QR code ปลอม: สแกนจ่ายเงินผิดบัญชี QR ติดทับหน้าร้าน และ QR ในอีเมลหรือจดหมาย วิธีตรวจก่อนสแกน
คำตอบสั้น: QR code ปลอมไม่ได้อันตรายเพราะตัว QR แต่เพราะมัน ซ่อนปลายทาง ไว้ เราไม่รู้ว่าสแกนแล้วจะไปที่บัญชีไหนหรือเว็บไหนจนกว่าจะสแกน หลักป้องกันมีสามข้อ: ก่อนกดยืนยันจ่าย ให้อ่านชื่อผู้รับและจำนวนเงินในแอปธนาคารทุกครั้ง, การรับเงินไม่ต้องสแกน QR, และ QR ที่พาไปเว็บ ให้ดูชื่อเว็บก่อนเปิด และไม่กรอกรหัสหรือติดตั้งแอปจากหน้านั้น
QR code ทำงานอย่างไร และทำไมถูกใช้หลอก
QR code คือการเก็บข้อความไว้ในรูปตาราง ข้อความนั้นอาจเป็นข้อมูลการชำระเงิน เช่น บัญชีผู้รับและจำนวนเงิน หรืออาจเป็นลิงก์เว็บไซต์ หรือคำสั่งเพิ่มเพื่อนในแอปแชท เมื่อสแกน มือถือจะอ่านข้อความแล้วทำตาม สิ่งที่คนทั่วไปมองไม่เห็นคือ ข้อความข้างใน QR สองอันที่หน้าตาคล้ายกันอาจพาไปคนละที่โดยสิ้นเชิง
มิจฉาชีพใช้จุดนี้ในสามลักษณะหลัก คือ เปลี่ยนปลายทางการจ่ายเงินให้เข้าบัญชีตัวเอง หลอกว่าการสแกนคือการรับเงินทั้งที่เป็นการจ่ายเงิน และใช้ QR เป็นทางลัดพาเหยื่อไปหน้าเว็บปลอมหรือหน้าให้ติดตั้งแอป
แบบที่ 1: QR "รับเงินคืน" ที่จริงคือการโอนออก
รูปแบบนี้ธนาคารและสื่อหลายแห่งออกมาเตือน ลำดับเหตุการณ์ที่มักเจอ (บทพูดเรียบเรียงใหม่โดยเรา)
- มีสายหรือ SMS อ้างเป็นหน่วยงานหรือร้านค้าที่เราเคยใช้บริการ เช่น "ท่านได้รับเงินคืนค่าประกัน" หรือ "สินค้าที่ท่านสั่งเป็นล็อตที่มีปัญหา ร้านจะคืนเงินเต็มจำนวน"
- ขอให้เพิ่มเพื่อนในแอปแชท บางครั้งรู้ชื่อ เบอร์ หรือรายการที่เราซื้อจริง ทำให้ดูน่าเชื่อ
- ส่ง QR มาให้ พร้อมโลโก้ของหน่วยงานที่แอบอ้าง แล้วบอกว่า "สแกนเพื่อรับเงิน ใส่จำนวนเงินตามยอดที่ปรากฏ"
- เมื่อแอปธนาคารขึ้นหน้ายืนยันการโอน มิจฉาชีพบอกว่า "กดยืนยันค้างไว้ ระบบจะเปลี่ยนเป็นใบรับเงินเอง"
- เงินถูกโอนออก บางกรณีที่มีการเตือนคือปลายทางเป็นบัญชีต่างประเทศ และหน้าจอแสดงสกุลเงินอื่น
สิ่งที่ต้องจำ: ถ้าคนอื่นจะโอนเงินให้เรา เขาแค่ต้องรู้เลขบัญชีหรือพร้อมเพย์ของเรา เราไม่ต้องสแกน ไม่ต้องใส่จำนวนเงิน และไม่ต้องกดยืนยันอะไร ทุกครั้งที่แอปธนาคารของเราขึ้นหน้ายืนยัน คือเงินกำลังจะออกจากบัญชีเรา ถ้าหน้าจอแสดงสกุลเงินต่างประเทศ หรือชื่อผู้รับไม่ใช่หน่วยงานที่อ้าง ให้หยุดทันที
