รหัส QR กลายเป็นเครื่องมือที่ใช้กันทั่วไปในการชำระเงิน เข้าถึงเมนู และเชื่อมต่อกับบริการดิจิทัลต่างๆ แต่ความคุ้นเคยนี้ก็ถูกอาชญากรไซเบอร์ใช้ประโยชน์เพื่อสร้างความปั่นป่วนให้กับการฉ้อโกงออนไลน์มากขึ้น บริษัทรักษาความปลอดภัย ESET ตรวจพบการเพิ่มขึ้นอย่างมีนัยสำคัญของการหลอกลวงแบบ "quishing" ซึ่งเป็นรูปแบบหนึ่งของการฟิชชิ่งที่ใช้รหัสจุดเหล่านี้เพื่อนำผู้ใช้ไปยังเว็บไซต์ที่เป็นอันตรายโดยที่ผู้ใช้ไม่สามารถอ่าน URL ปลายทางได้
ตัวเลขล่าสุดบ่งบอกได้อย่างชัดเจน : รายงานภัยคุกคามของ ESET ครึ่งปีแรก 2026 ระบุว่า รหัส QR ที่เป็นอันตรายปรากฏอยู่ในอีเมลฟิชชิงถึง 11% โดยมีการตรวจพบเฉลี่ยมากกว่า 100.000 ครั้งต่อเดือน ที่จริงแล้ว สเปนอยู่อันดับสองของโลกในจำนวนการโจมตีประเภทนี้ รองจากสหรัฐอเมริกาเท่านั้น
การปราบปรามคืออะไร และทำไมถึงได้รับความนิยมอย่างมาก?
การหลอกลวงแบบคิวชิง (Quishing) โดยพื้นฐานแล้วเป็นรูปแบบหนึ่งของการหลอกลวงแบบฟิชชิง (Phishing) แบบดั้งเดิม แต่มีองค์ประกอบเพิ่มเติมคือ ลิงก์ที่เป็นอันตรายซ่อนอยู่ภายในรหัส QR ผู้ใช้สแกนภาพและเข้าสู่เว็บไซต์ปลอมที่สามารถขโมยรหัสผ่านธนาคาร ข้อมูลการเข้าสู่ระบบ หรือแม้กระทั่งติดตั้งมัลแวร์ลงในอุปกรณ์ของผู้ใช้ได้
หนึ่งในเหตุผลที่ทำให้วิธีนี้ได้ผลคือปลายทางของลิงก์นั้นไม่ปรากฏให้เห็นทันที ในอีเมลที่น่าสงสัย คุณจะเห็นโดเมนที่ไม่ถูกต้อง แต่ในกรณีนี้ ทุกอย่างถูกบีบอัดให้เหลือเพียงพิกเซลสี่เหลี่ยม นอกจากนี้ รหัสเหล่านี้ยังถูกฝังอยู่ในข้อความในรูปแบบภาพหรือไฟล์ PDF ที่แนบมา ทำให้สามารถหลีกเลี่ยงตัวกรองความปลอดภัยของอีเมลได้ และกลอุบายนี้จะได้ผลดียิ่งขึ้นไปอีก เพราะมันย้ายการสื่อสารจากคอมพิวเตอร์ที่ทำงานไปยังโทรศัพท์มือถือ ซึ่งเป็นอุปกรณ์ที่มักไม่มีระดับการป้องกันที่เท่าเทียมกัน
การหลอกลวงทางสังคมก็มีบทบาทสำคัญเช่นกัน อาชญากรใช้ภาพลักษณ์ของแบรนด์ที่มีชื่อเสียง เช่น DocuSign หรือ Microsoft และใช้ประโยชน์จากสถานการณ์เร่งด่วน ตัวอย่างเช่น โดยการแจ้งเตือนว่าบัญชีจะถูกระงับหากไม่ยืนยันตัวตน ผลก็คือ ข้อความจะมาถึงกล่องจดหมายเข้า และพนักงานจะไม่พบตัวบ่งชี้การหลอกลวงใดๆ เนื่องจากไม่มีข้อความให้อ่านในลิงก์
