開啟 3 天免費試用
註冊即可免費體驗全部高級功能。
*只限新用戶；每位用戶只可獲得一次試用。
甚麼是 Quishing？QR code 釣魚如何運作
Natalie Moore
2026年8月28日· 8 分鐘讀完
甚麼是 Quishing？它是透過 QR code 進行的釣魚。QR code 本身並非必然危險，它只是儲存目的地或指令的精簡方式。攻擊始於犯罪分子利用這種便利，藏起誤導性的連結、收款地址、App 下載或登入頁，再催促別人照做。
隱藏的目的地正是關鍵分別。一般連結在點擊前至少能看到部分域名；QR 圖像則要待相機或掃描器解碼後才顯示目的地，彈出的提示也可能只顯示縮短或截斷的地址。FTC 警告，騙徒會把自己的 QR code 貼在合法的 QR code 上，並透過電郵或短訊傳送意外的 QR code 來製造緊迫感。［1］
關鍵要點
- QR code 只是載體；詐騙發生在目的地，或它要求你做的動作上。
- 對待意外的 QR code 要像對待意外的連結，尤其是提及速遞、帳戶問題、付款、退款或緊急驗證時。
- 預覽目的地，檢查實體貼紙，並獨立開啟已知的官方 App 或網站。
- 應對方法取決於掃描後發生了甚麼：只看了頁面，與輸入憑證、付款或安裝軟件並不相同。
甚麼是 Quishing？Quishing 攻擊如何完成？
大多數攻擊遵循一條短鏈。攻擊者先建立服務於詐騙目的的目的地：可能仿冒銀行登入頁、以小額運費為名索取信用卡資料、開啟加密貨幣付款頁、要求登入工作帳戶，或提供檔案、流動裝置描述檔。然後把目的地編碼成 QR 圖像。最後，把圖像放進可信的情境，並配上必須盡快行動的理由。
情境可以在網上，也可以在實體世界。在電郵中，QR 圖像可能避過只針對可點擊文字連結的習慣和過濾器；在短訊中，它可能偽裝成包裹更新或帳戶檢查；在 PDF、發票、海報、咪錶、餐枱、活動標牌或郵寄信件上，它看似日常流程的一部分。魚叉式釣魚亦會針對特定機構或個人度身訂造；FBI 記錄過在針對性電郵攻擊中使用惡意 QR code 的個案。［2］
掃描並不能證明發送者正當，它只是把圖像轉換成資料。決定性的步驟在後頭：開啟解碼出的 URL、信任該頁面、批准瀏覽器或 App 提示、輸入機密、授權付款或安裝內容。
| 階段 | 攻擊者依賴甚麼 | 你可以檢查甚麼 |
|---|---|---|
| 投放 | 熟悉的場景或看似可信的訊息 | 這個 QR code 是你預期的嗎？有沒有貼紙蓋住另一個碼？ |
| 掃描提示 | 目的地比純文字更難看清 | 展開預覽，查看完整域名 |
| 登陸頁面 | 品牌元素、緊迫感和看似合理的任務 | 另行開啟官方 App 或網站比對 |
| 要求的動作 | 習慣和時間壓力 | 被要求密碼、驗證碼、付款或安裝時就停下 |
| 後續 | 受害者以為任務已完成 | 獨立核實帳戶、付款和裝置活動 |
惡意 QR code 通常出現在哪裏？
電郵和文件很常見，因為 QR code 會把點擊轉移到手機。訊息可能聲稱公司政策要求以手機驗證、員工必須查看共用檔案，或電郵密碼即將到期。手機上開啟的頁面隨後會仿冒熟悉的雲端服務。這仍然是釣魚，QR code 只是改變了受害者到達網站的方式。
短訊和聊天訊息可能使用與短訊釣魚相同的速遞、隧道費、退款或保安警示說法。訊息中的 QR code 並不比寫出來的網址安全。發送者出乎意料時，請透過你已知的號碼、App 或網站核實，而不是回覆或掃描。
實體投放帶來另一個問題：攻擊者毋須控制企業的網站或電郵系統。一張印刷貼紙就能蓋住真正的泊車或付款碼，假碼也可能被加到傳單、帳單、枱卡或告示上。檢查標籤是否凸起、歪斜、顏色不同，或貼在另一個圖像上面。這些跡象有用，但印得整齊並不證明是真的。
