我相信你每天都會遇到這種情況：去餐廳吃飯，想看菜單，想都沒想就拿出手機掃桌上的二維碼。這已經成了我們日常生活的一部分，從支付停車費到下載應用程序，沒有例外。然而，正是這種對科技的盲目信任，讓網路犯罪分子有機可乘，得以矇騙我們。
這就是「二維碼釣魚」（quishing）的由來，這個字是由「QR碼」和「網路釣魚」（phishing）組合而成。本質上，這是一種欺騙性技術，惡意行為者利用這些黑白小方塊將我們重定向到詐騙網站或誘騙我們下載惡意軟體。由於二維碼的內容在處理之前肉眼不可見，因此它成為繞過安全過濾器的完美工具，而這些安全過濾器通常會偵測電子郵件中的可疑連結。
壓制究竟是如何運作的？
這個過程與傳統的網路釣魚非常相似，但策略上有所不同。攻擊者不會像傳統釣魚那樣發送文字連結供你分析後再點擊，而是會向你展示一張圖片。當裝置掃描圖片上的程式碼時，就會提取出URL並開啟瀏覽器。真正的危險在於，這類攻擊通常會利用社會工程學，利用我們的情緒，製造虛假的緊迫感，或承諾豐厚的回報，誘使我們衝動行事。
攻擊途徑多種多樣。其中最常見的一種是疊加二維碼，詐騙者會在公共場所（例如停車計時器或公車站牌）的原始二維碼上貼上帶有他們自己二維碼的貼紙。此外，還有網路攻擊，詐騙者會將二維碼偽裝在電子郵件、簡訊甚至PDF文件中，誘騙您更新銀行資訊或處理根本不存在的交通罰單。
掃描背後的隱患
根據攻擊者的意圖，掃描詐欺性二維碼的後果可能各不相同。很多情況下，你會跳到一個釣魚網站，該網站會完美地模仿你的銀行或官方機構的頁面，從而竊取你的用戶名和密碼。在其他情況下，該二維碼可能會觸發木馬程式或間諜軟體的自動下載，從而控制你的手機。
還有一種技術性更強、也更危險的變種，叫做二維碼劫持（QRLJacking）。在這種攻擊中，駭客會克隆一個合法的登入驗證碼（在銀行應用程式或現代服務中非常常見），並將其重定向到自己的伺服器。如果受害者掃描了該驗證碼，且未啟用雙重驗證，攻擊者無需密碼即可直接存取帳戶，因為掃描結果本身就相當於存取金鑰。
為什麼我們這麼容易受騙？
主要原因是惡意掃描會破壞企業的安全鏈。想像一下，你在工作電腦上收到一封惡意郵件；公司的防毒軟體很可能會攔截它。但如果郵件中包含二維碼，你會用個人手機掃描它，而個人手機通常沒有相同的安全防護措施，也不遵守公司的安全策略。這就造成了一個安全盲區，威脅無法被偵測到。
此外，行動裝置往往是安全漏洞所在。雖然我們在使用電腦時更加謹慎，但我們往往更信任智慧型手機，忽略拼字錯誤或陌生網址等危險訊號。二維碼的普及性和人們對行動裝置警覺性的降低，為網路犯罪者創造了理想的作案環境。
現實世界中最常見的騙局類型
- 停車詐欺和罰款： 他們會在停車計時器上貼上貼紙，或在擋風玻璃上留下帶有二維碼的通知，以便以折扣價支付，從而清空受害者的帳戶。
- 旅館業的欺騙行為： 餐廳餐桌上的虛假二維碼會將你帶到一些網站，這些網站會要求你提供銀行卡資訊以參與虛假抽獎活動。
- 加密貨幣賭博： 這些代碼承諾快速投資或比特幣獎勵，但實際上會竊取您的數位錢包金鑰。
- 簡訊欺騙： DHL 或 Correos 寄來的電子郵件，要求您掃描二維碼以解決包裹遞送問題。
避免落入陷阱的策略
第一條黃金法則就是不要隨便掃描任何東西。如果你看到一個看起來像是貼在另一個二維碼上的貼紙，或者邊緣凸起或切割粗糙的二維碼，一定要提高警惕。在餐廳裡，如果你有任何疑慮，最好詢問服務員或索取紙質菜單，以免發生不愉快的意外。
從技術層面來說，務必將手機設定為在開啟網頁前顯示目標網址。花點時間閱讀一下：如果網域是“parking-madrid-pagos.com”而不是“madrid.es”，那就是詐騙。此外，避免下載需要掃描二維碼的應用程式；務必直接造訪官方的App Store或Google Play商店。
為企業和用戶提供進階防禦
對組織管理者而言，僅僅做個演示是不夠的。必須在電子郵件過濾器中整合影像分析引擎，以便即時解碼二維碼並將其與威脅資料庫進行比對。使用沙箱技術（即在連結到達使用者之前將其置於隔離環境中運行）是目前最有效的措施之一。
對於一般使用者而言，最有效的安全工具仍然是雙重認證 (MFA)。即使詐騙分子透過釣魚網站竊取了您的憑證，如果沒有發送到您手機的臨時驗證碼，他們也無法存取您的帳戶。保持作業系統更新也至關重要，因為許多攻擊會利用已修復的瀏覽器安全漏洞。
如果你已經上鉤了該怎麼辦？
如果您發現自己掃描了惡意程式碼，請立即採取行動。如果您只是開啟了網站，請關閉標籤頁，清除瀏覽記錄和 Cookie，並執行防毒軟體進行掃描。但如果您輸入了個人訊息，請立即聯絡您的銀行凍結您的銀行卡，並使用乾淨的設備更改所有密碼。
如果您安裝了可疑應用程式，請將其卸載並檢查您授予它的權限。在極端情況下，如果您認為惡意軟體已入侵整個系統，最安全的做法是將手機恢復出廠設置，以清除所有間諜軟體痕跡，並向國家警察報告此事。
對突然出現的二維碼保持警惕，並在輸入任何資訊之前務必核實網站域名，這是最好的防範措施。將人為謹慎與雙重驗證等工具以及最新作業系統相結合，可以大大降低簡單的掃描演變成財務或隱私噩夢的風險。