สถานการณ์วิกฤตในสเปน สัญญาณเตือนที่ไม่หยุดลง
สเปนกลายเป็นแหล่งแพร่ระบาดสำคัญของกลโกงประเภทนี้ ESET ประมาณการว่า 17% ของการตรวจพบการบุกรุกทั่วโลกกระจุกตัวอยู่ในประเทศนี้ ซึ่งยืนยันว่าเทคนิคนี้ได้พบแหล่งเพาะปลูกที่อุดมสมบูรณ์ หนึ่งในกรณีที่เป็นตัวอย่างมากที่สุดได้รับการแก้ไขด้วยการแทรกแซงของสถาบันความปลอดภัยทางไซเบอร์แห่งชาติ (INCIBE) ลูกค้าของร้านอาหารแห่งหนึ่งสแกนคิวอาร์โค้ดบนเมนูซึ่งถูกดัดแปลง และสมัครใช้บริการพรีเมียมโดยไม่รู้ตัว
องค์กรคุ้มครองผู้บริโภคแห่งสเปน (OCU) ยังได้เน้นย้ำถึงปัญหาการติดรหัส QR ปลอมไว้บนรถยนต์เพื่อจำลองใบสั่งปรับจราจร เมื่อเหยื่อสแกนรหัสเพื่อชำระค่าปรับ พวกเขาก็จะมอบรายละเอียดบัตรเครดิตให้กับเว็บไซต์ปลอม การหลอกลวงเหล่านี้ไม่ได้หยุดอยู่แค่นั้น: พบเห็นสติกเกอร์ที่มีรหัส QR ปลอมปิดทับรหัสจริงของเครื่องเก็บค่าจอดรถและจักรยานให้เช่า โดยผู้โจมตีจะปิดบังรหัสเดิมด้วยรหัสที่พิมพ์ไว้ซึ่งชี้ไปยังโดเมนของตนเอง
ห้องปฏิบัติการของ ESET ระบุว่าเดือนเมษายน 2026 เป็นช่วงที่มีการตรวจพบภัยคุกคามสูงสุด แม้ว่าข้อมูลย้อนหลังจะเริ่มแสดงให้เห็นถึงการเพิ่มขึ้นอย่างต่อเนื่องแล้วก็ตาม ความปลอดภัยบนอุปกรณ์พกพาและอีเมลขององค์กรเป็นเกราะป้องกันหลัก แต่พฤติกรรมที่ไม่ระมัดระวังของผู้ใช้งานก็เป็นสาเหตุที่เหลือเช่นกัน
ด้านอื่นๆ ของการฉ้อโกง QR Code
ไม่ใช่แค่เรื่องการฉ้อโกงครั้งใหญ่ที่เกิดขึ้นกับลูกค้าของร้านอาหารเท่านั้น กรมสรรพากรของสหรัฐฯ (IRS) ยังตรวจพบแคมเปญที่เกี่ยวข้องกับจดหมายปลอมที่ปลอมเป็นใบแจ้งเตือนภาษี โดยมีรหัส QR ที่สัญญาว่าจะตรวจสอบบัญชีหรือเอกสารสำหรับผู้ถือครองสกุลเงินดิจิทัล การสแกนรหัสจะนำเหยื่อไปยังเว็บไซต์ที่ขอวลีเริ่มต้นหรือรหัสส่วนตัว ซึ่งเป็นองค์ประกอบที่ให้สิทธิ์ในการควบคุมเงินดิจิทัล
บทบาทของรัฐก็อยู่เบื้องหลังกับดักเหล่านี้เช่นกันคำแนะนำของ FBI จากเดือนมกราคม 2026 กล่าวถึงกลุ่ม Kimsuky ซึ่งถูกกล่าวหาว่าเชื่อมโยงกับเกาหลีเหนือ ว่าเป็นผู้รับผิดชอบการโจมตีทางไซเบอร์โดยใช้รหัส QR โดยใช้ข้ออ้างต่างๆ เช่น เอกสารหรือแบบฟอร์มของรัฐบาล เพื่อเข้าถึงองค์กรวิจัย กล่าวอีกนัยหนึ่ง เทคนิคนี้ได้แทรกซึมเข้าไปในคลังอาวุธของกลุ่ม APT แล้ว โดยมีเป้าหมายเพื่อเจาะระบบเครือข่ายที่มีมูลค่าสูง
