ระวัง QR Code หลอกโอนเงิน (quishing) สังเกตยังไง

ช่วงหลังมีข่าวคนไปกินข้าวที่ร้าน สแกน QR ตรงเคาน์เตอร์เพื่อจ่ายเงินตามปกติ แต่เงินกลับไม่เข้าร้าน เพราะมีคนเอาสติกเกอร์ QR ของบัญชีตัวเองไปแปะทับ QR พร้อมเพย์เดิมของร้านไว้ ลูกค้าเห็นเป็นรูป QR เหมือนกันหมดก็สแกนโอนไป กว่าจะรู้ว่าโอนผิดบัญชีก็ต่อเมื่อร้านทักว่ายังไม่ได้รับเงิน เรื่องแบบนี้ที่เรียกรวมๆ ว่า QR Code หลอกโอนเงิน หรือศัพท์ที่ฝรั่งใช้ว่า quishing กำลังเจอบ่อยขึ้นเรื่อยๆ ตามร้านที่รับเงินด้วย QR

บทความนี้ไม่ได้จะบอกให้เลิกใช้ QR รับเงิน เพราะมันสะดวกและปลอดภัยพอถ้าใช้เป็น แต่จะอธิบายว่าการหลอกแบบนี้ทำงานยังไง มีกี่แบบ และมีจุดไหนบ้างที่ทั้งคนจ่ายและร้านค้าดักไว้ได้ก่อนเงินจะออกจากบัญชี

quishing คืออะไร ทำไม QR ถึงโดนปลอมง่าย

คำว่า quishing มาจาก QR รวมกับ phishing ซึ่งแปลว่าการหลอกลวงทางออนไลน์ให้เหยื่อกดลิงก์ปลอมหรือกรอกข้อมูล เดิมทีมิจฉาชีพส่งลิงก์ปลอมมาทางอีเมลหรือ SMS แต่พอคนเริ่มระวังลิงก์แปลกๆ กันมากขึ้น ก็เปลี่ยนมาใช้ QR Code แทน เพราะ QR มีข้อได้เปรียบสำหรับคนหลอกอยู่ข้อเดียวที่สำคัญมาก คือมันไม่แสดงให้เห็นว่าปลายทางคืออะไร

เวลาเห็นลิงก์เป็นตัวหนังสือ คนอ่านพอเดาได้ว่าชื่อเว็บถูกหรือผิด แต่ QR Code เป็นแค่ลวดลายขาวดำ ตาเปล่าอ่านไม่ออกว่าข้างในเก็บหมายเลขบัญชีอะไรหรือลิงก์ไปไหน คนสแกนจึงต้องเชื่อไปก่อนว่าป้ายที่เห็นตรงหน้าเป็นของจริง ถ้าอยากเข้าใจว่าทำไม QR ถึงเก็บข้อมูลแบบซ่อนไว้ในลวดลายได้ อ่านเพิ่มได้ที่ QR Code คืออะไร ทำงานยังไง

อีกเหตุผลคือ QR พร้อมเพย์แบบที่ร้านใช้กันเป็นแบบ static คือฝังหมายเลขพร้อมเพย์กับจำนวนเงินไว้ในลวดลายตรงๆ ใครก็สร้าง QR พร้อมเพย์ของบัญชีตัวเองได้ฟรีในไม่กี่วินาที พิมพ์เป็นสติกเกอร์ขนาดเท่าของร้านแล้วเอาไปแปะทับ ต้นทุนการปลอมจึงแทบเป็นศูนย์ ต่างจากการปลอมบัตรเครดิตหรือปลอมแอปธนาคารที่ยากกว่ามาก

รูปแบบที่เจอบ่อยในไทย

การหลอกด้วย QR ไม่ได้มีแบบเดียว แต่ที่เห็นในไทยตอนนี้วนอยู่ไม่กี่แบบ

สลับป้ายหน้าร้านหรือตรงเคาน์เตอร์ เป็นแบบที่พบมากที่สุด มิจฉาชีพเดินเข้าร้านช่วงคนเยอะหรือช่วงร้านเผลอ แล้วแปะสติกเกอร์ QR ของตัวเองทับป้ายเดิม บางครั้งทำเนียนถึงขั้นพิมพ์โลโก้ร้านและข้อความ “สแกนจ่ายที่นี่” ให้เหมือนเป๊ะ ร้านที่มีป้าย QR วางหลายจุดหรือติดไว้ไกลสายตาพนักงานจะเสี่ยงที่สุด

