Quishing คืออะไร
"Quishing" เป็นคำที่รวม QR Code และ Phishing เข้าด้วยกัน หมายถึงการหลอกลวงทางไซเบอร์ที่ใช้ QR โค้ดเป็นเครื่องมือ แทนที่จะส่งลิงก์อันตรายผ่านอีเมลหรือ SMS มิจฉาชีพสร้าง QR โค้ดที่นำเหยื่อไปยังเว็บไซต์ปลอม หรือดาวน์โหลดมัลแวร์
QR โค้ดแพร่หลายมากขึ้นหลังโควิด-19 และมิจฉาชีพก็ปรับตัวตาม ในประเทศไทยมีรายงานการหลอกลวงผ่าน QR โค้ดเพิ่มขึ้นทุกปี โดยเฉพาะในรูปแบบ QR โค้ดชำระเงินปลอม
รูปแบบ Quishing ที่พบบ่อยในไทย
1. QR โค้ดชำระเงินปลอม
มิจฉาชีพติด QR โค้ดทับ QR โค้ดจริงของร้านค้า เช่น ร้านตลาด ร้านอาหาร หรือแม้แต่ QR โค้ดรับบริจาคของวัด เมื่อลูกค้าสแกน เงินจะโอนไปยังบัญชีมิจฉาชีพแทน
2. QR โค้ดในอีเมลฟิชชิง
อีเมลปลอมจากธนาคาร กรมสรรพากร หรือบริษัทโทรศัพท์ อ้างว่า "สแกน QR โค้ดนี้เพื่อยืนยันตัวตน" แต่ QR โค้ดนำไปยังเว็บปลอมที่ดูดข้อมูลล็อกอิน
3. QR โค้ดในที่สาธารณะ
สติกเกอร์ QR โค้ดติดบนที่จอดรถ ป้ายรถเมล์ หรือที่สาธารณะ อ้างว่าเป็นข้อมูลบริการหรือโปรโมชั่น แต่นำไปยังเว็บมัลแวร์
4. QR โค้ดบนพัสดุปลอม
กล่องพัสดุปลอมที่ส่งมาพร้อม QR โค้ด "สำหรับติดตามสถานะ" แต่จริงๆ นำไปยังเว็บไซต์หลอกลวง
วิธีสังเกต QR โค้ดอันตราย
ก่อนสแกน
- ตรวจดูสติกเกอร์ที่ดูเหมือนถูกทับหรือวางไว้ทับ — QR โค้ดที่ถูกวางสติกเกอร์ทับอีกอันอาจถูกเปลี่ยนโดยมิจฉาชีพ
- ตรวจสอบว่า QR โค้ดอยู่ในตำแหน่งที่น่าเชื่อถือ — QR โค้ดบนป้ายที่พิมพ์จากโรงพิมพ์น่าเชื่อถือกว่าสติกเกอร์ที่ใครก็ติดได้
- ระวัง QR โค้ดที่อ้างถึงเรื่องเร่งด่วน — "สแกนทันที ไม่งั้นบัญชีถูกระงับ" เป็นสัญญาณเตือน
หลังสแกน (ก่อนกดลิงก์)
แอปสแกน QR โค้ดส่วนใหญ่บน iOS และ Android จะแสดง URL ก่อนที่จะนำทางไป ให้อ่าน URL นั้นก่อนเสมอ
- ตรวจสอบว่าโดเมนถูกต้อง เช่น
kasikornbank.comไม่ใช่kasikornbank-verify.com - URL ที่ถูกต้องของธนาคารไทยมักลงท้าย
.co.thหรือ.comที่รู้จัก - ระวัง URL ที่มีตัวเลขแปลกๆ หรือขีดกลางที่ไม่จำเป็น
วิธีปกป้องตัวเองจาก Quishing
1. ใช้แอปสแกนที่แสดง URL ก่อนนำทาง
กล้องโทรศัพท์มาตรฐานใน iOS 11+ และ Android 9+ มักแสดงตัวอย่าง URL ก่อนเปิด ใช้ฟีเจอร์นี้เสมอ
