Quishing: QR Code Phishing
สแกนปุ๊บ เงินหายปั๊บ — SME ไทยป้องกันอย่างไร
ลองนึกภาพ: ลูกค้าเดินเข้าร้านอาหารของคุณ สั่งอาหารเสร็จแล้วสแกน QR Code บนโต๊ะเพื่อจ่ายเงินตามที่ทำเป็นประจำทุกวัน แต่ QR Code นั้นไม่ใช่ของร้านคุณอีกต่อไป — มีสติกเกอร์ QR ปลอมถูกแปะทับของจริงเอาไว้ตั้งแต่เมื่อคืน เงินที่ลูกค้าโอนไปจึงไม่เข้าบัญชีร้าน แต่วิ่งตรงเข้ากระเป๋าคนร้าย ลูกค้าเข้าใจว่าจ่ายเงินร้านคุณแล้ว ร้านคุณไม่ได้รับเงิน และคนที่ต้องรับผิดชอบอธิบายกับลูกค้าคือ คุณ
Quishing (QR Code Phishing) คือภัยไซเบอร์ที่กำลังเติบโตเร็วที่สุดตัวหนึ่งของปี 2026 และเป็นเรื่องใกล้ตัว SME ไทยมากเป็นพิเศษ เพราะประเทศไทยคือหนึ่งในประเทศที่ใช้ QR Payment (PromptPay) แพร่หลายที่สุดในโลก ร้านค้า ร้านอาหาร แผงลอย ไปจนถึงบริษัทขนาดกลาง แทบทุกที่มี QR Code ให้สแกนจ่ายเงิน — และนั่นคือสิ่งที่ทำให้กลายเป็นเป้าหมายที่มิจฉาชีพเลือกโจมตี
ตัวเลขที่ต้องรู้ก่อนอ่านต่อ
| ตัวเลข | ความหมาย | แหล่งที่มา |
|---|---|---|
| +146% | การโจมตีแบบ Quishing เพิ่มขึ้นใน Q1 2026 เทียบกับไตรมาสก่อนหน้า | QR TIGER (สำรวจผู้ใช้ 1,548 คน) |
| 18.7 ล้านเคส | จำนวนเหตุการณ์ Quishing ที่บันทึกได้ทั่วโลกในเดือนมีนาคม 2026 เดือนเดียว | QR TIGER |
| มากกว่า 1 ล้าน$/ครั้ง | ความเสียหายเฉลี่ยต่อธุรกิจที่ตกเป็นเหยื่อ Quishing | QR TIGER |
| 18% | สัดส่วนผู้ใช้ที่เคยตกเป็นเหยื่อ QR Code Scam มาแล้วอย่างน้อยครั้งหนึ่ง | QR TIGER |
| 44% | สัดส่วนผู้ใช้ที่ใช้ QR Code เพื่อชำระเงินเป็นประจำ | QR TIGER |
| 4 ใน 10 คน | ผู้ใช้ที่เริ่มลังเลจะสแกน QR Code เพราะกลัวโดนหลอก — กระทบความเชื่อมั่นร้านค้าโดยตรง | QR TIGER |
| หลายร้อยล้านบาท | มูลค่าความเสียหายจากคดีฉ้อโกงที่เกี่ยวข้องกับ QR Code ในไทยตลอดปี 2025 ตามรายงานของหน่วยงานปราบปรามอาชญากรรมไซเบอร์ไทย | Cyber Crime Investigation Bureau (CCIB) |
| 121,921 เคส / 7.48 พันล้านบาท | คดีอาชญากรรมออนไลน์ในไทย 120 วันแรกของปี 2569 (1 ม.ค.–30 เม.ย.) — QR Scam เป็นหนึ่งในรูปแบบที่รวมอยู่ในตัวเลขนี้ | ศูนย์ ACSC สำนักงานตำรวจแห่งชาติ |
Quishing คืออะไร? ทำไมอันตรายกว่า Phishing ทั่วไป
Quishing มาจากคำว่า QR + Phishing คือการใช้ QR Code เป็นช่องทางหลอกให้เหยื่อกดลิงก์อันตราย กรอกข้อมูล หรือโอนเงินผิดบัญชี หลักการเดียวกับ Phishing ทางอีเมลทุกประการ ต่างกันแค่ "พาหะ" ที่ใช้ส่งลิงก์
สิ่งที่ทำให้ Quishing อันตรายกว่า Phishing แบบเดิมคือ QR Code คือลิงก์ที่มองไม่เห็นจนกว่าจะสแกน อีเมล Phishing ยังพอสังเกตได้จาก URL แปลกๆ ที่โผล่มาให้เห็นก่อนคลิก แต่ QR Code ซ่อนปลายทางทั้งหมดไว้ในรูปแบบกราฟิกที่ตาเปล่าอ่านไม่ออก ต้องสแกนก่อนถึงจะรู้ว่าไปไหน — และหลายครั้งกว่าจะรู้ตัวก็สายเกินไปแล้ว