วิธีป้องกันตัวเองจากการถูกบดขยี้
วิธีป้องกันการฉ้อโกงที่สำคัญที่สุดคือการเรียนรู้ที่จะสงสัยไว้ก่อน INCIBE แนะนำให้หยุดคิดสักครู่ก่อนสแกนคิวอาร์โค้ดใดๆ ที่เห็นในที่สาธารณะ หากสติกเกอร์ดูเหมือนลอก มีร่องรอยการดัดแปลง หรืออยู่ทับซ้อนกับโค้ดอื่น ก็ไม่ควรใช้ ในกรณีของอีเมล ให้ระวังข้อความที่ไม่ได้รับเชิญซึ่งขอให้คุณสแกนคิวอาร์โค้ด โดยเฉพาะอย่างยิ่งหากมีการเร่งรัดเรื่องเวลามากเกินไป
นอกจากนี้ ควรตรวจสอบ URL ที่โค้ดนั้นนำไปด้วย หากโทรศัพท์ของคุณมีฟังก์ชันแสดงตัวอย่างลิงก์ ให้มองหาคำผิด โดเมนที่ย่อ หรือรูปแบบที่แปลกไปจากเว็บไซต์ที่คุ้นเคย การปิดการเปิดลิงก์อัตโนมัติเมื่อสแกนโค้ด QR ก็เป็นอีกวิธีป้องกันที่มีประโยชน์ทั้งในระบบ iOS และ Android และอย่าให้ข้อมูลการชำระเงิน ข้อมูลประจำตัว หรือรายละเอียดกระเป๋าเงินดิจิทัลโดยไม่ตรวจสอบผ่านช่องทางอื่นก่อนว่าคำขอถูกต้อง
สำหรับภาคธุรกิจ ผู้เชี่ยวชาญของ ESET แนะนำให้รวมการกำจัดภัยคุกคามเข้าไว้ในโปรแกรมสร้างความตระหนักรู้และการจำลองการโจมตีแบบฟิชชิง เทคโนโลยีเป็นอีกองค์ประกอบสำคัญ ได้แก่ ตัวกรองอีเมลที่สามารถดึงและวิเคราะห์รหัส QR ในไฟล์ การป้องกันอุปกรณ์เคลื่อนที่ขององค์กร และการตรวจสอบสิทธิ์ที่ป้องกันฟิชชิงสำหรับบัญชีที่มีสิทธิ์สูง การใช้หลักการให้สิทธิ์ขั้นต่ำและการอัปเดตซอฟต์แวร์ให้ทันสมัยอยู่เสมอเป็นขั้นตอนเพิ่มเติมที่ช่วยป้องกันไม่ให้การสแกนที่เป็นอันตรายกลายเป็นการโจมตีเครือข่ายที่ร้ายแรง
ความนิยมของคิวอาร์โค้ดไม่ใช่เรื่องใหม่ แต่ภัยคุกคามที่เกิดจากมันก็ไม่ใช่เรื่องใหม่เช่นกัน การหลอกลวงแบบคิวชิง (Quishing) ได้กลายเป็นภัยคุกคามที่แพร่หลาย โดยใช้การส่งข้อมูลผ่านหน้าจอและรหัสไบนารี และมาตรการที่ใช้ได้ผลกับการหลอกลวงแบบข้อความก็ใช้ได้ผลกับคิวอาร์โค้ดเช่นกัน หากนำไปใช้ด้วยสามัญสำนึก ประเทศสเปนกำลังตกอยู่ในเป้าหมาย และความแตกต่างระหว่างการตกเป็นเหยื่อและการหลีกเลี่ยงความหวาดกลัวนั้นขึ้นอยู่กับนิสัยง่ายๆ ในการตรวจสอบก่อนสแกนว่าปลายทางนั้นไม่ใช่การหลอกลวง