QR Code安全禁忌 | QR Code（二維碼）中的「QR」到底代表什麼？這項普及便利的技術，如今卻淪為黑客的工具。從實體貼紙覆蓋到隱蔽的「Quishing」二維碼釣魚，隨手一掃隱藏著哪些資安陷阱？又該如何防範？

QR Code的「QR」到底代表什麼？

「QR」兩個英文字母，代表的是「Quick Response」（快速反應）。

這個看似簡單的方塊陣列，誕生於1994年。當時日本汽車零件製造商電裝（電裝株式會社 / Denso Wave）的工程師原昌宏（Masahiro Hara），為了打破傳統一維條碼資訊量過小的瓶頸，從圍棋棋盤的黑白棋子佈局獲取靈感，開發出這種能向360度任意方向快速讀取的二維矩陣碼。

相比傳統條碼只能儲存數十個字元，QR Code可容納高達數千字元的數據。Denso Wave公司當年做出一個影響深遠的決定：公開專利，不收取授權費。這讓QR Code在全球範圍內迅速普及，從工業倉儲一路拓展至消費市場。相關歷史細節與技術演進，亦載於維基百科（Wikipedia）的公開紀錄中。

便利背後的黑盒陷阱：QR Code有何安全風險？

二維碼極度方便，卻天然存在一個網絡安全致命傷，人類視覺無法直接識別其內容。

當看到一串文字網址時，可以透過字母辨識出是否為偽造網域。但面對由幾百個黑白幾何方塊組成的二維碼，肉眼完全無法分辨它究竟會帶你連往官方網站，還是惡意伺服器。黑客正是利用這種「資訊不對稱」，將二維碼變成執行社交工程攻擊的完美掩護。

最常見的實體攻擊是「貼紙覆蓋法」。黑客將印有惡意網址的QR Code貼紙，直接黏貼在停車場繳費機、街頭廣告牌或餐廳餐牌的真實二維碼之上。市民不假思索地拿出手機一掃，個人資料或信用卡號碼隨即暴露於風險之中。

何謂「Quishing」？黑客如何利用二維碼繞過防毒系統？

在網絡安全領域，利用QR Code進行的釣魚攻擊被稱為「Quishing」（QR碼釣魚／QR Code Phishing）。

這項威脅近年急速升溫。網絡安全機構Proofpoint的分析指出，傳統的電郵安全過濾器能夠輕易掃描並攔截含有惡意連結的文本內容，但黑客將惡意網址轉化為圖片形式的QR Code放在附件或信件內文後，便能成功穿透大部分防火牆。

HKCERT（香港電腦保安事故協調中心）曾公開發布警告，指出網絡釣魚攻擊手段不斷進化，黑客甚至會故意調整二維碼圖像背景色彩與糾錯比例，藉此干擾網絡安全防護軟件的自動偵測機制。一旦受害者掃描二維碼並連上擬真度極高的偽造登入頁面，帳號密碼與雙重認證碼（MFA）便會被瞬間竊取。

網絡安全公司Kaspersky的研究亦證實，此類攻擊通常伴隨強烈的心理威脅，例如「帳戶即將凍結，請立即掃碼驗證」或「掃碼獲取限時優惠」，利用急迫感誘使受害者放下戒心。

如何防範QR Code詐騙？4大安全實用守則

二維碼本身不帶病毒，風險來源於其背後的連結與操作。要避免陷入二維碼安全陷阱，可採取以下防護手段：

觀察實體貼紙痕跡：在公共場所（如停車場、收費柱、餐廳）掃碼前，先用手指摸一摸，確認二維碼是否為一張後貼上去的貼紙。

核對網址與HTTPS標示：手機掃碼後，絕大多數鏡頭程式會先彈出預覽網址。切勿盲目點擊，必須細查網域拼寫是否異常（例如將amazon寫成arnazon）。

切勿經由二維碼下載不明App：安裝應用程式應統一經由官方應用商店（如App Store或Google Play），若掃碼後直接彈出APK檔下載提示，應立即關閉頁面。

啟用多重身份驗證（MFA）：即便密碼遭竊，多一層安全驗證也能防止帳戶被即時入侵。

二維碼簡化了數碼生活的門檻，但「隨手一掃」不應變成盲目的信任。養成掃碼後先看一眼網址的習慣，才是保護個人資訊保安的最直接防線。