一個條碼連到兩個網站？小心遇到詐騙的「假」QR code|數位時代 BusinessNext

一個條碼連到兩個網站？小心遇到詐騙的「假」QR code

現在在生活周遭隨處都可以見到QR Code，從電子發票上的條碼、廣告上的網站連結、想要加一下LINE好友，只要掃一下QR Code即可，但你有沒有想過QR Code安全嗎？

QR Code很方便，但肉眼讀不出來

隨著生活周遭有越來越多QR Code，只要使用智慧型手機或平板掃一下條碼，就能加好友、連到特定網站或買東西。

但一般人看到QR Code就是黑白方塊的組合，除非使用智慧型裝置的APP讀取條碼內容，否則光是看著這種二維條碼，也看不出來它究竟會連去哪個網站。

「一個條碼連到兩個網站」

最近，日本神戶大學資工系教授森井昌克發現，QR Code在設計上可以辦到「一個條碼連到兩個網站」的效果，而且設計這種QR Code的時候，還可以調整分別連去這兩種網站的頻率，讓特定比例的使用者一掃條碼就會跑到錯誤的網站。

小補充：二維條碼QR code

QR Code是一種二維條碼，在一塊正方形區域的編碼當中最多可以儲存 7,089位數字或4,296個符號，隨著QR Code內的資料量越多，QR Code的尺寸就會越大。

在QR Code的正方形區域內，除了在右下角外，另外三個角落都有一個雙層大正方形可以用來定位。所以不論在讀取的時候，智慧型手機鏡頭是正著拍、反著拍、歪一邊拍QR Code的條碼，應用程式都可以輕鬆辨識出QR Code的方位。

QR Code讀取速度快、又可以在小範圍內儲存大量的資訊內容，因此現在有越來越多的場合都會使用QR Code，讓有興趣的民眾都能輕鬆讀取更多內容。

在設計之初就加工完成

究竟這種「偽裝QR Code」是如何做到「一個條碼連到兩個網站」的呢？

森井教授指出，通常大家要製作QR Code的時候，多半是利用免費的QR Code產生器網站，或委託專門的QR Code設計公司來設計。這種時候，若這些免費QR Code產生器網站或業者別有用心，就可以在設計上進行一點加工，製作出一款「偽裝QR Code」。

利用重複存取區域進行加工

QR Code在設計上，為了要確保部分內容資料出現毀損也可以被應用程式讀取到正確的資料，有些區域儲存的資料會有所重複。

而這種「偽裝QR Code」通常就是利用這些重複存取相同資料的區域進行加工。

還可以調整連錯網站的機率

森井教授表示，設計者在設計之初可以調整這種「偽裝QR Code」連到錯誤網站的機率，可能數百次或數千次才會有人連到錯誤的網站。因此，委託製作QR Code的人在初期可能不覺有異。

森井教授也設計了一款「偽裝QR Code」，畫面左邊是正常版本，只會連到森井教授實驗室的網站。而畫面右側的「偽裝QR Code」有10-20%的機率會連到「假」的網站──森井教授事先製作好的另一個網頁。

等到發現時就來不及了

森井教授繼續說到，一直要等到設計好的QR Code送印或對外發布之後，有使用者反應連到別人家網站去，這個時候發布者才會發現不對勁。然而，此時已經來不及回收這些發布出去的「偽裝QR Code」了。

使用者可能沒發現連錯網站

森井教授也說到，如果這些「偽裝QR Code」連結的錯誤網站，是有心人士特地仿造正常網頁設計出來的「假」網站，使用者很有可能完全不知道自己連錯網站了，或甚至遇上詐欺。

NHK則提到，如果是金融機構的網站遇上「偽裝QR Code」，問題就會變得更為嚴重。

在第三方支付條碼上貼上假的QR Code

NHK舉例道，在中國因為第三方支付很普及，買東西只要掃一下商品上的QR Code就可以付款。曾有不少案例是有心人士在真的QR Code上面貼上假的QR Code，有些消費者因此而受騙。

要慎選QR Code掃描器

雖然「偽裝QR Code」在本質上和這種「貼上去」的假QR Code在手法上不同，森井教授建議，大家在使用QR Code掃描APP的時候，不要選擇那種一掃到QR Code就會自動連到網站的APP。

在QR Code掃描APP讀取到條碼內容後，一定要自己先親眼確認一下跳出來的網址有沒有問題，再連到該網站是比較安全的作法。

森井教授也強調，QR Code最大的缺點就是一般人沒有辦法一看到QR Code的條碼，就能看出這個條碼裡面寫了什麼樣的資訊在裡頭。所以在連到QR Code存取的網站之前，一定要檢查過連結網址是否正確。

