คิวอาร์โค้ดปลอมพาไปเว็บหลอกขโมยเงิน

* รูปภาพใช้เพื่อประกอบเนื้อหาเท่านั้น อาจไม่ใช่ภาพเหตุการณ์จริงหรือภาพจริงจากเรื่องในบทความ ขอบคุณภาพประกอบจาก https://graphic.in.th

คิวอาร์โค้ดกลายเป็นทางลัดสำหรับเปิดเมนู จ่ายค่าจอดรถ รับพัสดุ หรือเข้าถึงบริการออนไลน์ จึงมีคนจำนวนมากสแกนโดยแทบไม่ทันดูว่าโค้ดนั้นมาจากใคร ความเคยชินนี้เปิดทางให้กลโกงที่เรียกว่า Quishing ซึ่งมาจากคำว่า QR Code รวมกับ Phishing หรือการหลอกให้เปิดเผยข้อมูลผ่านหน้าเว็บปลอม

สิ่งสำคัญที่ควรแยกให้ออกคือ การสแกนคิวอาร์โค้ดไม่ได้ทำให้เงินหายจากบัญชีทันทีโดยอัตโนมัติ คิวอาร์โค้ดทำหน้าที่เก็บข้อมูล เช่น ที่อยู่เว็บไซต์ ข้อความ หรือคำสั่งเปิดแอป ความเสียหายมักเกิดในขั้นตอนถัดมา เมื่อหน้าเว็บปลอมขอชื่อบัญชี รหัสผ่าน เลขบัตร รหัส OTP หรือหลอกให้ติดตั้งแอปจากแหล่งที่ไม่รู้จัก

รูปแบบหนึ่งเริ่มจากการนำสติกเกอร์ใหม่ไปแปะทับคิวอาร์โค้ดเดิมบนเครื่องจ่ายค่าจอดรถ จุดรับชำระ โต๊ะร้านอาหาร หรือป้ายประชาสัมพันธ์ สติกเกอร์อาจดูเรียบร้อยจนสังเกตยาก แต่พาสมาร์ตโฟนไปยังเว็บไซต์ของมิจฉาชีพแทนระบบจริง การมีโลโก้หรือสีคล้ายหน่วยงานไม่ได้ยืนยันแหล่งที่มา เพราะภาพเหล่านั้นเลียนแบบได้ง่าย

อีกแบบมากับกระดาษหรือพัสดุที่ไม่คาดคิด ข้อความอาจอ้างว่ามีปัญหาการจัดส่ง ต้องยืนยันที่อยู่ ต้องจ่ายค่าธรรมเนียม หรือมีสิทธิ์รับของรางวัล แล้วเร่งให้สแกนภายในเวลาจำกัด หน้าเว็บปลอมจะพยายามสร้างความรู้สึกว่าหากไม่ทำทันทีจะเสียสิทธิ์ ทั้งที่ยังไม่มีเหตุผลให้ต้องเปิดลิงก์นั้นเลย

ในร้านอาหาร ความเสี่ยงอยู่ตรงการเชื่อว่ากระดาษบนโต๊ะเป็นของร้านเสมอ หากคิวอาร์โค้ดพาไปเว็บสั่งอาหารที่ขอข้อมูลบัตรหรือให้ติดตั้งแอป ควรหยุดก่อนจ่ายเงิน แล้วสอบถามพนักงานโดยตรง ร้านที่ใช้ระบบชำระเงินจริงมักมีชื่อผู้รับเงินและยอดเงินแสดงในแอปธนาคาร ให้ตรวจทั้งสองอย่างก่อนยืนยันทุกครั้ง

กลโกงลักษณะนี้เดินเป็นลำดับ เริ่มจากโค้ดพาไปยังที่อยู่เว็บที่หน้าตาคล้ายบริการจริง ต่อด้วยหน้าล็อกอินปลอม เมื่อมีการกรอกข้อมูล มิจฉาชีพก็ได้ข้อมูลไปใช้งานเอง หรือใช้หลอกต่อทางโทรศัพท์และข้อความ หากเว็บขอรหัส OTP ต้องจำไว้ว่ารหัสนั้นมีไว้ยืนยันธุรกรรมกับระบบจริง ไม่ใช่ข้อมูลสำหรับกรอกในหน้าเว็บที่เปิดจากคิวอาร์โค้ดแบบไม่ทราบที่มา

ในบางกรณีหน้าเว็บพยายามให้ติดตั้งไฟล์แอป โดยเฉพาะไฟล์ติดตั้งจากนอก App Store หรือ Google Play หรือขอสิทธิ์อ่านการแจ้งเตือน ควบคุมหน้าจอ เข้าถึงการช่วยเหลือพิเศษ หรืออ่านข้อความบนเครื่อง สิทธิ์เหล่านี้อาจช่วยให้มัลแวร์เห็นรหัสยืนยันและรบกวนการทำงานของแอปธนาคารได้ การขโมยเงินจึงไม่ได้เกิดจากลายสี่เหลี่ยมบนกระดาษเพียงอย่างเดียว แต่เกิดจากการหลอกให้เปิดประตูหลายชั้น

