QR Code 本身只是一種承載資料的方式；問題在於，使用者通常無法直接看見它藏著哪個網址、收款人或登入要求。騙徒可把假貼紙蓋在商戶原有的收款碼上，也可在電郵、私訊、海報或網頁放入導向釣魚網站的 QR Code。這類利用 QR Code 隱藏惡意連結或操作指令的手法，常被稱為 Quishing（QR Code phishing）。
香港電腦保安事故協調中心（HKCERT）於 2026 年 11 月 5 日公布的香港 2026 年第三季網絡保安事故統計顯示，該季錄得 4,404 宗事故，其中 2,672 宗屬釣魚攻擊，約佔 61%。社交媒體及即時通訊應用佔釣魚目標約 46%，銀行、金融服務及電子支付則約佔 21%。這些數字不是 QR Code 騙案的單獨統計，卻說明通訊與付款場景仍是香港使用者需要優先防範的釣魚入口。
為甚麼 QR Code 容易令人放下戒心
一般文字連結至少能讓人先看到部分網域；QR Code 則把內容變成圖像，使用者往往在掃描後直接開啟頁面。Microsoft 在2026 年數碼防禦報告指出，惡意網址可藏在圖像中，以繞過部分文字式電郵檢測；Microsoft Defender for Office 365 在 2025 年 7 月至 2026 年 6 月期間偵測到超過 1.45 億次 QR Code 釣魚攻擊。這是其產品的偵測量，不等於獨立受害者人數，也不代表所有 QR Code 都有風險。
風險通常來自三個環節：來源被冒充、掃描結果未核對，以及付款或登入確認過快。近期印度國營 Canara Bank 在 2026 年 11 月發布的Quishing 防騙提示，便用假付款貼紙、虛假 KYC 更新、送貨失敗及回贈訊息示範常見誘餌。這些情境雖以印度支付服務為例，但「先掃碼，再要求輸入資料或付款」的判斷方法同樣適用於其他地區。
掃碼前先分清四種用途
同一個 QR Code 外觀可能對應完全不同的操作，第一步不是掃描，而是先問它為甚麼出現在這裡。
- 收款碼：應顯示商戶或收款人名稱、付款金額及交易用途；貼在櫃台或海報上，也要查看是否有另一張貼紙覆蓋、翹邊或重新黏貼痕跡。
- 網頁連結：可能導向餐牌、活動頁或下載頁。掃描器若提供網址預覽，先閱讀完整網域，不要只看品牌字樣。
- 帳戶登入碼：掃描後通常代表授權另一部裝置登入。若你沒有主動在官方網站開始登入，便不應替陌生人掃碼。
- 個人票證或資料碼：登機證、門票及部分會員碼可能含有識別資料，不應把完整 QR Code 截圖公開上傳。
HKCERT 的QR Code 使用安全提示建議，流動付款前要確認收款碼來源、核對交易資料並在付款後立即查看紀錄；開啟網頁前則應查看預覽網址，並關閉掃描器的自動跳轉功能。
五步核對付款與登入 QR Code
1. 從情境判斷是否合理
若你沒有要求退款、沒有參加活動、沒有開始登入，突然收到「立即掃碼領取」「帳戶即將停用」或「付款失敗需重新驗證」，先停止。急迫期限、獎賞和帳戶威脅都是常見誘餌。若訊息聲稱中獎但要求先付款，可先參考中獎通知與預付費陷阱核對方法。
2. 檢查實體貼紙與訊息來源
在店舖掃碼時，看清楚 QR Code 是否與櫃台、餐牌或付款裝置一體，並向職員確認；不要因為它印有品牌標誌便相信。收到電子版本時，另行開啟官方 App 或自行輸入正式網址，不要只靠發件人名稱、群組帳號或搜尋廣告判斷。若 QR Code 來自搜尋結果，可配合辨認贊助廣告與冒牌官網的五步核對。
3. 掃描後先看預覽，不急著開啟
核對完整網域、拼字、頂級域名及是否出現不相關的短網址。HTTPS 鎖頭只代表連線加密，不能證明網頁營運者就是品牌官方。掃描器若直接開頁，應關閉自動跳轉；不熟悉的網址不要登入、下載檔案或授權通知。
4. 在付款或登入確認頁再核對一次
付款前逐項查看收款人、金額、幣種及用途。收款本身不需要你交出密碼、一次性驗證碼或聊天帳戶登入碼；帳戶登入 QR Code 則可能直接建立新工作階段。若所謂優惠要求提供 Telegram、WhatsApp 或其他通訊帳戶驗證碼，可參考優惠驗證與聊天帳戶登入碼的差別。
5. 付款後立即看正式紀錄
不要只看對方傳來的「成功」截圖。返回銀行、電子錢包、交易所或平台官方 App，核對狀態、金額及收款對象；若資料不符，立即停止再次付款，保存 QR Code、網址、對話及交易編號。
已經誤掃或輸入資料怎麼辦
只掃描但沒有開啟連結、輸入資料或確認付款，風險通常低於已登入或授權，但仍應關閉頁面並清除不明下載。若已輸入帳戶密碼，應從官方 App 或自行輸入的官方網址更改密碼，登出不認識的工作階段，並檢查是否新增了裝置、轉寄規則或第三方授權。
若已提交信用卡資料、一次性驗證碼或完成付款，應立即聯絡金融機構或付款服務商，按其指示暫停卡片或帳戶，並保留交易與通訊紀錄。不要再向自稱「追款專員」的人支付手續費。涉及香港騙案時，可使用香港警方官方渠道求助；情況緊急或懷疑受騙，可致電防騙易 18222 查詢。
最重要的判斷不是圖像是否漂亮
設計精美、印有品牌標誌、貼在實體店內，甚至掃描後出現正常 HTTPS 頁面，都不足以證明 QR Code 安全。可靠做法是把每次掃碼拆成來源、網址、操作、收款人與正式紀錄五個節點逐一核對。只要其中一項與原本目的不一致，就先停止，不用因倒數、優惠或客服催促而完成下一步。
本文由 AI 輔助整理，資料核對日期：2026-11-14；請以所列官方來源的最新資訊為準。