【小心陷阱】QR Code存安全隱患 Palo Alto Networks籲Scan前諗清楚
今時今日隨街可見 Quick Response Code (QR code) ，一經掃描便可即時存取網站、聯絡資料等資訊。無論是防疫措施還是電子付款，都能見到 QR Code 的蹤影。Palo Alto Networks 香港及澳門總經理馮志剛就提醒，儘管 QR Code 技術本身是安全的，但隨著人們對它愈加依賴，網絡犯罪分子亦會想方設法利用它犯案。
馮志剛表示，QR Code 可能為潛在的網絡攻擊提供入侵機會，因為它們無法提供背後網頁、應用程式等的可視度。他們會自動將用戶重新定向到網站或應用程式商店去下載應用程式、進行付款等，因此為網絡犯罪分子提供了入侵的機會。
疫情期間，Palo Alto Networks 威脅情報團隊 Unit 42，在地下網上論壇觀察網絡犯罪分子討論如何利用 QR code 和針對消費者的方法，並找到了如何使用 QR code 進行攻擊的開放源代碼工具和影片教程。
更換QR Code導向至釣魚網站
網絡罪犯可以通過多種方式利用 QR Code 行惡，其一是入侵企業的網站，並換上自己的 QR Code。由於 QR Code 看起來都非常相似，因此被換後的 QR Code 很難被察覺，消費者掃描此等QR Code 將被重新定向到釣魚網站，並在釣魚網站上要求用戶提供認證資訊，藉以操控其電子郵件或社交媒體帳戶等。它還可能引用戶進入不正規的應用程式商店，令他們在不知情的情況下下載包含病毒、間諜軟件、木馬或其他類型的惡意軟件，這可能導致資料被盜、私隱外洩 （GPS 或通訊錄被盜、郵件被攔截等）、遭勒索軟件勒索或加密挖礦。
掃描免費Wi-Fi QR Code 留神被攔截數據
另一種網絡犯罪技術則是糖衣陷阱。黑客會建立一個不安全的 Wi-Fi 網絡，向掃描其 QR Code 的人士提供免費網絡。連接到裝置後，黑客可以竊聽或攔截正在共享的數據，並竊取可作識別身份用途的個人資料、機密商業資訊、網上銀行認證資料和信用卡資料。隨著遙距工作可能仍會持續，必須對這些手段提高警覺，並且只登錄到安全的 Wi-Fi 網絡。
用家可以如何保護自己來避免淪為受害者？馮志剛認為 :「企業負責人和資訊科技人員需要定期為其網站和應用程式進行信用檢測，以確保代碼和鏈結均是他們所設的。他們可以通過定期掃描 QR code 來檢查鏈結是否正確。同時，他們亦要檢查桌面版以及流動版網頁，網絡犯罪分子尤其會入侵後者，以減少被檢測到的風險。」馮提醒，僱主應向員工提供網絡安全培訓，使他們認識組織及自身所面臨的風險，包括於個人和公司帳戶使用獨特有效的密碼、設置多重身份認證、識別釣魚電子郵件以及不安全的虛擬環境。
用家一直被教導對可疑鏈結或電子郵件時要「點擊前三思」，而現在掃描 QR Code 前亦應三思。如果你不知道 QR Code 將會導引你到何處，請不要掃描它，並預覽網站和域名以確保其將導向到你所想要的地方。許多 QR Code 安全掃描應用程式，可供用戶在到訪網站之前進行預覽。許多瀏覽器還允許用戶禁用自動重新導向至網站，以允許前往前事先檢查域名，再決定網站是否值得信任進入。
用家應僅從可信任的來源例如 Apple App Store 或 Google Play Store 下載應用程式，並持續更新所有智能裝置的操作系統，以享受最新的安全保護。
Palo Alto Networks 提供以下三個建議：
1. 掃描前要三思
2. 掃描後要看清
3. 保持警覺，小心謹慎
在可見的未來，網絡犯罪分子會更頻繁利用 QR Code 和其他愈見普及的技術犯案，因此需對相關風險提高意識，以及採取正確的預防措施。另一方面，電訊服務供應商亦應對相關網絡安全風險有所警愓及防範，例如電訊服務供應商可主動使用可防範網絡罪行的網絡安全系統，同時為用戶提供保護其私隱的資訊及選擇。
