大多數成功的 QR 攻擊並非利用技術漏洞，而是利用不知道應該警惕什麼的人。透過 QR Code 進行釣魚詐騙（通常稱為「Quishing」）數量激增，因為它能繞過電子郵件過濾器，看起來比可疑連結更值得信任。如果你經營小型企業或管理處理列印材料、銷售點設備或供應商通訊的團隊，30 分鐘的培訓課程是最划算的安全投資之一。
以下是一個實用的六部分框架，你可以立即與團隊一起進行。
1. 解釋 QR Code 的實際功能
在教授威脅之前，先確保每個人都理解其機制。QR Code 只是一條機器可讀的指令——最常見的是網址，但有時也可能是 Wi-Fi 憑證、電話號碼或付款要求。掃描一個 QR Code 會將控制權交給該碼指向的地方，這正是攻擊者所利用的。
引導員工查閱我們關於 QR Code 工作原理的完整指南，讓他們有基礎了解。了解這個工具的人更難被它欺騙。
2. 教授「預覽後再繼續」的習慣
所有主流行動作業系統（iOS 16+、Android 13+）在使用原生相機應用掃描 QR Code 時，都會在開啟瀏覽器頁籤前顯示網址預覽。訓練你的團隊：
- 在預覽畫面停下來——永遠不要立即點擊。
- 閱讀完整網域，而不只是網址的開頭。攻擊者使用
yourbank.com.verify-login.net這樣的子網域，其中真實網域是verify-login.net。 - 尋找 HTTPS，但將其視為最低標準，而不是保證。釣魚網站經常有有效的 TLS 憑證。
這個單一習慣能阻止大部分機會性 Quishing 攻擊。我們關於網址預覽如何保護掃描者的文章有更多值得與團隊分享的細節。
3. 實體 QR Code 的危險信號清單
在零售、招待或活動中工作的員工經常看到來自第三方的列印 QR Code——菜單、發票、會議材料、交貨單。給他們一份具體的危險信號清單：
| 信號 | 為什麼重要 |
|---|---|
| 貼紙貼在現有碼上 | 經典的篡改手法 |
| 在普通紙上列印，沒有品牌 | 製作假碼的門檻很低 |
網址預覽導向 IP 地址（例如 http://192.168.1.1/…） |
合法企業網站不會這樣做 |
| 目的地與承諾的動作不符 | 「掃描查看發票」→ 進入登入頁面 |
| 碼出現在未經請求的郵件或包裹上 | 高風險交貨途徑 |
更深入了解實體篡改的方式，偵測和防止 QR Code 篡改的指南是實用的參考讀物。
4. 區別處理付款和憑證 QR Code
付款 QR Code（用於發票、收銀機、停車計費器）是高價值目標。憑證 QR Code——自動填入 Wi-Fi 密碼或讓某人登入應用的那種——是第二個不同的類別，你的團隊應該將其與行銷掃描區分對待。
關鍵規則要傳達：不要在沒有確認來源的情況下掃描付款 QR Code，除非你透過其他管道確認了收款人身份。 如果供應商透過電子郵件發送包含付款 QR Code 的發票，在掃描前先透過供應商的已知號碼致電確認。這不是偏執——透過 QR 進行的發票詐騙已有文件記載。
針對 Wi-Fi QR Code：在掃描你不控制的任何共享空間中的「客用 Wi-Fi」碼前，先確認與管理網路的人員。
5. 為自己的材料設定內部 QR Code 標準
混亂或不一致的內部做法會讓員工更容易受到攻擊。如果你的企業在收據、包裝或行銷材料上使用 QR Code，定義標準並傳達給員工：
- 始終使用你的註冊網域作為目的地（例如
yourbusiness.com/…），永遠不要使用原始縮短網址或沒有品牌的第三方重新導向。 - 告訴你的團隊你的 QR Code 看起來什麼樣——顏色、標誌位置、它們解析到的網域——這樣他們就能發現仿製品。
- 盡可能使用動態碼，以便你可以稽核掃描日誌並在不重新列印的情況下停用受損的網址。在決定之前，值得理解靜態和動態格式之間的權衡——這份靜態和動態 QR Code 的比較清楚地說明了這些。
當員工確切知道你合法的碼應該是什麼樣的，他們會更擅長發現假品。
6. 進行一次簡單的案例推演
沒有實踐的知識會衰退。每季進行一次，列印兩、三個 QR Code——一個指向你的真實網站，一個指向明顯的佔位符（「這是一個測試」），一個看起來似乎合理但導向意外地方的。要求團隊成員掃描每一個，並解釋他們在繼續前會做什麼。
你可以使用 Super QR Code Generator 在不到十分鐘內建立這個練習的測試碼。目的不是要抓住人們出錯——而是將預覽和暫停的習慣變成肌肉記憶。
重點要點
- QR 攻擊針對人，而不是系統——培訓是直接的對抗措施。
- 網址預覽畫面是團隊最可靠的第一道防線；教導每個人使用它。
- 實體篡改（在合法碼上貼貼紙）是最常見的面對面攻擊向量。
- 付款和憑證 QR Code 風險更高，應該有單獨、更嚴格的協議。
- 定義並傳達你自己的合法 QR Code 看起來什麼樣，以便員工能識別冒牌品。
- 季度手實踐練習比一次性簡報更能鞏固習慣。