ส่ง QR มาทางแชทหรือเพจปลอม เช่น ทักมาบอกว่าโอนเงินค่าสินค้าไม่ผ่าน ให้สแกน QR นี้เพื่อยืนยันตัวตนหรือรับเงินคืน หรือปลอมเป็นเพจร้านที่กำลังโปรโมชั่น ให้สแกนเพื่อจองสิทธิ์ QR พวกนี้มักไม่ใช่ QR โอนเงินตรงๆ แต่พาไปหน้าเว็บปลอมที่หน้าตาเหมือนแอปธนาคารหรือหน้าล็อกอิน ให้กรอกเลขบัญชี รหัสผ่าน หรือรหัส OTP

QR ในเอกสารที่ดูเป็นทางการ เช่น ใบแจ้งหนี้ค่าไฟค่าน้ำปลอม ใบเสร็จปลอม หรือจดหมายทวงหนี้ที่ส่งมาถึงบ้าน มี QR ให้สแกนจ่ายด่วนพร้อมข้อความขู่ว่าจะตัดบริการ คนที่กำลังรีบมักสแกนจ่ายโดยไม่ได้เทียบกับบิลจริง

QR ตามที่สาธารณะที่อ้างว่าให้เงินหรือให้ลงทะเบียน เช่น สติกเกอร์ตามเสาไฟ ตู้เติมเงิน หรือที่จอดรถ อ้างว่าสแกนแล้วได้ส่วนลด ได้เงินคืน หรือให้ลงทะเบียนรับสิทธิ์จากภาครัฐ อันนี้ตั้งใจดักคนเดินผ่านที่ไม่รู้ว่าใครเป็นเจ้าของ QR

สังเกตยังไงก่อนสแกนและก่อนกดโอน

จุดที่ดักได้ผลที่สุดไม่ใช่ตอนสแกน แต่เป็นตอนที่แอปธนาคารขึ้นหน้ายืนยันให้ดูก่อนกด เพราะถึงจะสแกน QR ปลอมไปแล้ว เงินก็ยังไม่ออกจนกว่าจะกดยืนยัน

อ่านชื่อบัญชีปลายทางให้ครบ หลังสแกน QR พร้อมเพย์ แอปธนาคารจะแสดงชื่อบัญชีที่จะรับเงิน ชื่อนี้ต้องสอดคล้องกับร้าน เช่น เป็นชื่อร้าน ชื่อบริษัท หรือชื่อเจ้าของร้านที่บอกได้ ถ้าขึ้นเป็นชื่อคนที่ไม่เกี่ยวอะไรกับร้านเลย หรือเป็นชื่อที่สะกดแปลกๆ ให้หยุดแล้วถามพนักงานก่อน อย่าเพิ่งกด

เทียบยอดเงินที่แอปกรอกมาให้ QR พร้อมเพย์แบบระบุจำนวนเงินจะเด้งยอดขึ้นมาให้อัตโนมัติ ดูว่าตรงกับที่ต้องจ่ายไหม ป้ายปลอมบางอันตั้งยอดสูงเกินจริงเผื่อคนไม่ทันดู

ดูป้ายจริงๆ ว่ามีร่องรอยการแปะทับไหม สติกเกอร์ที่แปะใหม่มักมีขอบนูน มุมเผยอ สีกระดาษไม่เหมือนป้ายรอบข้าง หรือเอียงผิดแนวจากกรอบเดิม ถ้าเป็นป้ายตั้งโต๊ะแบบอะคริลิก ลองดูว่ามี QR สองชั้นซ้อนกันหรือเปล่า

ระวัง QR ที่พาไปหน้าให้ล็อกอินหรือให้ติดตั้งแอป การจ่ายเงินด้วยพร้อมเพย์ไม่มีขั้นตอนไหนที่ต้องกรอกรหัสผ่านธนาคารหรือ OTP ลงในหน้าเว็บที่เปิดจาก QR ถ้าสแกนแล้วเจอหน้าแบบนั้นให้ปิดทิ้งทันที

ถ้าได้ QR มาเป็นรูปในแชทหรือในไฟล์ใบแจ้งหนี้ ยังไม่ต้องเปิดด้วยมือถือ ลากรูปนั้นเข้า ตัวอ่าน QR จากรูปบนหน้าเว็บนี้ บนคอมได้เลย มันจะถอดข้อความข้างในออกมาให้เห็นเต็มๆ ว่าเป็นหมายเลขพร้อมเพย์ของใครหรือลิงก์ไปเว็บอะไร โดยที่ไม่ต้องกดเปิดลิงก์นั้นจริง และรูปไม่ถูกส่งขึ้นเซิร์ฟเวอร์

