QR Code 釣魚攻擊三個徵兆，企業用戶應提高警覺

範例 3：Office 檔案中藏有惡意的二維碼

一個帶有惡意 QR 碼的 Office 檔案，在原始郵件中，內文沒有任何資訊，僅夾帶一個 docx 檔，攻擊者將所有的資訊轉移到 Word 檔中，企圖以這種方式繞過郵件防護系統的檢查機制(如圖6)。而在 Office 檔中則以兌換禮物的名義，誘導收件人掃描 QR Code，若使用者掃描之後，就會跳轉到釣魚頁面，使用者的財務相關資訊可能就會被竊取。此外，資安研究人員還發現，有些釣魚信件會將所有的文字內容轉為圖片，以規避垃圾信過濾引擎對郵件內文進行規則比對，這也提升了攔截的複雜度。

使用者的資安意識，避免 QR Code 釣魚信詐騙

為了避免遭受二維碼釣魚攻擊，首先要建立正確的資安觀念，Openfind電子郵件防詐騙智慧分析中心資安研究人員列出以下幾個重點提供企業作為參考：

•    掃描 QR 碼後，先用預覽功能檢查 URL 是否正確，因為釣魚 URL 可能與正確的 URL 非常相似。

•    經由二維碼連到的網站，若要求輸入個人帳密或財務資訊時要格外注意。

•    請勿透過掃碼的方式下載 App 應用程式，若要下載 App，請從應用程式商店下載以確保安全。

•    收到帶有電子支付方式的郵件時，若有任何疑慮，請主動聯繫商家並核對資訊。

企業單位除了強化使用者的資安意識外，企業系統安全的提升也是重要不可或缺的一環，防範釣魚信件詐騙，除了郵件系統的安全功能檢視外，對於郵件閘道防護的機制同為重要。後面接續介紹QR Code 釣魚信防護流程。