แบบที่ 2: QR หน้าร้าน ที่จอดรถ หรือตู้บริการ ถูกติดทับ
อีกรูปแบบหนึ่งคือการเอาสติกเกอร์ QR ของตัวเองไปแปะทับป้าย QR ของร้านค้า ร้านอาหาร ที่จอดรถ ตู้บริการ หรือป้ายรับบริจาค ลูกค้าที่สแกนจ่ายจะโอนเงินเข้าบัญชีอื่นโดยไม่รู้ตัว ร้านไม่ได้เงิน และลูกค้าก็เสียเงิน
วิธีตรวจก่อนจ่าย:
- อ่านชื่อผู้รับในแอปธนาคารทุกครั้ง ก่อนกดยืนยัน แอปธนาคารจะแสดงชื่อบัญชีปลายทาง ให้ดูว่าตรงกับชื่อร้าน ชื่อบริษัท หรือชื่อเจ้าของร้านที่บอกไว้หรือไม่ ถ้าเป็นชื่อบุคคลที่ไม่เกี่ยวข้อง ให้ถามพนักงานก่อน
- ดูตัวป้าย: สติกเกอร์ที่ซ้อนเป็นสองชั้น ขอบไม่เรียบ สีใหม่กว่าป้ายรอบข้าง หรือติดเอียงไม่เข้ากับกรอบ เป็นสัญญาณให้ถาม
- ถามว่า QR อยู่ตรงไหน: ร้านจำนวนมากมี QR ที่เครื่องคิดเงินหรือให้พนักงานยื่นให้ ถ้าเห็น QR อยู่ในจุดที่คนนอกเข้าถึงง่าย เช่น ประตูหรือเสาด้านนอก ให้ระวังกว่าปกติ
- ตู้และที่จอดรถ: ถ้ามีแอปหรือเว็บไซต์ทางการของผู้ให้บริการ ให้จ่ายผ่านช่องทางนั้นแทนการสแกนป้ายที่ติดอยู่กับเสา
- QR ที่ไม่ได้พาไปจ่ายเงิน แต่พาไปเว็บ: ป้ายจ่ายเงินที่ถูกต้องควรเปิดหน้าจ่ายเงินในแอปธนาคาร ถ้าสแกนแล้วกลายเป็นหน้าเว็บที่ให้กรอกเลขบัตรหรือข้อมูลส่วนตัว ให้ปิดทันที
สำหรับเจ้าของร้าน: ตรวจป้าย QR ของร้านทุกวันตอนเปิดร้าน ใช้ป้ายที่เคลือบหรืออยู่ในกรอบที่แกะยาก วางไว้ในจุดที่พนักงานมองเห็น ใช้การแจ้งเตือนเงินเข้าทุกครั้งที่ลูกค้าจ่าย และบอกลูกค้าว่าชื่อบัญชีที่ถูกต้องของร้านคืออะไร เช่น เขียนชื่อบัญชีไว้ใต้ QR
แบบที่ 3: QR ในอีเมล จดหมาย และเอกสาร
QR ไม่ได้มาเฉพาะในร้าน แต่มาในอีเมล จดหมายที่ส่งถึงบ้าน ใบปลิว หรือไฟล์ PDF ด้วย รูปแบบที่ควรระวัง เช่น
- อีเมลแจ้งว่ารหัสผ่านหมดอายุ หรือมีเอกสารรอเซ็น ให้สแกน QR เพื่อเข้าสู่ระบบ ซึ่งพาไปหน้าเข้าสู่ระบบปลอมที่เก็บรหัสผ่าน รูปแบบนี้เลือกใช้ QR เพราะเป็นรูปภาพ ระบบกรองอีเมลบางแห่งอ่านลิงก์ในรูปได้ยากกว่าลิงก์ที่เป็นข้อความ และคนมักสแกนด้วยมือถือซึ่งมีการป้องกันน้อยกว่าคอมพิวเตอร์ที่ทำงาน
