閱讀工具
日常防詐

資安文章 實務判讀

QR Code 安全:掃描前看情境,開啟後看網址

QR Code 本身只是資料入口;真正的風險在它帶你前往哪裡,以及接著要求你做什麼。

QR Code 很方便,也會把目的網址藏在圖案裡。掃描後先預覽連結,再決定要不要開啟,是最有效的一步。

01

先看 QR Code 出現在哪裡

公共場所的貼紙可能覆蓋原本標示;郵件附件與陌生訊息中的 QR Code,也可能繞過連結掃描。付款、登入與下載 App 的情境要特別謹慎。

02

開啟前確認完整網域

使用手機相機的預覽功能,檢查主網域是否正確。看到縮網址、拼字近似或不相關網域時先停止。

03

付款碼與登入碼要分清楚

  • 收款碼通常只包含收款資訊,不應要求重新登入網銀。
  • 登入用 QR Code 可能等同授權新裝置,不能傳給別人。
  • 活動報到碼可能含個人識別資訊,不要公開貼圖。
04

掃描後跳出下載或權限要求

不要安裝網頁要求的描述檔、未知 App 或瀏覽器擴充功能。若服務真的需要 App,應從官方商店自行搜尋。

05

管理者張貼 QR Code 時

同時印出簡短官方網址,讓使用者能交叉確認。定期巡查實體貼紙,並避免讓 QR Code 直接觸發高風險操作。

情境演練

情境判讀:把訊息與驗證來源分開

收到催促、優惠或帳號異常通知時,先完成兩個判讀點,再查看建議。

01訊息要求你立即登入處理,第一步是?
02畫面看起來很像官方網站,接著該確認?

完成兩個判讀點後,會顯示處理重點。

搜尋資安文章

假客服與詐騙簡訊:先停三十秒,再確認對方是誰XSS 跨站腳本攻擊:使用者怎麼辨識,網站維護者怎麼修QR Code 安全:掃描前看情境,開啟後看網址帳號疑似被盜:先保住信箱,再清理登入工作階段郵件收不到或被冒用?從 MX、SPF、DKIM 到 DMARC 的完整檢查瀏覽器擴充功能安全:安裝前看權限,更新後也要再看一次雲端連結分享:知道誰能看,也要知道連結會被轉傳CSP 怎麼設才嚴格又不把網站弄壞:從盤點、上線到驗證手機 App 權限:相機、麥克風與定位,只有需要時才開網購與付款安全:折扣可以等,付款網址要先確認Cookie 與登入工作階段安全:別讓一次登入變成長期通行證服務發生資料外洩後:密碼、工作階段與詐騙風險要一起處理CSRF 跨站請求偽造:為什麼已登入反而會成為攻擊條件網站檔案上傳安全:副檔名、MIME 與圖片壓縮都不夠權限控制與 IDOR:網址換一個編號,不該看到別人的資料網站供應鏈安全:套件、CDN 與建置流程都可能成為入口網域與 DNS 接管防護:別讓過期帳號與懸空 CNAME 接手品牌Service Worker 與快取安全:離線功能不能把舊版永久留在使用者裝置網站安全日誌與監控:記得夠用,但不要把密碼和 Token 也記進去發現網站漏洞怎麼回報:讓使用者、研究者與維護者都能安全處理網站被掛馬怎麼辦:先隔離、保存證據,再確認入口網站維護檢查表:內容、主機、安全與搜尋的固定週期網站備份為什麼重要:備份檔存在,不等於能成功還原SSL 憑證是什麼:理解網域驗證、有效期限與錯誤原因資安事件回報流程:先保留證據,再降低影響公共 Wi-Fi 風險:加密連線之外,還要注意假熱點與裝置共享網路釣魚辨識:不要只看網址長得像不像密碼管理器怎麼用:從唯一密碼到安全復原DNS 基礎:網站換主機時,真正改變的是解析路徑2FA 備援碼保存方式:避免手機遺失後連復原管道也一起消失雙重驗證 2FA:把第二道防線設計成可復原社交工程防護:先辨識情緒,再驗證來源Self-XSS 防護:不要把陌生程式碼貼進瀏覽器主控台