Quishing 與一般釣魚、旅途中的假 QR code 有何分別？
一般釣魚泛指透過冒充來竊取資料或誘使不安全操作的企圖。Quishing 指的是傳遞機制：欺騙途徑被編碼在 QR 符號內。短訊釣魚則指明訊息渠道是短訊。一宗事件可同時符合多個標籤，例如一則含惡意 QR code 的短訊既是短訊釣魚，也是 Quishing。
旅途中遇到的假 QR code，是同一機制在特定場景下的表現。咪錶、交通告示、餐牌、票務和公共 Wi-Fi 說明，都會製造看似合理的掃描理由。本文集中討論跨電郵、短訊、文件、信件、工作場所和公共空間的通用攻擊模型，而不是逐個目的地的旅遊清單。
區分這些主要是為了預防。只針對電郵連結的培訓，在連結變成圖像時未必有用；只檢查實物，在 QR code 來自可信的人被入侵的電郵帳戶時亦無濟於事。持久的習慣是：無論 QR code 在哪裏出現，都核實目的地和所要求的動作。
開啟 QR code 目標前應檢查甚麼？
先從預期開始。你有沒有發起通常會用到 QR code 的付款、登入、退貨或帳戶登記？如果沒有，先暫停。緊迫感不是證據。聲稱服務即將停止、包裹會被退回或罰款會增加的訊息，目的就是縮短你的核實時間。
使用相機的預覽，但不開啟頁面。以最後一個點為界，由右至左讀出註冊域名，而不只看開頭像品牌名稱的字。留意拼寫錯誤、多餘的子域名、無關的短網址服務、不尋常的國際字元，以及不安全的 http 地址。HTTPS 只保護往所選網站的傳輸，並不證明網站屬於該品牌。
涉及付款或帳戶操作時，關閉提示，開啟已知的官方 App、輸入書籤中的地址，或使用結單、卡上的聯絡資料。若公共場所的 QR code 看似損壞或被覆蓋，請告知場地或營辦者。FBI 同樣建議不要掃描隨處發現的 QR code，就電郵或短訊收到的 QR code 向發送者確認，並對掃描後出現的登入要求保持懷疑。［3］
掃描可疑 QR code 後應怎樣做？
按實際發生的最高暴露級別處理。不要以為單是掃描就等於完全被入侵，也不要輕視之後做過的任何操作。
| 暴露程度 | 即時應對 | 後續 |
|---|---|---|
| 只掃描或預覽 | 關閉提示或頁面；不授予任何權限 | 清除自動開始的下載，並留意異常的瀏覽器提示 |
| 輸入了憑證或驗證碼 | 在已知裝置上更改受影響的密碼；撤銷連線；有需要時重設 MFA | 檢查復原資料、轉寄規則、已連結的應用程式和近期登入 |
| 付了款或輸入了卡／銀行資料 | 立即用可信號碼聯絡銀行或支付服務供應商 | 按建議鎖卡或凍結帳戶，保留紀錄，就合資格的交易提出爭議 |
| 安裝了 App、描述檔、擴充功能或檔案 | 讓裝置脫離敏感帳戶；移除陌生內容並執行可信的保安檢查 | 用乾淨的裝置保護帳戶；如可能有常駐程式，考慮專業協助或重設 |
如輸入過密碼，請按點擊釣魚連結後的處理步驟處理。其他帳戶重用的同一密碼也要更改，先由電郵開始。如果款項已轉出，速度比自行調查網站更重要。如安裝過軟件，就不要繼續在可能受影響的裝置上登入重要帳戶。
保存原本的訊息、發送者、QR 圖像、解碼出的 URL、付款紀錄和大約時間。向被仿冒的機構、傳送訊息的平台，以及你所在地相關的詐騙或網絡罪案舉報渠道報告冒充行為。不要為了收集更多證據而重新瀏覽惡意頁面。
如何降低 QR code 釣魚風險？
個人應把目的地核實與帳戶保護結合。使用獨有密碼和 MFA，保持手機和瀏覽器更新，可行時關閉自動下載。密碼管理工具能提供有用的警示：它通常不會在仿冒域名自動填入憑證。這是停下來的訊號，而不是要繞過的問題。
機構應讓合法的 QR code 流程可以預期。告訴用戶 QR code 會在何時出現、開啟哪個域名，以及頁面絕不會索取哪些資料。不要把 QR code 當作進入敏感工作的唯一途徑。提供書面的官方地址或 App 內路徑，並給員工一個舉報可疑圖像的簡單渠道。
