การหลอกลวงแบบคิวชิง (Quishing) กลายเป็นหนึ่งในภัยคุกคามที่เติบโตเร็วที่สุดในกลุ่มการหลอกลวงทางอีเมล (Phishing) แนวคิดนั้นง่ายมาก: รหัส QR ที่ดูเหมือนไม่มีอันตรายซ่อนที่อยู่ปลอมเอาไว้ ไมโครซอฟต์ได้ทำการวัดปริมาณการเติบโตนี้แล้ว: ในเดือนมีนาคม 2026 ตรวจพบการโจมตีลักษณะนี้18,7 ล้านครั้ง เทียบกับ 7,6 ล้านครั้งในเดือนมกราคม ซึ่งคิดเป็นการเพิ่มขึ้น 146% ในเวลาเพียงสามเดือน
ปัญหาอยู่ที่การกระทำที่กลายเป็นส่วนหนึ่งของกิจวัตรประจำวันของเรา การดูเมนูอาหารในร้านอาหาร การจ่ายค่าจอดรถ การดาวน์โหลดตั๋ว หรือการค้นหาข้อมูลท่องเที่ยว กลายเป็นเรื่องปกติไปแล้ว อาชญากรไซเบอร์ใช้ประโยชน์จากความคุ้นเคยนี้ ผู้เชี่ยวชาญจาก Áudea หน่วยงานด้านความปลอดภัยทางไซเบอร์ของ Logicalis Spain เน้นย้ำว่าที่อยู่เว็บจะถูกซ่อนไว้จนกว่าจะเปิดลิงก์ ทำให้ลดสัญญาณเตือนที่ผู้ใช้อาจสังเกตเห็นได้ในตอนแรก
เหตุใดคิวอาร์โค้ดจึงซ่อนการหลอกลวงและสามารถใช้งานได้ทั้งบนคอมพิวเตอร์และมือถือ
ต่างจากลิงก์ข้อความ คิวอาร์โค้ดจะไม่แสดง URL ก่อนสแกน แอนเดรส การ์เตส กุยลาร์เต ที่ปรึกษาด้านวัฒนธรรมความปลอดภัยทางไซเบอร์ของ Áudea ชี้ให้เห็นว่า ความไม่โปร่งใสนี้เป็นหนึ่งในข้อได้เปรียบที่สำคัญที่สุดสำหรับผู้โจมตี ผู้ใช้ไม่สามารถตรวจสอบได้ว่าปลายทางนั้นถูกต้องหรือไม่ และในหลายกรณีการสแกนจะทำจากโทรศัพท์มือถือซึ่งทำให้การโต้ตอบย้ายออกจากคอมพิวเตอร์ของบริษัทและอยู่นอกเหนือการควบคุมความปลอดภัยของบริษัท
เมื่อเปิดลิงก์แล้ว เหยื่ออาจถูกนำไปยังหน้าเว็บที่เลียนแบบบริการของบริษัท แพลตฟอร์มธนาคาร หรือหน้าจอการตรวจสอบสิทธิ์ วัตถุประสงค์ขึ้นอยู่กับประเภทของการฉ้อโกง แต่โดยทั่วไปแล้วมักเกี่ยวข้องกับการได้มาซึ่งข้อมูลประจำตัว ข้อมูลส่วนบุคคล หรือข้อมูลทางการเงินการปลอมแปลงนี้จะน่าเชื่อถือมากขึ้นเมื่อข้อความมาถึงในบริบทที่คุ้นเคย เช่น การสื่อสารภายในที่สมมติขึ้น หรือการแจ้งเตือนจากหน่วยงานที่ผู้ใช้ใช้งานเป็นประจำ
นอกจากนี้ ไมโครซอฟต์ยังตรวจพบภัยคุกคามฟิชชิงประมาณ 8.300 พันล้านรายการที่แพร่กระจายผ่านอีเมลในช่วงเวลาเดียวกัน บริษัทระบุว่าการโจมตีแบบ "ควีชชิ่ง" (Qruise Response) เป็นช่องทางการโจมตีที่เติบโตเร็วที่สุดในช่วงเวลานั้น ซึ่งสอดคล้องกับการใช้งานคิวอาร์โค้ดที่เพิ่มมากขึ้นในสภาพแวดล้อมทุกประเภท
ไฟล์ PDF อีเมล และเอกสาร Microsoft 365: ช่องทางที่นิยมใช้มากที่สุด