นอกจากนี้ QR Code ยังหลบเลี่ยงระบบป้องกันภัยหลายชั้นได้ง่ายกว่า เพราะระบบกรองอีเมล/กรองลิงก์ที่องค์กรใช้อยู่มักสแกนหาลิงก์อันตรายในรูปแบบข้อความ แต่ไม่ได้ถูกออกแบบมาให้ "อ่าน" ลิงก์ที่ซ่อนอยู่ในรูปภาพ QR Code
5 รูปแบบที่มิจฉาชีพใช้หลอกผ่าน QR Code
| รูปแบบ | วิธีการ | เป้าหมายที่เจอบ่อย |
|---|---|---|
| QR Overlay (สติกเกอร์ทับ) | แปะสติกเกอร์ QR ปลอมทับ QR จริงตามโต๊ะร้านอาหาร ป้ายจอดรถ เคาน์เตอร์ชำระเงิน | ร้านอาหาร ร้านค้าปลีก ที่จอดรถ |
| Fake Payment Request | ส่ง QR ปลอมผ่าน LINE/SMS อ้างว่าเป็นใบแจ้งหนี้หรือคำขอชำระเงินจากซัพพลายเออร์/ลูกค้า | ธุรกิจที่ติดต่องานผ่าน LINE เป็นหลัก |
| SMS/LINE Phishing | ส่งข้อความพร้อม QR อ้างเหตุด่วน เช่น "พัสดุตกค้าง" "บัญชีถูกระงับ" ให้สแกนเพื่อ "ยืนยันตัวตน" | พนักงานทั่วไป เจ้าของร้าน |
| Refund Reversal Scam | หลอกว่าโอนเงินผิดหรือขอคืนเงิน ให้เหยื่อสแกน QR เพื่อ "รับเงินคืน" ทั้งที่จริงคือการโอนเงินออก | ร้านค้าออนไลน์ ธุรกิจที่รับคืนสินค้าบ่อย |
| Fake Marketplace QR | ปลอม QR Code ของร้านค้าใน Marketplace เช่น Shopee, Lazada เพื่อหลอกให้จ่ายเงินนอกระบบแพลตฟอร์ม | ร้านค้าออนไลน์ที่ขายผ่าน Marketplace |
สัญญาณเตือนที่ต้องระวัง
- QR Code อยู่ในรูปแบบ สติกเกอร์แปะทับ ไม่ใช่ QR ที่พิมพ์ติดมากับป้ายหรือใบเสร็จโดยตรง
- ได้รับ QR Code แบบ ไม่คาดคิด ผ่าน LINE, SMS หรืออีเมล ทั้งที่ไม่ได้ติดต่อธุระอะไรอยู่
- ข้อความมาพร้อม ความเร่งด่วนผิดปกติ เช่น "ต้องยืนยันภายใน 1 ชั่วโมง" "บัญชีจะถูกระงับ"
- สแกนแล้วเจอ หน้าเว็บที่ขอข้อมูลอ่อนไหว เช่น OTP รหัสผ่าน หรือเลขบัตรเครดิต ทั้งที่ปกติร้านค้า/ธนาคารไม่เคยขอผ่านหน้าจ่ายเงิน
- ชื่อบัญชีปลายทางหลังสแกน ไม่ตรงกับชื่อร้าน/บริษัท ที่ควรจะเป็น
Checklist: ป้องกัน Quishing สำหรับร้านค้าและ SME
- ตรวจสอบ QR Code ที่ตั้งโชว์หน้าร้าน/บนโต๊ะทุกเช้าก่อนเปิดร้าน ว่ามีสติกเกอร์แปะทับหรือไม่
- ใช้ QR Code แบบพิมพ์ติดถาวรกับพื้นผิว (laminate) แทนสติกเกอร์ที่แกะออกง่าย
- เปิดการแจ้งเตือนทุกรายการรับเงินเข้าบัญชี เพื่อให้รู้ทันทีถ้ายอดขายกับยอดเงินเข้าไม่ตรงกัน
- สอนพนักงานหน้าร้าน/แคชเชียร์ให้สังเกต QR ที่ผิดปกติ และให้ลูกค้าตรวจชื่อบัญชีปลายทางก่อนกดยืนยันโอนทุกครั้ง
- ไม่ส่ง QR Code สำหรับชำระเงินผ่าน LINE/SMS โดยไม่มีการยืนยันตัวตนอีกช่องทาง (เช่น โทรกลับเบอร์ที่รู้จักอยู่แล้ว)
- ไม่แชร์ OTP หรือรหัสผ่านให้ใครทั้งสิ้น ไม่ว่าจะอ้างว่าเป็นธนาคารหรือหน่วยงานใด
- แจ้งลูกค้าผ่านช่องทางร้าน (เพจ/ป้ายหน้าร้าน) ว่าร้านมีบัญชีชื่ออะไร เพื่อให้ลูกค้าตรวจสอบก่อนโอนทุกครั้ง
- หากขายผ่าน Marketplace ให้ลูกค้าชำระเงินผ่านระบบของแพลตฟอร์มเท่านั้น ไม่รับ QR โอนตรงนอกระบบ
ถ้าโดน Quishing แล้ว ต้องทำอย่างไร
คำถามที่พบบ่อย
Q: ร้านเล็กๆ ที่ใช้แค่ QR PromptPay ธรรมดา จำเป็นต้องกังวลไหม?