2. อย่าสแกน QR โค้ดที่ไม่รู้ที่มา
หากไม่แน่ใจว่า QR โค้ดนั้นมาจากไหน อย่าสแกน โดยเฉพาะ QR โค้ดในอีเมลหรือ SMS จากผู้ส่งที่ไม่รู้จัก
3. ตรวจสอบ URL ก่อนกรอกข้อมูล
หลังสแกน QR โค้ดและเปิดเว็บไซต์ ตรวจสอบ URL ในแถบที่อยู่อีกครั้งก่อนกรอกรหัสผ่าน เลขบัตรธนาคาร หรือข้อมูลส่วนตัวใดๆ
4. ใช้ VPN และ Security App
แอปความปลอดภัยอย่าง Bitdefender, Norton หรือ Kaspersky สามารถตรวจสอบลิงก์ก่อนเปิดได้
5. ยืนยันหน้าชำระเงิน PromptPay ก่อนโอน
เมื่อสแกน QR โค้ด PromptPay จะมีหน้าจอแสดงชื่อผู้รับก่อนยืนยันการโอน ตรวจสอบว่าชื่อตรงกับที่คาดไว้เสมอ ถ้าชื่อไม่ตรง อย่าโอน
เหตุการณ์ Quishing ในไทยที่ควรรู้
กรณีร้านค้าในตลาด
มีรายงานจากหลายพื้นที่ในกรุงเทพฯ และต่างจังหวัดที่มิจฉาชีพวาง QR โค้ดปลอมทับ QR โค้ดจริงของร้านค้าในตลาด ลูกค้าที่จ่ายผ่าน QR โค้ดนั้นโอนเงินไปให้มิจฉาชีพโดยไม่รู้ตัว
วิธีป้องกัน:
- ร้านค้าควรตรวจสอบ QR โค้ดของตัวเองอย่างสม่ำเสมอ
- ลูกค้าควรสังเกตว่าชื่อผู้รับที่ปรากฏในแอปธนาคารตรงกับชื่อร้านหรือไม่
กรณีอีเมลปลอมจากหน่วยงานรัฐ
อีเมลอ้างว่ามาจากกรมสรรพากร ให้สแกน QR โค้ดเพื่อขอคืนภาษี นำไปยังเว็บปลอมที่ขอข้อมูลส่วนตัวและข้อมูลธนาคาร
วิธีป้องกัน:
- กรมสรรพากรไม่ส่ง QR โค้ดผ่านอีเมลขอข้อมูลส่วนตัว
- ตรวจสอบทุกอย่างผ่านเว็บไซต์ทางการ rd.go.th เท่านั้น
QRcito และความปลอดภัย
QRcito ออกแบบมาด้วยหลักการ Privacy-first — ทุกอย่างทำงานในเบราว์เซอร์ของคุณ ไม่มีการส่งข้อมูลไปยังเซิร์ฟเวอร์ ไม่มีการเก็บ URL ที่คุณสร้าง QR โค้ด ไม่มีการติดตาม
เมื่อคุณสร้าง QR โค้ดด้วย QRcito สำหรับธุรกิจของคุณ คุณมั่นใจได้ว่าข้อมูลของลูกค้าที่สแกน QR โค้ดจะไม่ถูกเก็บโดยบุคคลที่สาม
สรุป
Quishing เป็นภัยคุกคามที่เติบโตตามการใช้ QR โค้ดที่แพร่หลาย การป้องกันตัวเองไม่ใช่เรื่องยาก เพียงแค่หยุดสักครู่ตรวจสอบ URL ก่อนสแกน และอย่าโอนเงินหรือกรอกข้อมูลส่วนตัวหากมีข้อสงสัยใดๆ
หากคุณต้องการสร้าง QR โค้ดที่ปลอดภัยและโปร่งใสสำหรับธุรกิจของคุณ ลองใช้ qrcito.com/th/ — ฟรี ไม่มีการติดตาม ทำงานในเบราว์เซอร์ 100%