QR Code騙取個資增加 資安署示警3方式辨真偽

資安署近期示警，有駭客竄改研討會官方報名QR Code，騙取民眾個資。資安署表示，駭客多以覆蓋或更改數位海報偽冒，民眾掃描前可先觀察條碼邊緣是否有異常覆蓋痕跡；掃描後留意網域拼字是否正確，若要求輸入信用卡號碼、個資或下載APP，應提高警覺。

資安署指出，QR Code為生活帶來極大便利性，卻也潛藏被惡意利用的風險，近期有駭客將公開研討會活動海報的官方報名QR Code，竄改成惡意版本散布，民眾掃碼後誤入釣魚網頁填寫報名資料，導致個人隱私外洩。

資安署說明，Quishing（QR Code網路釣魚）是將釣魚網址藏在條碼圖片中，多以竊取個人資料或敏感金融資訊牟利為目的。近年QR Code廣泛用於活動報名、繳費、停車、點餐及各類公共服務，逐漸成為駭客常用管道之一。根據微軟資安團隊報告，2026年第1季QR Code釣魚威脅偵測，1月為760萬件，3月達1870萬件，成長146%。

資安署坦言，QR Code屬機器可讀編碼，即使專家也無法從外觀辨識內含資訊，惡意人士利用此特性，將惡意網址包裝在看似正常的QR Code裡。資安署整理，駭客常見做法分為兩類，一是透過實體覆蓋或替換，如在停車繳費機、活動海報或公共設施QR Code上再貼一張假的QR Code；二是竄改數位海報或偽造官方內容後重新散布。

資安署表示，掃描QR Code通常不一定會立即感染惡意程式，真正的風險多發生在開啟惡意網址之後，如民眾在偽冒網站中輸入帳號密碼，駭客可能取得電子郵件、社群媒體或其他服務的使用權限；若填寫信用卡或銀行相關資料，可能衍生信用卡盜刷風險；若依指示下載安裝惡意APP，可能導致裝置被植入木馬程式、竊取裝置資料，甚至遭遠端控制。

資安署建議，民眾養成「掃碼停、看、聽」習慣，「停」是掃描實體條碼前，先觀察或觸摸QR Code邊緣，檢查是否有材質不同或異常貼覆痕跡；「看」是掃描後先確認網址，勿立即點擊，應檢查網域拼字是否正確，如將microsoft拼錯成micros0ft，並留意隨機亂碼或短網址；「聽」是提高警覺、多方求證，若遇「優惠、停權、繳費」等話術，要求輸入信用卡號碼、個資或下載APP，須透過官方管道查證。

至於主辦單位提供QR Code時如何防範遭竄改，資安署表示，QR Code旁可清楚標示完整網址、主辦單位名稱或可供查證的聯絡方式，不要讓QR Code成為唯一入口；若使用短網址，最好採用可識別的官方網域，如gov.tw。

若民眾不慎掃描惡意QR Code，資安署提醒，可依後續操作採取相應措施，如僅掃描QR Code或開啟可疑網站，未輸入資料或下載程式，建議立即關閉網頁，並將手機作業系統及瀏覽器更新至最新版本。

資安署表示，若民眾已在可疑網站輸入帳號密碼，應立即改用官方網站或官方APP更改密碼，並啟用多因子驗證，同時留意近期有無異常登入紀錄；若已提供信用卡、銀行帳戶等金融資料，應儘速聯絡銀行或發卡機構，並檢查近期交易紀錄，依金融機構建議採取停卡、換卡或其他必要措施，如已發生詐騙或金錢損失，也應保留相關網頁、簡訊、交易紀錄等證據儘速報案。