ตัวอย่างลิงก์หลอกที่ทำขึ้นเอง ต้นลิงก์ตั้งให้ดูเหมือนเว็บธนาคาร แต่ปลายทางจริงคือหมายเลข IP ที่อยู่หลังเครื่องหมาย @ ตัวอ่านจับได้ทั้งสามจุดโดยไม่ต้องเปิดลิงก์ (โดเมนและ IP ในภาพเป็นค่าที่สงวนไว้สำหรับตัวอย่าง ไม่ใช่ของใคร)

ถ้าเผลอโอนไปแล้ว ทำยังไงให้ทัน

ความเร็วสำคัญที่สุด เพราะมิจฉาชีพมักโอนเงินต่อออกจากบัญชีที่รับมาภายในไม่กี่นาที

โทรหาธนาคารเจ้าของบัญชีที่คุณใช้โอนทันที แจ้งว่าโดนหลอกโอนและขอให้ประสานอายัดบัญชีปลายทาง ธนาคารในไทยมีระบบที่อายัดบัญชีต้องสงสัยชั่วคราวได้ทันทีโดยไม่ต้องรอหมายศาล ถ้าแจ้งเร็วพอและเงินยังค้างอยู่ในบัญชีนั้น มีโอกาสได้คืน

จากนั้นแจ้งความออนไลน์ที่ศูนย์รับแจ้งความออนไลน์ของตำรวจไซเบอร์ หรือโทรสายด่วน 1441 เพื่อลงบันทึกและให้ตำรวจประสานต่อ เก็บสลิปการโอน รูป QR ที่สแกน เวลาและสถานที่ ไว้ให้ครบ ถ้าเป็นการสลับป้ายที่ร้าน ให้บอกร้านด้วยเพื่อที่ร้านจะได้ตรวจป้ายและแจ้งลูกค้าคนอื่น

ร้านค้าป้องกันป้ายตัวเองไม่ให้โดนสลับ

ฝั่งร้านมีหน้าที่มากกว่าที่คิด เพราะถ้าป้ายร้านโดนสลับ คนที่เสียเงินคือลูกค้า แต่คนที่เสียความเชื่อใจคือร้าน

ตรวจป้าย QR ทุกจุดเป็นกิจวัตร อย่างน้อยตอนเปิดร้านและปิดร้าน ดูว่ายังเป็นแผ่นเดิม ไม่มีอะไรแปะทับ วิธีที่ช่วยได้คือถ่ายรูปป้ายที่ถูกต้องเก็บไว้ แล้วเทียบเป็นระยะ

ทำป้ายให้แกะยาก เช่น ใส่กรอบอะคริลิกที่เปิดฝาไม่ได้ง่ายๆ เคลือบลามิเนต หรือพิมพ์ QR ลงบนวัสดุเดียวกับป้ายชื่อร้านไปเลยแทนที่จะเป็นสติกเกอร์ที่ลอกออกได้ รายละเอียดเรื่องวัสดุและตำแหน่งติดอยู่ใน ป้าย QR Code หน้าร้าน ติดตรงไหน ใช้วัสดุอะไร

วางป้ายในจุดที่พนักงานหันมาเห็นได้ตลอด ไม่ใช่มุมอับหลังเสา และถ้ามีหลายโต๊ะ ลดจำนวนป้ายลอยให้เหลือน้อยจุดที่คุมได้

ที่สำคัญที่สุดคือ อย่าดูแค่สลิปที่ลูกค้ายื่นให้ ให้เช็กยอดเงินเข้าบัญชีจริงทุกครั้ง สลิปปลอมสร้างง่ายพอๆ กับ QR ปลอม การเห็นเงินเข้าในแอปของร้านเองเท่านั้นที่ยืนยันได้ว่าได้รับเงินแล้ว

ถ้ากำลังจะเริ่มทำป้ายรับเงินใหม่ อ่านวิธีสร้าง QR พร้อมเพย์ของจริงให้ถูกต้องได้ที่ QR พร้อมเพย์รับเงิน ทุกธนาคาร และดูภาพรวมการสร้าง QR ทุกประเภทได้ที่ วิธีสร้าง QR Code ทีละขั้น ครบทุกแบบ

สรุปสั้นๆ

QR Code หลอกโอนเงินอาศัยจุดเดียวคือ QR ไม่โชว์ปลายทางให้เห็น การป้องกันจึงไม่ใช่การหยุดสแกน แต่คือการอ่านหน้ายืนยันในแอปธนาคารให้ครบก่อนกดโอนทุกครั้ง เทียบชื่อบัญชีปลายทางกับชื่อร้าน ดูยอดเงินให้ตรง และไม่กรอกรหัสธนาคารลงในหน้าเว็บที่เปิดจาก QR ส่วนร้านค้าต้องตรวจป้ายตัวเองเป็นกิจวัตรและยืนยันการรับเงินจากยอดเข้าจริง ไม่ใช่จากสลิป