สัญญาณเตือนที่ควรชะลอการสแกนมีหลายอย่าง เช่น คิวอาร์โค้ดอยู่ในสถานที่ที่ไม่คุ้นเคย มีสติกเกอร์ซ้อนหรือขอบลอก ป้ายเดิมดูเสียหาย ลิงก์แสดงชื่อเว็บแปลก มีการสะกดผิด ใช้ชื่อโดเมนเลียนแบบ หรือหน้าเว็บเร่งให้กรอกข้อมูลสำคัญ การใช้ลิงก์ย่อทำให้ตรวจสอบปลายทางยากขึ้น จึงควรเปิดเว็บไซต์หรือแอปของหน่วยงานนั้นด้วยตนเอง

ก่อนสแกนคิวอาร์โค้ดบนจุดชำระเงิน ให้มองหาช่องทางสำรอง เช่น ชื่อร้าน ป้ายอัตราค่าบริการ เลขบัญชีผู้รับ หรือเครื่องรับชำระที่มีเจ้าหน้าที่ดูแล หากเป็นค่าจอดรถ ให้สอบถามเจ้าหน้าที่หรือใช้เครื่องเดิมที่หน่วยงานจัดไว้ หากเป็นร้านอาหาร ให้เรียกพนักงานมาช่วยยืนยัน หากเป็นพัสดุที่ไม่เคยสั่ง ให้ติดต่อบริษัทขนส่งผ่านเว็บไซต์หรือแอปทางการ ไม่ใช้เบอร์โทรศัพท์หรือลิงก์จากกระดาษแผ่นนั้น

หลังสแกนแล้ว ให้ดูที่อยู่เว็บก่อนกดเปิด หากชื่อโดเมนไม่ตรงกับบริการที่ตั้งใจใช้ หรือมีตัวสะกดแปลก ให้ปิดทันที แม้หน้าเว็บจะใช้สี รูปภาพ และตราสัญลักษณ์คล้ายของจริงก็ตาม การมีแม่กุญแจบนแถบที่อยู่ก็ไม่ได้แปลว่าเว็บนั้นเป็นของหน่วยงานจริง เพราะแม่กุญแจเพียงบอกว่าการเชื่อมต่อมีการเข้ารหัส ไม่ได้ยืนยันตัวตนของเจ้าของเว็บ

การทำธุรกรรมผ่านแอปธนาคารควรตรวจชื่อผู้รับ จำนวนเงิน และรายละเอียดรายการบนหน้าจอของแอปโดยตรง อย่าเชื่อภาพสลิปหรือหน้าจอที่เว็บอื่นแสดงให้ดู ถ้าหน้าจอมีคำสั่งให้ปิดระบบความปลอดภัย เปิดการเข้าถึงพิเศษ หรือย้ายไปคุยกับบัญชีแชตเพื่อรับรหัส ให้ยุติขั้นตอนนั้นทันที

หากสแกนไปแล้วแต่ยังไม่กรอกข้อมูล ให้ปิดหน้าเว็บ ลบไฟล์ที่ดาวน์โหลด และตรวจรายการแอปที่เพิ่งติดตั้ง หากมีการอนุญาตสิทธิ์แปลก ๆ ให้ถอนสิทธิ์และลบแอปนั้น อัปเดตระบบปฏิบัติการและแอปธนาคารจากแหล่งทางการ จากนั้นตรวจการแจ้งเตือนและรายการเคลื่อนไหวในบัญชีอย่างใกล้ชิด

หากกรอกชื่อบัญชี รหัสผ่าน เลขบัตร หรือ OTP ไปแล้ว ให้รีบเปลี่ยนรหัสผ่านจากอุปกรณ์ที่มั่นใจว่าปลอดภัย ออกจากระบบทุกอุปกรณ์ ติดต่อธนาคารผ่านเบอร์บนเว็บไซต์หรือหลังบัตรเพื่อขอระงับช่องทางและตรวจธุรกรรม หากมีเงินออกจากบัญชี ให้แจ้งธนาคารทันที เก็บภาพหน้าจอ ที่อยู่เว็บ เวลา และรายการโอนเงินไว้เป็นหลักฐาน พร้อมติดต่อสายด่วน 1441 และแจ้งเหตุผ่านช่องทางตำรวจไซเบอร์

การป้องกันที่ได้ผลไม่ใช่การเลิกใช้คิวอาร์โค้ด แต่คือการไม่มอบความไว้ใจให้ลายสี่เหลี่ยมเพียงเพราะเห็นอยู่ในสถานที่จริง ทุกการจ่ายเงินควรมีจังหวะหยุดตรวจชื่อผู้รับและยอดเงิน ส่วนทุกลิงก์ควรเริ่มจากแหล่งทางการ หากมีข้อสงสัย การสอบถามพนักงานหรือเปิดแอปด้วยตนเองใช้เวลาไม่กี่นาที แต่ช่วยตัดขั้นตอนที่มิจฉาชีพต้องการได้หลายชั้น

Quishing จึงเป็นภัยที่อาศัยความรีบและความคุ้นเคยมากกว่าความซับซ้อนทางเทคนิค คิวอาร์โค้ดปลอมอาจเริ่มจากสติกเกอร์แผ่นเล็ก แต่ความเสียหายจะขยายเมื่อมีการกรอกข้อมูล ติดตั้งไฟล์ หรือกดยืนยันธุรกรรมโดยไม่ตรวจสอบ การสแกนอย่างมีสติและยืนยันกับช่องทางจริงยังเป็นเกราะสำคัญที่สุดสำหรับการจ่ายเงินในชีวิตประจำวัน