- จดหมายหรือใบแจ้งที่อ้างเป็นค่าปรับ ค่าบริการค้างชำระ หรือพัสดุ พร้อม QR ให้จ่ายเงินหรือให้ "ตรวจสอบสถานะ"
- ใบปลิวแจกสิทธิ์ ส่วนลด หรือของรางวัล ให้สแกนเพิ่มเพื่อนในแชท แล้วจึงชักชวนต่อไปเรื่องลงทุน งานเสริม หรือให้ติดตั้งแอป
- QR ที่ส่งมาในแชท จากคนที่เพิ่งรู้จัก หรือบัญชีเพื่อนที่อาจถูกแฮก ให้สแกนเพื่อ "ยืนยันตัวตน" หรือ "ช่วยรับรหัส"
มีข้อเท็จจริงหนึ่งที่ช่วยคัดกรองได้มาก ตามมาตรการจัดการภัยทุจริตทางการเงินของธนาคารแห่งประเทศไทย สถาบันการเงินต้องงดส่งลิงก์ทุกประเภทผ่าน SMS และอีเมล และไม่ขอข้อมูลสำคัญ เช่น ชื่อผู้ใช้ รหัสผ่าน หรือเลขบัตรประชาชน ผ่านช่องทางโซเชียล ข้อความที่อ้างเป็นธนาคารแล้วพาไปที่ลิงก์หรือ QR จึงควรถือว่าน่าสงสัย อ่านเพิ่มที่SMS ปลอมอ้างธนาคาร
สำหรับจดหมายหรือใบแจ้งค่าบริการ ให้ตรวจสอบด้วยการติดต่อหน่วยงานผ่านเบอร์หรือเว็บไซต์ที่เราหาเอง ไม่ใช่ข้อมูลติดต่อที่พิมพ์อยู่ในจดหมายฉบับนั้น
แบบที่ 4: QR "เพิ่มเพื่อน" และ QR ที่พาไปติดตั้งแอป
QR บางอันไม่ได้เกี่ยวกับเงินโดยตรงในตอนแรก แต่เป็นประตูไปสู่ขั้นต่อไป เช่น
- QR เพิ่มเพื่อนในแอปแชท: ติดอยู่บนใบปลิวแจกของ ป้ายรับสมัครงาน หรือโพสต์ "ลงทะเบียนรับสิทธิ์" เมื่อเพิ่มเพื่อนแล้ว บัญชีนั้นจะเริ่มส่งข้อความชวนทำงานออนไลน์ ชวนลงทุน หรือส่งลิงก์ให้ยืนยันตัวตน บัญชีทางการของหน่วยงานหรือแบรนด์มักมีสัญลักษณ์ยืนยัน แต่ชื่อและรูปโปรไฟล์ลอกเลียนกันได้ง่าย
- QR ที่ดาวน์โหลดไฟล์ติดตั้งแอปโดยตรง: บน Android ไฟล์ที่ลงท้ายด้วย .apk คือไฟล์ติดตั้งแอปนอกร้านค้าแอป ถ้า QR พาไปดาวน์โหลดไฟล์แบบนี้ ให้หยุดทันที แอปปลอมหลายแบบขอสิทธิ์อ่านหน้าจอหรือควบคุมเครื่อง ซึ่งทำให้มิจฉาชีพเห็นสิ่งที่เราพิมพ์และกดแทนเราได้
- QR บนกล่องพัสดุหรือของที่ไม่ได้สั่ง: มีพัสดุมาถึงพร้อมการ์ดให้สแกนเพื่อ "ยืนยันการรับ" หรือ "รีวิวรับของรางวัล" ถ้าเราไม่ได้สั่ง ไม่ต้องสแกน
- QR สำหรับ Wi-Fi ฟรีในที่สาธารณะ: ถ้าเชื่อมแล้วมีหน้าให้กรอกเบอร์โทรพร้อม OTP หรือข้อมูลบัญชีโซเชียล ให้คิดก่อนว่าคุ้มหรือไม่ และห้ามกรอกรหัสผ่านของบัญชีหลัก
