Quishing（二維碼網絡釣魚）是一個衍生自「QR code phishing」的詞彙，是一種網絡攻擊，網絡犯罪集團利用惡意二維碼來誘騙用戶造訪假冒網站或將惡意程式下載到裝置上。
目錄
二維碼網絡釣魚的意思
惡意二維碼可內嵌在電郵、廣告、傳單上，甚至單純地將原本的二維碼疊加在原本不知情用戶身上。這類攻擊的目的是要竊取一些敏感資訊，例如密碼、財務資料，或者將惡意程式感染到用戶裝置，進而在日後進一步進行攻擊。
二維碼的設計是為了讓生活更輕鬆，但其簡單性卻令它成為網絡犯罪集團的首要目標。由於用戶在掃描之前看不到二維碼中隱藏的網址，因此會在很晚以後才會被偵測。
甚麼是二維碼？
快速回應碼或二維碼是一種二維條碼，很容易被智能手機等數碼裝置快速掃描。二維碼可用來儲存大量資料，然後用戶就能掃描及分享這些資料。掃描之後，用戶通常會看到一個含有相關資訊的網頁，但二維碼也可能觸發致電、簡訊，甚至數碼支付。例如，二維碼已成為餐廳的熱門選擇，因為它能為客戶提供數碼菜單。
二維碼網絡釣魚為何有效？
二維碼網絡釣魚的成功在於受害者的心理傾向和行為習慣。二維碼普遍被視為方便和值得信賴，但不幸的是，這令用戶不會容易抱持懷疑態度。
熟悉度與信任度
隨著日常生活中二維碼的崛起，無論是餐廳菜單、感應式支付或是酒店辦理入住手續，人們都開始安心掃描二維碼而不須再考慮。
隱藏的目的地網址
有別於傳統的網絡釣魚連結，二維碼會掩蓋其實際連上網站的位址，因此很難一目了然地確認其合法性。
緊急與說服策略
網絡犯罪集團通常會製作一些會讓人感到緊迫的訊息，例如帳號安全警告或獨家優惠，促使用戶急著採取行動。
這些因素再加上二維碼本身的視覺與互動特性，使得二維碼網絡釣魚成為一種非常有效的攻擊途徑。
二維碼網絡釣魚如何運作？
二維碼網絡釣魚詐騙通常涉及以惡意二維碼來取代正常的二維碼。這類詐騙碼可能會出現在各種地方，例如海報、支付終端機、餐廳，甚至電郵和短訊。一旦受害者掃描二維碼後，就會被帶到一個專門竊取其個人資訊或誘騙他們下載有害軟件的惡意網站。
惡意程式與網絡釣魚
在某些情況下，掃描一個惡意的二維碼不僅會連上一個假網站，還會觸發惡意程式下載到裝置。如此一來，網絡犯罪集團就能竊取資料、從事間諜活動（間諜程式），甚至將系統鎖住，直到您支付贖金（勒索程式）為止。網絡釣魚詐騙中的二維碼尤其危險，因為用戶可能很遲才知道自己的裝置已經遭到入侵。
誰有風險？
任何人都可能成為二維碼網絡釣魚的受害者，但某些族群的風險更大。例如：
- 旅客：旅遊者通常依賴二維碼來瀏覽、付款，以及在不熟悉的地方取得資訊。
- 老年用戶：老人經常是這類網絡攻擊的目標，因為他們通常不太留意這類網絡釣魚技巧。
- 流動用戶：由於流動支付與線上交易的便利性，二維碼已讓支付變得輕鬆，但也更容易成為詐騙受害者。
- 企業與員工：使用二維碼來提供非接觸式服務的企業，可能不小心讓自身或客戶暴露在這類攻擊中。
二維碼網絡釣魚的徵兆
以下是一些需要我們留意的跡象來避免二維碼網絡釣魚攻擊：
二維碼遭到竄改
如果二維碼看起來已經損壞、錯放或移位，最好不要掃描。網絡犯罪集團通常會將自己的二維碼貼紙貼在合法的貼紙上。
非預期的提示
若您突然被要求輸入個人資訊、財務資訊，或是掃描程式碼之後下載軟件，請務必小心。
看起來太好的優惠
要求用戶掃瞄二維碼以取得獎勵、折扣或獎品，通常都是陷阱。詐騙集團通常會利用一些誘餌來欺騙受害者。
可疑網站連結 / 網站
檢查二維碼中的網址。如果密碼太長、亂碼或含有隨機字元，就可能連上釣魚網站。此外，您也應避免經由二維碼進入網站來付款，而是輸入已知且值得信賴的交易網址。
資訊太多
對要求超出必要範圍的二維碼（例如存取您的相機、聯絡人或位置）抱持懷疑態度。
二維碼網絡釣魚的真實案例
一個常見的二維碼網絡釣魚攻擊是 Better Business Bureau （BBB） 特別指出的停車咪錶詐騙，歹徒會在停車咪錶或支付終端機上放置假的二維碼。駕駛人如果沒有攜帶任何現金，可能會掃描程式碼來支付停車費，但他們最終會被引導至一個要求提供信用卡資料的詐騙網站。受害者或許在數天或數週之後才意識到自己已經遭到詐騙，因為帳單上出現了非預期的收費。
另一個日益嚴重的威脅是詐騙集團利用假冒的二維碼來冒充合法的公共事業或政府機關。受害者會收到看似官方通訊的郵件，要求他們掃描程式碼來支付帳單，但事實上他們並沒有支付帳單，而是被導向一個專門竊取其財務資訊的惡意網站。
如何防範二維碼網絡釣魚？
掃描前請三思而後行！以下是一些有助於防範您與您的企業遭到二維碼網絡釣魚攻擊的實用祕訣：
使用原始碼來驗證
如果您在公司或餐廳等公共場所看到二維碼，最好先跟員工確認再掃描。如同 BBB 所建議，請特別留意任何二維碼可能遭到篡改的跡象。
避免掃瞄不請自來通訊中的二維碼。
詐騙集團越來越常在網絡釣魚郵件或短訊中使用假的二維碼。切勿掃描某個二維碼或點選不明寄件人發送的連結。
使用二維碼掃瞄器來預覽網址。
有些二維碼閱讀器應用程式會在您重導至某個網站前，提供該網址的預覽。如此額外的步驟就能協助您判斷該網址是否值得信賴，然後再決定是否繼續。
更新您的資訊保安軟件
隨時保持裝置的安全軟件更新，有助於偵測並封鎖掃描有害二維碼時可能造成的惡意下載。
小心處理二維碼付款
當您使用二維碼來支付款項時，尤其是當您在不熟悉的地方時，您應該先確認該支付終端機或網站是否正確，然後再決定是否輸入財務資訊。
哪裡可以取得二維碼網絡釣魚方面的協助？
正如我們所言，二維碼通常是一個值得信賴的資訊來源，因此，我們必須更加小心謹慎，並且要知道資訊的安全狀況。雖然資訊保安意識與培訓是維持防護的重要關鍵，但您的企業需要一套電郵防護方案，讓資訊科技系統管理員與資訊保安團隊擁有完整視野與整合功能來跟上腳步。Trend Vision One™ Email and Collaboration Security 能透過我們的 Trend Vision One™ Cyber Risk Exposure Management 方案提供保安意識功能，讓員工作出明智的決策，有效防範精密的網絡釣魚攻擊。