防守方可檢查電郵圖像和解碼後的目的地，但控制措施總會漏掉部分攻擊。付款網站、短網址、新註冊的域名和被入侵的正當服務，都會改變風險判斷。因此，培訓應教導一條獨立核實的途徑，而不是教「某些顏色、版面或掃描 App 永遠安全」。較全面的網絡安全指南說明了這個習慣如何配合帳戶、裝置、網絡和復原控制。
常見問題
所有陌生 QR code 都有危險嗎？
不是。陌生的 QR code 只是來歷不明，並不自動等於惡意。預覽其目的地，考慮情境是否合理；涉及付款、登入或個人資料時，走獨立的官方途徑。
只掃描 QR code 會令流動電話被入侵嗎？
較大的風險通常來自開啟目的地並進一步操作。瀏覽器或作業系統可能有漏洞，所以要保持裝置更新，但應按實際載入、下載或批准了甚麼來應對。
預覽顯示 HTTPS 就安全嗎？
不是。HTTPS 加密的是往該域名的連線，騙徒也能為欺騙性網站取得 HTTPS。請核實註冊域名及任務本身。
QR code 能直接偷取密碼管理器的密碼嗎？
QR code 本身不會讀取密碼庫。假頁面可能試圖截取你輸入或批准的憑證。如果密碼管理工具認不出該域名，不要手動貼上密碼。
須安裝專用掃描 App 嗎？
不一定。內置相機通常會預覽目的地。掃描 App 的信譽和權限很重要，而且沒有任何掃描器能判斷每個看似正當的商業要求是否誠實。
QR code 來自認識的人，應怎樣處理？
對方的帳戶或文件可能已被入侵。請透過另一渠道確認，尤其是 QR code 要求登入、付款、下載或緊急操作時。
Quishing 一定會開啟網站嗎？
不一定。QR code 可以編碼付款資料、聯絡資料、Wi-Fi 設定、應用程式商店路徑或其他指令。接受之前，先查看裝置顯示的動作。
應向哪裏舉報惡意 QR code？
向被冒充的機構、電郵或通訊平台、實體場所的擁有人，以及相應的詐騙或網絡罪案舉報服務報告。如涉及付款資料或款項，另行聯絡銀行。
保安指引無法判斷某部裝置或某個帳戶是否已被入侵。如可能涉及敏感工作資料、大額付款或持續常駐的惡意軟件，請聯絡負責的資訊保安團隊或合資格的事故應變專業人員。
來源
- FTC — Scammers hide harmful links in QR codes to steal your information — https://consumer.ftc.gov/consumer-alerts/2023/12/scammers-hide-harmful-links-qr-codes-steal-your-information
- FBI — North Korean Kimsuky actors leverage malicious QR codes in spearphishing campaigns — https://www.fbi.gov/file-repository/cyber-alerts/north-korean-kimsuky-actors-leverage-malicious-qr-codes-in-spearphishing-campaigns-targeting-u-s-entities.pdf/view
- FBI — Building a Digital Defense Against QR Code Scams — https://www.fbi.gov/contact-us/field-offices/elpaso/news/fbi-tech-tuesday-building-a-digital-defense-against-qr-code-scams
Sources checked 2026 年 8 月 28 日。
