กลโกง QR Code หรือที่เรียกว่า Quishing คือการใช้คิวอาร์โค้ดพาคุณไปยังเว็บไซต์ปลอมที่ขโมยรหัสผ่าน ข้อมูลบัตร หรือเงิน เพราะเราอ่าน QR Code ด้วยตาไม่ได้ มิจฉาชีพจึงซ่อนลิงก์อันตรายไว้ข้างใน วิธีป้องกันที่ดีที่สุดนั้นง่ายมาก คืออ่านตัวอย่างลิงก์ทุกครั้งก่อนเปิดหรือก่อนจ่ายเงิน
QR Code สะดวก และนั่นคือเหตุผลที่อาชญากรชอบใช้ ต่อไปนี้คือวิธีที่ Quishing ทำงานและวิธีสังเกต
Quishing คืออะไร?
Quishing มาจากคำว่า "QR" รวมกับ "phishing" (ฟิชชิ่ง) ฟิชชิ่งคือกลลวงที่แอบอ้างเป็นองค์กรที่น่าเชื่อถือ เช่น ธนาคาร บริษัทขนส่ง หรือหน่วยงานรัฐ เพื่อหลอกให้คุณให้ข้อมูลสำคัญ Quishing ทำแบบเดียวกัน แต่ส่งลิงก์ปลอมผ่าน QR Code แทนลิงก์ที่กดได้
วิธีนี้ได้ผลกับมิจฉาชีพด้วยเหตุผลหลายข้อ
- คุณมองไม่เห็นลิงก์ QR Code ที่พาไปธนาคารจริงกับที่พาไปเว็บปลอมดูเหมือนกันทุกประการ
- มันย้ายคุณไปอยู่บนมือถือ บนจอเล็ก การตรวจแถบที่อยู่หรือสังเกตชื่อโดเมนที่สะกดผิดเล็กน้อยทำได้ยากกว่า
- หลุดรอดตัวกรองได้ ระบบกรองอีเมลและข้อความเก่งในการจับลิงก์น่าสงสัยในตัวอักษร แต่ลิงก์ที่ซ่อนในรูปภาพจับได้ยากกว่า
- คนไว้ใจ QR Code เราสแกนที่ร้านอาหารและร้านค้าทุกวัน จึงแทบไม่หยุดคิด
หน่วยงานคุ้มครองผู้บริโภคและธนาคารในหลายประเทศได้เตือนประชาชนเรื่องการฉ้อโกงด้วย QR Code โดยเฉพาะโค้ดปลอมบนตู้จ่ายค่าจอดรถ ป้ายรับชำระเงิน และในอีเมล
กลโกง QR Code มักพบที่ไหน
Quishing โผล่ได้แทบทุกที่ที่คนคาดว่าจะเจอ QR Code จุดที่พบบ่อยที่สุดได้แก่
- สติกเกอร์บนสิ่งของสาธารณะ โค้ดปลอมแปะทับโค้ดจริงบนตู้จ่ายค่าจอดรถ ตู้ชาร์จรถยนต์ไฟฟ้า จุดเช่าจักรยาน หรือป้ายรถเมล์
- เคาน์เตอร์ชำระเงิน QR รับเงินถูกเปลี่ยนที่ร้านค้าหรือแผงตลาด ทำให้เงินไปเข้ามิจฉาชีพแทนเจ้าของร้าน
- อีเมล ข้อความอ้างว่ารหัสผ่านใกล้หมดอายุ มีเอกสารรอเซ็น หรือบัญชีถูกล็อก พร้อม QR Code ให้สแกนเพื่อ "แก้ไข"
- จดหมายและใบแจ้งพัสดุ ใบแจ้งพัสดุตกค้างปลอม หรือจดหมายที่ดูเป็นทางการ ขอให้สแกนแล้วจ่ายค่าธรรมเนียมเล็กน้อย
- ใบปลิวและโปสเตอร์ ข้อเสนอที่ดีเกินจริง เช่น ของแถมฟรีหรือส่วนลดมหาศาล ที่พาไปร้านค้าปลอมหรือฟอร์มเก็บข้อมูล