รายงานภัยคุกคามทางอีเมลปี 2026 ของ Barracuda เปิดเผยข้อค้นพบที่น่าตกใจหลายประการ70% ของไฟล์ PDF ที่เป็นอันตรายที่วิเคราะห์นั้นมีรหัส QR ที่นำไปสู่หน้าเว็บฟิชชิ่ง กล่าวอีกนัยหนึ่งคือ เอกสารดังกล่าวทำหน้าที่เป็นสิ่งปลอมแปลงเพื่อหลอกล่อเหยื่อให้เชื่อถือไฟล์และไม่สงสัยในรหัสที่ซ่อนอยู่ภายใน
รายงานฉบับเดียวกันนี้ระบุว่าเอกสาร Microsoft 365 ที่เป็นอันตรายถึง 56%มีโค้ด QR อยู่ด้วย ยิ่งไปกว่านั้น โค้ดที่ฝังอยู่ในเนื้อหาอีเมลโดยตรงเพิ่มขึ้นถึง336% ในเดือนมีนาคม 2026ผู้โจมตีไม่ได้จำกัดตัวเองอยู่แค่การแนบไฟล์เท่านั้น แต่ยังวางโค้ด QR ไว้ในข้อความอีเมลโดยตรงเพื่อเพิ่มโอกาสที่ผู้อื่นจะสแกนโค้ดนั้นด้วย
รายงานภัยคุกคามครึ่งปีแรก 2026 ของ ESET ระบุว่า การโจมตีแบบฟิชชิงมากถึง11%ในช่วงครึ่งปีแรกนั้น ดำเนินการโดยใช้วิธีการ "ควิสชิง" (quishing) บริษัทเตือนว่าเทคนิคเหล่านี้กำลังมีความซับซ้อนมากขึ้นเรื่อยๆ โดยบางแคมเปญมีเป้าหมายเพื่อขอรับโทเค็นการตรวจสอบสิทธิ์แบบหลายปัจจัย ติดตั้งมัลแวร์ หลอกล่อเหยื่อให้ดาวน์โหลดแอปที่เป็นอันตราย หรือใช้แอปโทรศัพท์ที่ถูกต้องตามกฎหมายเป็นส่วนหนึ่งของกลโกง
โจเซป อัลบอร์ส หัวหน้าฝ่ายวิจัยและสร้างความตระหนักรู้ของ ESET สเปน อธิบายว่า ผู้โจมตีสามารถปลอมแปลงรหัสได้ดียิ่งขึ้นโดยการฝังไว้ในไฟล์ PDF รูปภาพ JPEG หรือเอกสารอื่นๆหรือโดยการใช้บริการที่ย่อ URL ก่อนสร้างรหัส QR ในขณะเดียวกัน ข้อความที่มาพร้อมกับรหัสอาจมีข้อความน้อยมาก ทำให้ไม่มีเบาะแสแบบดั้งเดิม เช่น ข้อผิดพลาดในการสะกดคำ ลิงก์ที่มองเห็นได้ หรือโดเมนที่ผิดปกติ
จากเมนูอาหารในร้านอาหารไปจนถึงลานจอดรถ: ความเสี่ยงทางกายภาพและมาตรการป้องกัน
อันตรายไม่ได้จำกัดอยู่แค่ในกล่องจดหมายของคุณเท่านั้น รหัส QR ที่ติดตั้งไว้ในร้านอาหาร ร้านค้า ระบบขนส่งสาธารณะ ลานจอดรถ และบริการสำหรับนักท่องเที่ยว ก็มีปัญหาเดียวกัน คือคุณไม่สามารถตรวจสอบได้ว่ารหัสจะแสดงหน้าเว็บใดก่อนที่จะสแกน ยิ่งไปกว่านั้น ในพื้นที่สาธารณะ รหัสอาจถูกดัดแปลงหรือเปลี่ยนเป็นรหัสปลอมได้
ในเดือนสิงหาคม INCIBE ได้บันทึกกรณีศึกษาที่เกิดขึ้นจริงซึ่งแสดงให้เห็นถึงความเสี่ยงได้อย่างชัดเจน ผู้ใช้รายหนึ่งสแกนคิวอาร์โค้ดของเมนูอาหารในร้านอาหาร และหลังจากคลิกลิงก์และยอมรับข้อความป๊อปอัพแล้ว ก็ได้เปิดใช้งานการสมัครสมาชิกแบบพรีเมียมที่ไม่พึงประสงค์ โดยไม่ได้ ตั้งใจ ลูกค้ารายอื่น ๆ ในร้านอาหารเดียวกันก็ประสบกับสถานการณ์ที่คล้ายกัน ซึ่งแสดงให้เห็นว่าปัญหาไม่ได้เกิดขึ้นเฉพาะกับบุคคลเพียงคนเดียว