หลักการเดียวกันใช้ได้ทุกแบบ: QR เป็นแค่ลิงก์ที่มองไม่เห็น ถ้าเป็นลิงก์ที่เราจะไม่กดเมื่อได้รับทาง SMS เราก็ไม่ควรสแกนเมื่อเห็นเป็น QR
เช็กลิสต์ 30 วินาที ก่อนสแกนและก่อนกดยืนยัน
ก่อนสแกน
1. QR นี้มาจากไหน ฉันขอเอง หรือมีคนส่งมาให้
2. ถ้ามีคนบอกว่าสแกนเพื่อรับเงิน ให้หยุด การรับเงินไม่ต้องสแกน
3. ป้าย QR มีร่องรอยติดทับไหม
หลังสแกน ก่อนกดยืนยัน
4. ชื่อผู้รับตรงกับร้าน บริษัท หรือคนที่ตั้งใจจ่ายไหม
5. จำนวนเงินและสกุลเงินถูกต้องไหม
6. ถ้าเป็นหน้าเว็บ ชื่อเว็บสะกดถูกไหม หน้านี้ขอรหัสผ่าน เลขบัตร OTP หรือให้ติดตั้งแอปไหม ถ้าใช่ ให้ปิด
7. มีใครกำลังเร่งหรือบอกให้กดค้างไว้ไหม ถ้ามี ให้หยุดและวางสาย
เคล็ดลับเพิ่มเติม: แอปกล้องในมือถือส่วนใหญ่จะแสดงลิงก์ให้เห็นก่อนเปิด ให้อ่านชื่อเว็บก่อนแตะ ถ้าใช้สแกนเนอร์ในแอปธนาคารสแกน QR ที่ไม่ใช่ QR ชำระเงิน แอปบางแห่งจะไม่ยอมเปิด ซึ่งเป็นตัวกรองชั้นหนึ่ง
อีกนิสัยที่ช่วยได้มากคือ เปิดการแจ้งเตือนทุกรายการเงินออก ในแอปธนาคาร ถ้ามีรายการที่เราไม่ได้ตั้งใจ จะรู้ได้ทันทีและติดต่อธนาคารได้เร็วขึ้น
สแกนไปแล้ว ทำอะไรตามสถานการณ์
- สแกนแล้ว ยังไม่กดยืนยัน: ยกเลิกรายการในแอป ปิดแอป ไม่มีเงินออกถ้ายังไม่ยืนยัน
- เปิดเว็บแล้ว แต่ไม่ได้กรอกอะไร: ปิดหน้าเว็บ ล้างแท็บ ความเสี่ยงต่ำ แต่ระวังข้อความที่ตามมา
- กรอกรหัสผ่านอีเมลหรือบัญชีโซเชียลไปแล้ว: เปลี่ยนรหัสผ่านทันทีจากแอปหรือเว็บไซต์ทางการ เปิดการยืนยันตัวตนสองขั้น และออกจากระบบในอุปกรณ์อื่นทั้งหมด
- กรอกข้อมูลบัตรหรือข้อมูลธนาคาร: โทรธนาคารผ่านเบอร์หลังบัตรหรือเว็บไซต์ทางการ ขออายัดบัตรและตรวจรายการ
- ติดตั้งแอปตามที่ QR พาไป: ปิดอินเทอร์เน็ตหรือเปิดโหมดเครื่องบิน แจ้งธนาคาร ถอนแอปนั้น และถ้าแอปขอสิทธิ์ควบคุมเครื่อง ให้พิจารณารีเซ็ตเครื่องก่อนใช้แอปธนาคารอีกครั้ง
- โอนเงินไปแล้ว: ติดต่อธนาคารทันที แล้วโทร 1441 ศูนย์ AOC ซึ่งให้บริการ 24 ชั่วโมง เพื่อประสานระงับและอายัดบัญชีปลายทาง แล้วแจ้งความออนไลน์ที่ thaipoliceonline.go.th ทำตามเช็กลิสต์โดนหลอกโอนเงิน
