餐廳的 QR code，未必是你想的那樣。

貼紙手法

這種手法簡單得令人不安。歹徒走進一家餐廳，看準桌上或門口的 QR code 立牌，把一張剛印好的貼紙蓋上去換成他們自己的 QR code。整個過程每桌不到三十秒。

跳出來的假頁面幾乎是點餐或付款頁面的完美複製品：標誌一模一樣、品牌配色一致，有時甚至連餐廳名稱都有。顧客以為自己在瀏覽今日菜單，就在一個詐騙網站上輸入了銀行卡資料。

這種手法並不限於餐廳：法國政府的網路犯罪受害者協助平台 Cybermalveillance.gouv.fr 也提醒，有人把假的 QR code 貼在停車繳費機和電動車充電站上。

那些改用電子菜單卻沒有實體防護（雕刻式 QR code、上鎖立牌架）的餐廳，正是首要目標。用普通紙張自行列印立牌的小型店家，則最為脆弱。

如何識破

掃描前，先用眼睛檢查 QR code。假貼紙常常會略微歪斜，邊緣互相重疊，或印刷品質和餐廳其他物料明顯不同。

使用會在開啟連結前顯示完整網址的 QR code 讀取工具。iOS 內建的相機 App 以及 Android 內建的讀取器通常都會顯示網址花點時間讀一下。攻擊者會利用仿冒網域（typosquatting）：用「carte-restaurant-lyon.com」冒充店家的官方網站。

如果開啟的頁面只是為了看菜單就要求你輸入銀行卡資料，更要提高警覺。沒有一家正當餐廳會把菜單鎖在付款頁面後面。

若有疑慮，直接請店員拿菜單卡給你看，或請他們出示後台管理介面上顯示的 QR code 而不是桌上立牌那一個。

Trasimene 如何守護你

Trasimene 內建 QR code 掃描器。用它讀取的每一個連結，都會在開啟之前由我們的伺服器檢查：比對 Trasimene 維護的釣魚網站與惡意軟體網站清單、Google Safe Browsing，以及可能存在的重新導向最終目的地。

如果連結被判定為危險，就不會開啟：畫面會跳出警示，是否仍要開啟由你自己決定。網域的註冊日期（若能取得）也會一併顯示，幫助你判斷，但不列入判定結果。

這項檢查是透過 App 內的掃描器進行：請先開啟掃描器，再對準 QR code。用手機相機讀取的 QR code 不會經過檢查。若開啟了 Trasimene 的選購 VPN，它會在事後辨識出你造訪了已列入我們清單的網站，並在 App 中提醒你。VPN 本身不會阻擋該頁面：只有 VPN 委託處理網域解析的瑞士服務 Quad9，會在其一端擋下它已知的惡意網域。

若有疑慮，請餐廳出示後台管理介面或官方文件上的 QR code 而不是桌上那個立牌。

警覺，永遠是第一道防線。掃描前先看一眼、輸入資料前先讀網址、有疑慮時多問一句光是這些簡單的習慣，就足以擊退絕大多數 QR code 攻擊。而只要搭配一款合適的資安 App，就沒有理由不把這些動作自動化。

資料來源

Trasimene：行動安全

防範 QR code 釣魚攻擊

下載 Trasimene →