การขยายตัวของเทคโนโลยีนี้อธิบายปรากฏการณ์ส่วนหนึ่งได้ จากข้อมูลที่รวบรวมโดย QR TIGER พบว่าประมาณ75% ของร้านอาหารทั่วโลกใช้รหัส QR เพื่ออำนวยความสะดวกในการเข้าถึงเมนูดิจิทัล การใช้เครื่องมือนี้ในด้านการตลาดและการโฆษณาเติบโตขึ้น 323% ระหว่างปี 2021 ถึง 2023 ซึ่งเป็นตัวเลขที่ช่วยอธิบายว่าทำไมอาชญากรจึงให้ความสนใจกับเทคโนโลยีนี้
สำหรับภาคธุรกิจ ESET แนะนำให้รวมการตรวจจับรหัส QR ที่น่าสงสัยไว้ในโปรแกรมสร้างความตระหนักรู้และแบบฝึกหัดจำลองสถานการณ์ เพื่อให้พนักงานเรียนรู้ที่จะจดจำรหัส QR ที่น่าสงสัย นอกจากนี้ยังแนะนำให้หลีกเลี่ยงการสแกนรหัสในอีเมลที่ไม่ได้รับเชิญ และแนะนำให้รายงานข้อความที่น่าสงสัยใดๆ
เมื่อพนักงานเชื่อว่าข้อความมาจากแหล่งที่น่าเชื่อถือ ควรตรวจสอบความถูกต้องผ่านช่องทางอิสระโดยใช้ข้อมูลติดต่อที่ไม่ปรากฏในอีเมล การตรวจสอบนี้จะช่วยป้องกันไม่ให้การยืนยันขึ้นอยู่กับข้อมูลที่ส่งมาจากผู้โจมตีที่อาจเกิดขึ้น
การป้องกันทางเทคนิคก็มีความสำคัญเช่นกัน มาตรการที่กล่าวถึง ได้แก่ โซลูชันด้านความปลอดภัยของอีเมล เครื่องมือรักษาความปลอดภัยบนมือถือ การจัดการอุปกรณ์ผ่าน MDM การตรวจสอบสิทธิ์แบบหลายปัจจัยที่ป้องกันการฟิชชิ่งหลักการให้สิทธิ์ขั้นต่ำ การเข้าถึงแบบทันท่วงที การอัปเดตเป็นประจำ และการตรวจสอบพฤติกรรมที่ผิดปกติ นอกจากนี้ การทดสอบแผนการตอบสนองต่อเหตุการณ์ฉุกเฉินก็เป็นสิ่งจำเป็นเพื่อให้แน่ใจว่าสามารถตอบสนองได้อย่างรวดเร็วหากเกิดการโจมตีขึ้น
- ความปลอดภัยของอีเมลและมือถือ เพื่อบล็อกลิงก์และโค้ดที่เป็นอันตราย
- การจัดการอุปกรณ์ MDM เพื่อบังคับใช้มาตรการขั้นต่ำ
- MFA ที่ทนต่อการฟิชชิ่ง และหลักการของสิทธิพิเศษขั้นต่ำสุด
- การอัปเดต การเข้าถึงแบบทันท่วงที และการกำกับดูแลอย่างต่อเนื่อง
รูปแบบที่ปรากฏจากตัวเลขทั้งหมดนี้ชัดเจน: รหัส QR ได้เข้ามามีบทบาทในชีวิตประจำวันเพราะสะดวก รวดเร็ว และพบเห็นได้ทั่วไป ความแพร่หลายนี้เองที่ทำให้การตรวจจับภัยคุกคามนี้เป็นเรื่องยาก กุญแจสำคัญคือต้องระมัดระวังสิ่งที่ไม่คาดคิดตรวจสอบบริบทก่อนสแกน และใช้มาตรการรักษาความปลอดภัยที่ครอบคลุมตั้งแต่ในอีเมลไปจนถึงอุปกรณ์เคลื่อนที่ รวมถึงเอกสารและพื้นที่ทางกายภาพ