- โซเชียลมีเดียและแชต โค้ดที่ส่งต่อในกลุ่ม LINE หรือข้อความส่วนตัว มักมาพร้อมการเร่งให้รีบทำ
ดูสถานการณ์จริงแบบละเอียดได้ในบทความ กลโกง QR Code ที่พบบ่อย
สัญญาณเตือนของ QR Code ปลอม
คุณไม่ต้องมีความรู้ด้านเทคนิคก็จับกลโกง QR ส่วนใหญ่ได้ ให้สังเกตสัญญาณอันตรายเหล่านี้
- สติกเกอร์แปะทับโค้ดอื่น ลองใช้นิ้วลูบโค้ด ถ้ารู้สึกว่านูน ขอบลอก หรือดูใหม่กว่าป้ายรอบ ๆ ให้สงสัยไว้ก่อน
- ลิงก์ไม่ตรงกัน ตัวอย่างลิงก์แสดงโดเมนที่ไม่ใช่ของจริงขององค์กร สะกดแปลก ๆ หรือเป็นตัวอักษรสุ่มยาวเหยียด
- เร่งรีบหรือข่มขู่ "บัญชีของคุณจะถูกปิดวันนี้" หรือ "ชำระภายในหนึ่งชั่วโมง" เป็นกลยุทธ์กดดันแบบคลาสสิก
- ขอข้อมูลล็อกอินหรือบัตร ตู้จอดรถ เมนู หรือใบแจ้งพัสดุแทบไม่เคยต้องใช้รหัสผ่านธนาคารของคุณ
- ให้ดาวน์โหลดแอปโดยไม่คาดคิด ระวังมากเป็นพิเศษถ้า QR Code ให้ติดตั้งแอป โดยเฉพาะจากนอกสโตร์ทางการ
- QR Code ในอีเมลที่ให้ลงชื่อเข้าใช้ บริการจริงมักให้คุณลงชื่อเข้าใช้ด้วยการเข้าเว็บไซต์หรือแอปโดยตรง
- ชื่อผู้รับเงินไม่ถูกต้อง ถ้าชื่อที่แสดงในแอปธนาคารไม่ใช่ร้านที่คุณกำลังจ่าย ให้หยุดทันที
วิธีป้องกันตัวเองจากกลโกง QR Code
นิสัยที่ดีทำให้ Quishing ได้ผลน้อยลงมาก นี่คือเช็กลิสต์ที่ใช้ได้จริง
- อ่านตัวอย่างลิงก์ก่อน กล้องจะแสดงลิงก์ก่อนเปิด ใช้เวลาสองวินาทีอ่านชื่อโดเมน
- ถ้าไม่แน่ใจ ให้เข้าไปเอง แทนที่จะสแกน ให้พิมพ์ที่อยู่เว็บไซต์ของบริษัทเองหรือเปิดแอปทางการ
- ตรวจผู้รับเงินก่อนจ่าย แอปธนาคารจะแสดงว่าใครเป็นผู้รับเงิน ยืนยันให้ตรงกับร้านค้า บทความ จ่ายเงินด้วย QR อย่างปลอดภัย อธิบายเรื่องนี้โดยละเอียด
- ห้ามกรอกรหัสผ่านหลังสแกนโค้ดที่ไม่รู้ที่มา ถ้าหน้าเว็บขอให้ล็อกอิน ให้ปิดแล้วลงชื่อเข้าใช้ผ่านแอปทางการแทน
- เปิดการยืนยันตัวตนสองขั้นตอน แม้รหัสผ่านถูกขโมย แอป Authenticator ก็เป็นด่านที่สองช่วยกันไว้
- อัปเดตมือถืออยู่เสมอ การอัปเดตความปลอดภัยช่วยอุดช่องโหว่ที่หน้าเว็บอันตรายอาจพยายามใช้
- ใช้ตัวสแกนที่แสดงตัวอย่างอย่างปลอดภัย เมื่อไม่แน่ใจ ให้สแกนด้วยเครื่องมือที่แสดงปลายทางก่อนเปิดอะไรทั้งสิ้น
ที่ QR-TH ลิงก์สั้นทุกลิงก์จะถูกตรวจกับ Google Safe Browsing ตอนสร้าง และตรวจซ้ำทุกคืน ผู้เข้าชมยังเห็นหน้าโหลดที่บอกว่าลิงก์จะพาไปที่ไหนก่อนเปิด เครื่องมือแบบนี้ช่วยได้ แต่จะได้ผลดีที่สุดเมื่อใช้ควบคู่กับวิจารณญาณของคุณเอง
