Quishing：QR code 詐騙如何運作，以及如何檢查

Quishing 就是利用 QR code 的網路釣魚：詐騙者把連結藏在 QR code 裡，放在貼紙、包裹或訊息上，希望你掃描後在假頁面上登入或付款。掃描只是讀取 QR code，傷害來自你之後打開、輸入或安裝的東西，所以我總會先看網址。

什麼是 quishing？

FBI 這樣描述這種手法：「網路犯罪者竄改數位與實體 QR code，以惡意 QR code 取代合法的 QR code。」受害者「掃描了他們以為是合法的 QR code，但遭竄改的 QR code 會把他們導向惡意網站，促使他們輸入登入和金融資訊」（FBI IC3）。FBI 還補充說「QR code 本身並非惡意」。真正要緊的是 QR code 指向的內容。

FTC 也給出同樣的警告：掃描的 QR code 可能把你帶到用來竊取資訊的假網站，或安裝惡意軟體（FTC）。簡訊釣魚（smishing）是同樣概念的簡訊版本，詳見什麼是 smishing？。如果你現在就想檢查一個 QR code，本站的免費 QR code 掃描器 可以在你打開任何東西之前，顯示它指向哪裡。

假 QR code 會出現在哪裡

• 停車收費表和繳費機上的貼紙。 FTC 警告，詐騙者會用自己的 QR code 蓋住停車收費表上的真正 QR code，而假 QR code 可能把你帶到一個意在竊取金錢、個人資訊或兩者的網站（FTC）。FBI 也把「貼在原本 QR code 上的貼紙」列為竄改的跡象（FBI IC3）。
• 你沒有訂購的包裹。 FTC 描述過一種意外的包裹，附有字條要你掃描 QR code，才能知道寄件人是誰或如何退貨。該 QR code 可能導向釣魚網站或惡意軟體下載（FTC）。FBI 把這種情況稱為「刷單詐騙（brushing scam）」的變種，並說：「不要掃描來源不明的 QR code」（FBI IC3）。
• 簡訊和電子郵件中的 QR code，而非連結。 FTC 表示，詐騙者會用編造的理由，例如配送失敗、帳戶問題或可疑活動，透過簡訊或電子郵件傳送 QR code（FTC）。我還沒有找到官方針對假 USPS 簡訊中 QR code 的通知，所以一般的配送簡訊，請見USPS 詐騙簡訊：如何辨別假訊息。
• 付款失敗的電子郵件。 FBI 的例子是一封電子郵件，說付款失敗，只能透過 QR code 完成。它的建議是致電該公司，使用可信網站上的號碼，而不是郵件裡的號碼（FBI IC3）。

掃描在 iPhone 上能做什麼、不能做什麼

Apple 的步驟是：打開「相機」，以照片模式對準 QR code，然後「點選螢幕底部出現的連結」（Apple 支援）。所以相機會讀取 QR code 並提供一個連結，在你點選之前，什麼都不會開啟。那個停頓，就是你查看網址的機會。

之後會發生什麼，取決於那個頁面。FBI 表示，惡意 QR code 可能導向要求登入和金融資訊的網站，或嵌入惡意軟體（FBI IC3）。掃描後如果頁面要求密碼、卡號或安裝 App，我會先把它視為可疑，直到證明並非如此。

打開 QR code 前如何檢查

1. 先看連結。 FTC 說要「在打開前檢查網址」，並留意是否有拼錯字或字母對調（FTC）。假網址可能和真實網址只差一個錯字或一個放錯的字母（FBI IC3）。
2. 用能顯示真正網址的掃描器檢查。 在 QR code 掃描器上，你可以上傳 QR code 的照片或截圖。它會在你的瀏覽器中讀取圖片，不會上傳，會以大字顯示連結真正指向的網站，並標出警訊：網站不是它所提到的公司、短網址服務、未加密的連結、裸露的 IP 位址、提到通行費、罰款或配送的文字、檔案或 App 下載，以及加密貨幣付款。它從不會判定連結安全，也無法追蹤短網址，因為它不會打開 QR code 指向的內容。結果乾淨只代表 QR code 中沒有明顯異常。如果 Safari 標記了該頁面，也請參閱如何處理 iPhone 上的詐騙網站警告。
3. 檢查實體 QR code。 用手指在上面滑過。如果它是貼在另一個 QR code 上的貼紙，請不要使用（FBI IC3）。
4. 遇到非預期或緊急的情況就略過。 FTC 表示，應避開你沒有預期會收到的訊息中的 QR code，並透過你已知是真的電話號碼或網站聯絡該公司（FTC）。若是付款，FBI 建議你自己輸入一個已知、可信的網址（FBI IC3）。
5. 不要從 QR code 安裝。 FBI 說：「不要從 QR code 下載 App，請使用手機的 App Store 進行較安全的下載。」它也建議不要另外下載 QR 掃描 App，因為大多數手機的相機已內建這項功能（FBI IC3）。