延伸閱讀：

本文授權轉載自：地球圖輯隊；作者時穿

如何讓跨國匯款像轉帳一樣簡便且安全？從用戶需求出發的改變

過去，講到跨境匯款，多數人的第一直覺是「麻煩」。除了可能需要有外幣帳戶、或事先約定帳號，或需要先完成換匯之外，還必須配合銀行營業時間，匯款完成後通常需要等待兩、三個工作天才能到帳，若碰上週末或假日，更可能因此錯過付款時機；另一方面，傳統 SWIFT 國際匯款還存在中間銀行扣費不透明的問題，匯出金額與收款金額經常出現落差，使用者不僅得反覆估算、多匯甚至補匯，有時還得多花時間跟收款方逐筆對帳，若遇上語言溝通障礙，將直接拉升處理難度，甚至因帳款不足或金額爭議，衍生交易取消、退匯等問題，不僅增加成本，也影響原本的留學繳費、交易或投資安排。

為了解決這些痛點，國泰世華銀行重新拆解整個跨境匯款流程，將產品設計回歸用戶需求，使用狀況獲得熱烈迴響：CUBE App 小額跨境匯款服務上線五個月，交易量即成長近五倍。用戶最直接感受到的改變是，整個跨境匯款流程變得更接近日常轉帳。第一，不需要預先開立外幣帳戶，也不用事先完成約定帳號，可直接透過台幣帳戶、以非約定轉帳方式完成跨境匯款；第二，服務支援 24 小時、全年無休，即使深夜或假日，也能快速完成交易。第三，用戶可透過 App 隨時掌握匯款進度，並在匯款過程中清楚看到收款方實際可收到的金額、確保全額到帳，不需要反覆確認款項流向，也降低了中間銀行扣費不透明造成的收款金額不足等困擾，讓繳交海外學費、支付旅遊費用、跨境購物或海外投資，都能更安心、更有效率。CUBE App 小額跨境匯款服務不僅是一項全新的金融服務，而是降低等待成本、操作成本與認知成本的跨境金流體驗，讓跨境金融服務真正融入日常生活。

跨境金流創新不僅滿足便利性，24 小時全天候服務仍兼顧安全性，把關風險

要將複雜的跨境金流流程轉化成 App 上的幾次點擊，背後是一場龐大的金融工程。

從市場研究、系統架構設計、產品規畫、開發測試到正式上線，國泰世華不僅攜手國際金融夥伴 VISA，更集結前、中、後台 IT、營運、作業、法遵、法務、風控、稽核、財會等十多個部門共同投入，重新設計外匯作業流程與營運模式，打造兼顧使用體驗、營運效率與風險控管的跨境金融服務。

舉例來說，傳統的銀行外匯服務並非為不間斷運作，為了提供 24 小時全天候服務，團隊努力突破既有作業限制、重新設計相關流程與系統機制，讓交易即使在非人工審核的時段，也能符合風險控管、洗錢防制（AML）及各項合規要求。同時，透過交易限額、多層 AML 機制、交易監控，以及與合作夥伴共同把關等設計，在便利性與安全性之間取得平衡。

除了營運流程，跨境金流還必須因應不同國家的法規與收款規則做調整，為此，國泰世華銀行重新調整系統架構與作業流程，降低使用者填寫匯款資料的門檻，服務上線後，亦持續優化操作介面與使用體驗。

例如，香港收款帳戶需分別填寫分行代碼與帳號，若格式錯誤便可能遭退匯；日本則因法規要求，首次跨境匯款前必須完成 eKYC 驗證，因此，團隊在系統介面加入對應提醒、欄位檢核與流程引導，有效降低因資料填寫錯誤造成的退匯情形，以及減少使用者的操作困擾。

服務推出後，國泰世華銀行觀察到：跨境金流逐漸從低頻金融交易轉變為數位生活的重要環節，應用情境也從支付海外留學費用、海外投資，延伸至跨境旅遊、跨境購物、國際活動報名等更多元的生活場景，因此，除了持續優化系統介面與服務功能，國泰世華也將目光延伸至整體跨境生活體驗，透過內外部資源協作，串聯更多元的跨境生活場景，讓金融服務從「完成一筆匯款」，進一步走向「滿足地球村生活圈需求」，以更便利、安全且貼近使用情境的服務，陪伴用戶自在連結全球，真正融入用戶的每日生活。