QR Code 缺點有哪些？掃描風險、相容性問題與資安漏洞說明

【先說結論】QR Code 真的母湯亂掃！方便的代價可能是你的個資和錢錢 💸

哈囉，大家在嗎？最近真的到處都是 QR Code 吧！不管是點餐、加 LINE 好友、繳停車費，甚至是路邊的問卷，好像沒它就活不下去一樣 😂。我自己也是超愛用，畢竟手機「嗶」一下就搞定，誰還想慢慢打字輸網址啊？不過呢，就是因為太方便、太習慣了，我們反而很容易忽略它背後的風險。

簡單講，QR Code 本身只是一堆黑白格子，它沒有好壞之分。但問題就出在，你永遠不知道那個碼掃下去會把你帶到哪裡。它就像一個包裝精美的驚喜包，裡面可能是折價券，也可能是… 呃… 一個把你錢包清空的惡意程式 😱。所以今天想來跟大家聊聊，QR Code 除了方便之外，到底有哪些我們該注意的缺點和風險。

真實上演的 QR Code 詐騙：不只帳單，連點餐都可能被騙！

講風險可能有點嚴肅，我們先來看個故事。之前就有新聞報導過，有詐騙集團會把假的繳費單 QR Code 貼在停車場的繳費機上，或是直接寄到你家信箱。當你急著去繳費時，一掃碼，看起來超像官方的付款頁面就跳出來了，但其實錢是直接進到詐騙集團的口袋。真的很扯！

更生活化的例子是餐廳。現在很多店家都用 QR Code 讓客人自己點餐對吧？想像一下，如果有心人趁店家不注意，用一張假的 QR Code 貼紙蓋掉桌上原本的。你掃了之後，可能被引導到一個釣魚網站，要你輸入信用卡資訊才能「完成點餐」，結果餐點沒點到，卡先被盜刷了。這種手法雖然技術含量不高，但就是利用大家在公共場所放鬆、不疑有他的心態。

【怎麼做】這些 QR Code 攻擊手法，你不能不知道！

OK，看完案例有點毛毛的對吧？別怕，了解敵人怎麼攻擊，我們才能防禦。這些攻擊有個專有名詞，叫做「Quishing」，就是 QR Code Phishing (釣魚) 的意思。駭客主要有幾種玩法：

惡意連結轉址：這是最基本款。QR Code 掃描後會把你帶到一個看起來很正常，但其實是假的網站，例如假的網路銀行登入頁面。你一輸入帳號密碼，個資就掰掰了。這種網站通常網址會有點怪怪的，比如說把 "Microsoft" 拼成 "Micorsoft" 之類的。
QRLjacking (QR Code 登入劫持)：這個比較進階，但超可怕。你知道現在很多網頁服務 (像 LINE、WhatsApp) 都可以用 QR Code 登入嗎？駭客會先在自己的電腦上打開登入頁面，然後把那個「等著你掃描登入」的 QR Code 透過釣魚網站秀給你看。你一旦掃了，就等於是「授權」駭客的電腦登入你的帳號！你的對話紀錄、聯絡人可能就這樣被看光光。
自動下載惡意軟體：有些惡意的 QR Code 會觸發你的手機自動下載 App 或檔案。如果你不小心安裝了，那支手機可能就變成駭客的魁儡，你的照片、訊息、各種紀錄都可能被偷走。
Wi-Fi 網路釣魚：你可能在咖啡廳掃過 QR Code 來連 Wi-Fi，對吧？如果那個 QR Code 是假的，它可能會把你連到一個由駭客架設的惡意 Wi-Fi 熱點。你上網的所有流量，包括你輸入的密碼、傳的訊息，都可能被他看光光。

不同情境，風險也不同：公開場合的 QR Code 要特別小心！

雖然 QR Code 到處都有，但不同地方的風險等級完全不一樣。

公共場所的傳單/海報：這絕對是高風險區！路邊、公車站、電線桿上的 QR Code，你完全不知道是誰貼的，也可能被惡意覆蓋。除非你百分之百確定來源 (例如是市政府的官方公告)，不然最好別亂掃。
電子郵件或簡訊：收到夾帶 QR Code 的 email 或簡訊，警覺心要拉到最高！很多釣魚郵件會用「帳號異常」、「中獎通知」等藉口，要你趕快掃碼處理。這種通常都是詐騙。
餐廳、商店：理論上比較安全，但就像前面說的，還是有可能被掉包。掃碼前可以稍微摸一下 QR Code，感覺一下是不是有被貼上一層貼紙。雖然有點蠢，但這招真的有用 😂。

對了，說到這個，美國的聯邦調查局 (FBI) 和網路安全與基礎設施安全局 (CISA) 都有發出警告，提醒民眾小心公共場所的 QR Code 詐騙。像台灣的資通安全署 (ACS) 網站上，也有很多關於如何防範網路釣魚的資訊。雖然各國的案例不太一樣，但核心的防範原則是相通的：對來源不明的 QR Code 保持懷疑。

QR Code 天生的「限制與失敗」：不只是資安問題

除了被壞人利用，QR Code 本身也有一些天生的「缺陷」：

相容性與讀取問題：你一定遇過吧？有些 QR Code 不管你喬什麼角度、手機拿多近多遠，就是掃不出來。這可能跟它印刷的材質、解析度、或是因為耗損有髒污有關。尤其是在光線太亮或太暗的地方，成功率又更低了。
需要網路連線：絕大多數的 QR Code 掃了之後都需要連上網路才能看到內容。如果你在一個收訊不好的地方，像是地下室或山區，那它就只是一張廢紙。
資訊不透明：這就是它最大的安全隱憂。在掃描之前，你完全無法從那堆黑白方塊中看出它到底是什麼。這給了惡意連結一個完美的偽裝。

常見錯誤與修正：別再傻傻地直接掃了！

看了這麼多，也不是要大家從此不用 QR Code 啦，那太不切實際了。我自己是覺得，只要養成一些好習慣，就可以避開 90% 以上的風險。下面做個簡單的比較表，看看你中了幾個「危險習慣」？

危險的掃碼習慣 ☠️	安全的掃碼習慣 ✅
看到碼就掃，完全不看來源。	先想一下「我在哪裡？」、「這是誰的碼？」，路邊的、來路不明的簡訊郵件，直接無視！
掃描後，手機跳出網址就直接點「確認」。	花個兩秒鐘看一下預覽的網址。覺得怪怪的 (例如拼字錯誤、網域很長很亂) 就不要點進去。
下載來路不明的 QR Code 掃描器 App。	直接用手機內建的相機 App 就好，通常最安全。有些防毒軟體 App 也提供有安全檢查功能的掃描器。
在掃碼後的網站上，想都不想就輸入個資或密碼。	養成「掃碼後不輸入密碼」的習慣。如果真的需要登入，寧願手動打開官方 App 或網站來操作。
看到 QR Code 歪歪的或上面有貼紙痕跡，還是照掃不誤。	相信你的直覺！覺得有被動過手腳的樣子，就直接跟店家反應，千萬不要自己去試。