้โค้ด บรรทัดอย่าง "เปิด pay.yourshop.com" ให้ผู้สแกนมีสิ่งที่จะเทียบกับหน้าตัวอย่าง สติกเกอร์จะต้องปิดข้อความนั้นด้วย
• พิมพ์โค้ดลงในป้ายแทนการแปะ โค้ดที่พิมพ์ลงในงานออกแบบ เคลือบ หรืออยู่หลังกระจก จะเผยให้เห็นโค้ดปลอมที่แปะทับได้ทันที
• ตรวจป้ายที่ไม่มีคนดูแลตามกำหนดเวลา สภาท้องถิ่นบางแห่งในสหราชอาณาจักรที่พบสติกเกอร์ปลอมตอนนี้ให้เจ้าหน้าที่ตรวจเครื่องและลอกสติกเกอร์ออก ป้ายชำระเงินที่คุณมองไม่เห็นจากเคาน์เตอร์ก็ควรได้รับการดูแลแบบเดียวกัน
• ใช้โดเมนของคุณเอง โค้ดที่เปิด yourshop.com น่าเชื่อถือกว่าโค้ดที่เปิดบริการลิงก์ย่อ และยังอยู่ในการควบคุมของคุณ
• ระบุชื่อผู้รับเงินบนป้ายชำระเงิน สำหรับQR Code VenmoหรือQR Code PayPal ให้พิมพ์ชื่อผู้ใช้ไว้ข้างโค้ด เพื่อให้ผู้จ่ายตรวจเทียบกับหน้าที่เปิดขึ้นมาได้
• บอกลูกค้าว่าคุณไม่ใช้อะไร ถ้าคุณไม่เคยรับชำระเงินด้วย QR Code ให้ระบุไว้บนเครื่อง เหมือนที่หลายสภาท้องถิ่นทำอยู่ตอนนี้

โค้ดแบบคงที่ตรวจสอบได้ง่ายกว่า เพราะลิงก์ที่พิมพ์อยู่ในลวดลายคือปลายทางสุดท้าย โค้ดแบบไดนามิกส่งทุกการสแกนผ่านการเปลี่ยนเส้นทางก่อน ซึ่งมีประโยชน์เมื่อต้องเปลี่ยนปลายทาง แต่หมายความว่าลิงก์ที่มองเห็นไม่ใช่หน้าที่เปิดขึ้นมา QR Code แบบคงที่กับแบบไดนามิกอธิบายว่าเมื่อไรควรเลือกแบบไหน

ต้องการ QR Code ปลอมสำหรับม็อกอัปหรือการทดสอบ?

สำหรับม็อกอัปงานออกแบบ อุปกรณ์ประกอบฉาก หรือการพิมพ์ทดสอบ ให้ใช้ QR Code จริงที่ชี้ไปยังที่อยู่สงวนที่ไม่มีอันตราย เช่น https://example.com RFC 2606 สงวน example.com example.net และ example.org ไว้สำหรับเอกสาร โค้ดจึงสแกนได้ เปิดหน้าตัวอย่าง และไม่มีทางพาใครไปที่ไม่คาดคิดหลังจากโดเมนเปลี่ยนมือ

หลีกเลี่ยงทางลัดสองแบบ ลวดลายสี่เหลี่ยมแบบสุ่มที่ไม่ใช่โค้ดที่ถูกต้องจะดูผิดสำหรับคนที่รู้จัก QR Code และทำให้เครื่องสแกนค้าง โค้ดที่ชี้ไปยังเว็บไซต์จริงที่คุณไม่ได้เป็นเจ้าของ หรือไปยังลิงก์ย่อที่อาจถูกนำกลับมาใช้ใหม่ภายหลัง อาจพาคนที่สแกนม็อกอัปของคุณไปยังหน้าที่คุณไม่เคยเห็น

เครื่องมือสร้างของ KoloQRสร้างโค้ดตัวอย่างจากที่อยู่ใดก็ได้ในไม่กี่วินาที ในรูปทรงและสีของงานออกแบบจริง ม็อกอัปจึงแสดงขนาดและหน้าตาจริง เปลี่ยนเป็นลิงก์จริงก่อนส่งงานไปพิมพ์