如果我已經掃描了呢？

掃描只是讀取 QR code，在你點選連結之前，什麼都不會開啟。如果你已經打開了頁面，我會依照 FTC 的建議這樣做：

• 不要透過假網站聯絡詐騙者，因為他們可能會試圖騙取更多金錢或資訊（FTC）。
• 如果你輸入了密碼， 請在真正的網站上更改它，以及任何使用相同密碼的帳號，並開啟雙重認證（FTC）。
• 如果你輸入了卡片或銀行資料，或已經付款， 請檢查你的卡片和銀行帳單，看看有沒有你未進行的交易（FTC），並告知你的銀行。FBI 警告，執法單位「無法保證追回轉帳後遺失的資金」，所以不要等（FBI IC3）。
• 如果它安裝了什麼， 請見如何辨別 iPhone 是否被駭。
• 檢查你的信用。 FTC 建議到 AnnualCreditReport.com 索取免費信用報告；如果你的身分遭竊用，請到 IdentityTheft.gov 取得復原計畫（FTC）。

如何回報 QR code 詐騙

• 向 FTC 回報，網址為 ReportFraud.ftc.gov（FTC）。
• 向 FBI 的網路犯罪投訴中心回報，網址為 ic3.gov，或向你當地的 FBI 辦公室回報（FBI IC3）。若是包裹，請附上寄件人的姓名或公司、他們如何與你聯絡，以及涉及的任何 App 或權限（FBI IC3）。
• 如果是停車收費表或繳費機上的 QR code，我也會告訴管理該設備的單位，讓他們把它移除。我找不到這個步驟的官方來源，所以這是我的建議。

Mistero 在這裡能做與不能做的事

Mistero 無法阻止有人在收費表上貼假貼紙，無法阻止詐騙訊息送到你手上，也無法追回金錢。它也無法告訴你某個連結是安全的。

App 的商品頁面寫著：「掃描 QR code，並在開啟前檢視其連結」、「協助阻擋已知的網路釣魚頁面和惡意網域」，以及「在 iPhone 上，可以啟用來電辨識、垃圾來電封鎖和簡訊過濾」（App Store 商品頁面，2026 年 11 月 4 日閱讀）。這些是圍繞真正重要那一步的額外檢查：在點選之前查看網址。更多資訊請見 Mistero 安全性。

資料來源

• FBI IC3, Cybercriminals Tampering with QR Codes to Steal Victim Funds (I-011822-PSA, Jan 18, 2022)：https://www.ic3.gov/PSA/2022/PSA220118 （2026 年 11 月 4 日閱讀）
• FBI IC3, Unsolicited Packages Containing QR Codes Used to Initiate Fraud Schemes (I-073125-PSA)：https://www.ic3.gov/PSA/2025/PSA250731 （2026 年 11 月 4 日閱讀）
• FTC, Scammers hide harmful links in QR codes to steal your information (Dec 2023)：https://consumer.ftc.gov/consumer-alerts/2023/12/scammers-hide-harmful-links-qr-codes-steal-your-information （2026 年 11 月 4 日閱讀）
• FTC, Scam alert: QR code on an unexpected package (Jan 2025)：https://consumer.ftc.gov/consumer-alerts/2025/01/scam-alert-qr-code-unexpected-package （2026 年 11 月 4 日閱讀）
• FTC, See a QR code parked somewhere? Don’t scan it…yet! (Sep 2026)：https://consumer.ftc.gov/consumer-alerts/2026/09/see-qr-code-parked-somewhere-dont-scan-ityet （2026 年 11 月 4 日閱讀）
• Apple Support, Scan a QR code with your iPhone camera (iPhone User Guide)：https://support.apple.com/guide/iphone/scan-a-qr-code-iphe8bda8762/ios （2026 年 11 月 4 日閱讀）
• Mistero VPN, QR code scanner：https://misterovpn.com/qr-code-scanner （2026 年 11 月 4 日閱讀）
• App Store, Mistero VPN: Privacy & Proxy：https://apps.apple.com/app/id1583175414 （2026 年 11 月 4 日閱讀）