ถ้ามีเบอร์โทรที่เกี่ยวข้อง เช่น เบอร์ที่โทรมาให้สแกน ให้รายงานเบอร์เพื่อเตือนคนอื่น และเช็คเบอร์ก่อนรับสายครั้งต่อไป
สอนผู้สูงอายุและเด็กในบ้านให้ใช้ QR ปลอดภัย
- ใช้ประโยคเดียวให้จำ: "สแกนแล้วต้องอ่านชื่อก่อนกด" ฝึกด้วยการจ่ายเงินร้านประจำแล้วให้อ่านชื่อผู้รับออกเสียง
- บอกว่า "ใครให้สแกนเพื่อรับเงิน คนนั้นหลอก" ไม่มีข้อยกเว้น
- สำหรับเด็กที่ซื้อของในเกมหรือออนไลน์ ให้ใช้วิธีที่ผู้ปกครองอนุมัติ ไม่สแกน QR ที่คนในแชทส่งมา
- ดูวิธีคุยกับพ่อแม่และกฎติดตู้เย็นได้ที่คู่มือสอนพ่อแม่รับมือมิจฉาชีพ
หมายเหตุ: ข้อมูลนี้เป็นคำแนะนำทั่วไป ไม่ใช่คำปรึกษาทางกฎหมายหรือการเงิน หน้าจอและฟีเจอร์ของแอปธนาคารแต่ละแห่งแตกต่างกัน การขอระงับรายการและการคืนเงินขึ้นกับธนาคารและผลการตรวจสอบ โปรดติดต่อธนาคารของคุณโดยตรง
คำถามที่พบบ่อย
สแกน QR เพื่อรับเงินได้ไหม
การรับเงินไม่จำเป็นต้องสแกน QR หรือกดยืนยันรายการใดๆ ถ้ามีคนบอกให้สแกน QR เพื่อรับเงินคืนหรือรับรางวัล ให้สงสัยไว้ก่อนว่าเป็นการหลอกให้โอนเงินออก
จะรู้ได้อย่างไรว่า QR หน้าร้านถูกติดทับ
ดูว่าสติกเกอร์มีขอบนูน ซ้อนกันสองชั้น หรือดูใหม่ผิดกับป้ายเดิมไหม และสำคัญที่สุดคือดูชื่อผู้รับเงินในแอปธนาคารก่อนกดยืนยันว่าตรงกับชื่อร้านหรือเจ้าของร้าน ถ้าไม่แน่ใจให้ถามพนักงาน
QR ในอีเมลหรือจดหมายอันตรายอย่างไร
QR อาจพาไปหน้าเว็บปลอมที่ขอรหัสผ่านหรือข้อมูลบัตร หรือหน้าให้ดาวน์โหลดแอป เพราะเป็นภาพ ระบบกรองอีเมลบางแห่งจึงตรวจลิงก์ข้างในได้ยากกว่าลิงก์ปกติ
สแกน QR แล้วยังไม่ได้กดยืนยัน เสียเงินไหม
ถ้าเป็น QR ชำระเงินและยังไม่ได้กดยืนยันในแอปธนาคาร โดยทั่วไปเงินยังไม่ออก ให้ยกเลิกรายการ แต่ถ้า QR พาไปเว็บแล้วกรอกข้อมูลหรือติดตั้งแอปไปแล้ว ให้ถือว่าข้อมูลอาจรั่วและติดต่อธนาคาร
ธนาคารส่ง QR หรือลิงก์มาทาง SMS หรืออีเมลไหม
ตามมาตรการของธนาคารแห่งประเทศไทย สถาบันการเงินต้องงดส่งลิงก์ทุกประเภทผ่าน SMS และอีเมล ข้อความที่อ้างเป็นธนาคารแล้วแนบลิงก์หรือพาไปสแกน QR จึงควรสงสัยไว้ก่อน
อ่านต่อ: โดนโกงซื้อของออนไลน์ ตั๋วปลอม มัดจำที่พัก · SMS ปลอมอ้างธนาคาร · SMS พัสดุปลอม · คู่มือสอนพ่อแม่รับมือมิจฉาชีพ · โดนหลอกโอนเงิน ต้องทำอะไร