「QR 碼釣魚」(Quishing):QR 碼及短訊連結騙案

「QR 碼釣魚」(Quishing):QR 碼及短訊連結騙案

你掃描一個 QR 碼,手機就直接打開一個網站。你沒有看過網址,沒有輸入任何東西,也沒有決定要去哪裡:QR 碼替你決定了。這種方便正是 quishing(QR 碼 + 網絡釣魚)所利用的:用 QR 碼和短網址隱藏目的地,把你帶到假網站,騙取你的資料或金錢。

Quishing 並不是與短訊釣魚(smishing)無關的另一種手法,而是把連結藏得更好的同一種騙局,例如假冒易通行(HKeToll)催繳通行費,或者假冒速遞公司的短訊。假短訊至少還讓你有機會看到可疑的域名;QR 碼在你掃描之前,甚麼都不讓你看到。

假 QR 碼會在哪裡出現

• 停車場及繳費地點。 在真 QR 碼上貼上假 QR 碼貼紙。你一掃,就進入仿冒的繳費網站,並輸入信用卡資料。
• 餐廳檯面的點餐 QR 碼。 在原有的 QR 碼上加貼一張。目的通常是誘使你安裝假 App,或者用各種藉口把你帶到釣魚網站。
• 夾在擋風玻璃上的告票或通知。 附有 QR 碼的假通知,叫你「掃碼繳款」。這與假冒收費的短訊是同一個誘餌,只是印在紙上。
• 包裹及派遞。 貼紙或短訊上的 QR 碼(「掃碼重新安排派遞」),屬於包裹騙案的變種(見我們的情境指南)。
• 附有 QR 碼的電郵及短訊。 訊息叫你掃描 QR 碼而不是按連結,藉口有時是「雙重認證」或「帳戶安全」。這也可以避過只檢查連結、不檢查圖片的防釣魚過濾。
• 加密貨幣及付款。 聲稱載有收款地址或「退款」的 QR 碼。錢一旦轉出,就很難追回。

規則:先看目的地,再進入

普通連結可以在按下之前先看網址;QR 碼不可以,所以你要自己加上這一步:

1. 先掃描,但不要立即打開。 大部分手機在打開前會顯示完整網址。這就是作決定的時刻:慢慢看清楚整個網址。
2. 檢查域名。 必須是該服務的官方域名,沒有多餘的連字號或古怪的後綴。例如香港郵政表示,它所有網站只會使用 hongkongpost.hk、hongkongpost.gov.hk 或 ecert.gov.hk 域名;域名不符,就是假的。
3. 覺得不對勁就不要進入,自己經官方渠道處理。 打開停車場、銀行或商店的官方 App,在那裡辦理。這與核實銀行來電或短訊的方法相同。
4. 提防催促你的 QR 碼。 「立即掃描」、「最後通知」、「你的包裹今日退回」。緊迫感就是騙案的簽名,QR 碼和短訊都一樣。

再加一個實物上的提醒:對於街上張貼的 QR 碼,留意是否有貼紙蓋著貼紙。如果 QR 碼印在一張像是後來加上去的貼紙上,或者蓋住了下面另一個碼,就不要使用,改用手機上已安裝的官方 App 付款。

如果已經掃描並提供了資料怎麼辦

• 在網站輸入了信用卡資料:立即致電銀行,凍結信用卡並申請新卡,之後幾星期留意賬單。
• 經 QR 碼下載了 App:立即刪除,用防毒軟件掃描手機,並檢查你曾經給它的權限(短訊、無障礙功能及通知最危險)。
• 只是掃描然後關閉:幾乎可以肯定沒事。單純掃描不會安裝任何東西,也不會洩露資料;風險在你與網站互動時才開始。
• 報警:帶同 QR 碼的相片(如在街上,拍下貼紙及其位置)和網站截圖,經香港警務處電子報案中心舉報。如需意見,可致電反詐騙協調中心(ADCC)的防騙易熱線 18222。
• 如果 QR 碼是經短訊或電話收到的,請在 NoCall 垃圾號碼目錄舉報該號碼。

快速問答

掃描 QR 碼會令手機被入侵嗎? 單純掃描不會:QR 碼裡只有文字(通常是一個網址)。危險在於它帶你去的網站,以及你在那裡做的事:輸入資料、下載檔案或授予權限。所以防範方法就是進入之前先檢查目的地。

短網址(bit.ly 之類)是否一樣? 是同一個問題:隱藏目的地。正當的短網址服務可以預覽(很多只需在網址末端加上「+」),但實際規則相同:不知道通往哪裡、又催你按,就不要按,自己經官方渠道處理。

我的銀行會發 QR 碼給我嗎? 在你自己發起的程序中可能會,例如綁定 App 或確認交易。但根據香港金融管理局(金管局,HKMA)的要求,銀行不會以短訊或電郵發出超連結,引導你進行交易或提供登入資料。主動發給你的「銀行 QR 碼」,同樣應視為可疑:不要使用,自己打開官方 App。

怎樣保護長輩免受這類騙案? 一句話就夠:「不要掃街上的 QR 碼付款;用你手機裡已有的 App。」停車或在餐廳點餐時,都可能遇到 QR 碼。更多防騙文章見 NoCall 網誌。

總結成一句:QR 碼是你讀不到的連結,所以進入之前先把它讀出來。 掃描、看網址,不是官方域名就關掉,自己經官方渠道處理。這一秒的停頓,足以瓦解整個 quishing 騙局。