ทำอย่างไรเมื่อสแกน QR Code ปลอมไปแล้ว
ถ้ารู้ตัวว่าเปิดหน้าน่าสงสัยไปแล้ว ให้รีบจัดการแต่อย่าตื่นตกใจ
- ปิดหน้านั้นและอย่ากรอกอะไรเพิ่ม
- ถ้าพิมพ์รหัสผ่านไปแล้ว ให้เปลี่ยนทันทีบนเว็บไซต์จริง และในทุกที่ที่ใช้รหัสผ่านเดียวกัน
- ถ้ากรอกข้อมูลบัตรหรือบัญชีธนาคาร ให้ติดต่อธนาคารทันทีผ่านเบอร์หลังบัตรหรือในแอปทางการ
- ถ้าติดตั้งแอปไปแล้ว ให้ลบออกและสั่งตรวจความปลอดภัยของมือถือ
- แจ้งร้านค้าหรือสถานที่ให้เอาโค้ดออก และแจ้งหน่วยงานที่เกี่ยวข้องหากสูญเสียเงิน
คู่มือทำอย่างไรเมื่อสแกน QR Code อันตรายอธิบายทีละขั้นตอนอย่างละเอียด
คำแนะนำสำหรับธุรกิจ
ถ้าคุณติด QR Code ไว้ให้ลูกค้าสแกน คุณช่วยทำให้มิจฉาชีพทำงานยากขึ้นได้ ตรวจโค้ดที่พิมพ์ไว้เป็นประจำว่ามีสติกเกอร์แปะทับหรือไม่ ฝึกพนักงานให้สังเกตการปลอมแปลง และใช้ QR Code แบบ Dynamic บนโดเมนที่คุณควบคุมได้ เพื่อดูสถิติการสแกนและเปลี่ยนลิงก์ได้เร็ว การพิมพ์ชื่อร้านไว้ข้าง QR รับเงินก็ช่วยให้ลูกค้ายืนยันได้ว่ากำลังจ่ายเงินให้ถูกคน
FAQ
แค่สแกน QR Code มือถือโดนแฮ็กได้ไหม?
การสแกนอย่างเดียวไม่ทำให้มือถือโดนแฮ็ก อันตรายมาจากสิ่งที่คุณทำต่อ คือเข้าเว็บไซต์ปลอม กรอกข้อมูล หรือติดตั้งแอป ตรวจลิงก์ทุกครั้งก่อนเปิด
จะรู้ได้อย่างไรว่า QR Code เป็นของปลอม?
สังเกตสติกเกอร์ที่แปะทับโค้ดอื่น อ่านตัวอย่างลิงก์อย่างระมัดระวัง และสงสัยไว้ก่อนกับหน้าที่ขอรหัสผ่าน ข้อมูลบัตร หรือเร่งให้จ่ายเงิน ถ้าไม่แน่ใจให้เข้าเว็บไซต์ทางการโดยตรง
QR Code ในอีเมลปลอดภัยไหม?
ควรระวังเป็นพิเศษ QR Code ในอีเมลที่ให้ลงชื่อเข้าใช้ ยืนยันบัญชี หรือจ่ายค่าธรรมเนียม เป็นกลฟิชชิ่งที่พบบ่อย ให้เข้าบริการนั้นโดยตรงแทนการสแกน
ควรแจ้งกลโกง QR Code กับใคร?
แจ้งร้านค้าหรือสถานที่ที่พบโค้ด ติดต่อธนาคารหากเกี่ยวข้องกับเงินหรือข้อมูลบัตร และแจ้งความกับตำรวจหรือหน่วยงานคุ้มครองผู้บริโภคในพื้นที่
Quishing อาศัยการที่คนสแกนโดยไม่คิด การหยุดสองวินาทีเพื่ออ่านลิงก์มักเพียงพอที่จะทำให้ปลอดภัย ครั้งหน้าที่ไม่แน่ใจในโค้ด ลองใช้ตัวสแกน QR ออนไลน์ของ QR-TH ดูว่ามันพาไปที่ไหนจริง ๆ ก่อนเปิด