A: ยิ่งต้องระวังมากกว่าเดิม เพราะร้านเล็กมักไม่มีกล้องวงจรปิดจับตา QR หน้าร้านตลอดเวลา และการตรวจสอบ QR ทุกเช้าใช้เวลาไม่ถึงนาที แต่ป้องกันความเสียหายที่อาจสูงถึงหลักหมื่นถึงหลักแสนบาทได้
Q: QR Code ที่ธนาคารออกให้ (Static QR ติดหน้าร้าน) ปลอดภัย 100% ไหม?
A: ตัว QR Code ที่ธนาคารออกให้ปลอดภัย แต่จุดอ่อนคือ สติกเกอร์ทับ ที่คนร้ายแปะขึ้นมาทีหลัง ไม่ใช่ตัวระบบ PromptPay มีปัญหา — จึงต้องตรวจสอบทางกายภาพเป็นหลัก
Q: แยกยังไงระหว่าง QR จริงกับ QR ปลอมด้วยตาเปล่า?
A: แยกด้วยตาเปล่าไม่ได้เลย เพราะหน้าตา QR Code เหมือนกันทั้งหมด วิธีเดียวที่ได้ผลคือตรวจสอบ ชื่อบัญชีปลายทาง ที่ขึ้นมาหลังสแกนทุกครั้งก่อนกดโอน
Q: ถ้าลูกค้าโอนเงินผิดเพราะ QR ปลอมของร้าน ร้านต้องรับผิดชอบไหม?
A: ในทางกฎหมายเงินที่หายไปเป็นความเสียหายของลูกค้าที่โอนผิดบัญชี แต่ในทางปฏิบัติร้านค้าที่ปล่อยให้เกิดเหตุการณ์นี้มักเสียชื่อเสียงและความเชื่อมั่นจากลูกค้าอย่างรุนแรง จึงควรป้องกันเชิงรุกไว้ก่อนดีที่สุด
สรุป 5 ข้อที่ต้องจำ
- Quishing โตเร็วมากเพิ่มขึ้น 146% ใน Q1 2026 เดียว และธุรกิจเสียหายเฉลี่ยกว่า 1 ล้านดอลลาร์ต่อครั้ง
- ไทยเสี่ยงเป็นพิเศษเพราะใช้ QR Payment แพร่หลายที่สุดในโลก ร้านค้าทุกขนาดคือเป้าหมาย
- QR Code คือลิงก์ที่มองไม่เห็นต้องสแกนก่อนถึงจะรู้ปลายทาง อันตรายกว่า Phishing แบบอีเมลทั่วไป
- ตรวจ QR หน้าร้านทุกเช้าเป็นวิธีป้องกันที่ง่ายและได้ผลที่สุดสำหรับร้านค้าที่ใช้ QR Code รับเงิน
- ตรวจชื่อบัญชีปลายทางทุกครั้งก่อนโอนทั้งร้านค้าและลูกค้า คือด่านป้องกันสุดท้ายที่สำคัญที่สุด
อยากรู้ว่าธุรกิจคุณมีจุดเสี่ยงจาก Social Engineering ตรงไหนบ้าง?
CyberAlpha ช่วยประเมินความเสี่ยงด้านความปลอดภัยไซเบอร์เบื้องต้นสำหรับ SME ไทย ครอบคลุมทั้งช่องทางการชำระเงิน อีเมล และพฤติกรรมพนักงาน
ขอคำปรึกษาฟรี ดูบทความอื่นๆบทความที่เกี่ยวข้อง
แหล่งอ้างอิง
- QR TIGER — Quishing Surges 146% in Q1 2026 as Attackers Hide Behind the Code
- Guardio — QR code scams (quishing) 2026: how to scan safely
- RiverHills Bank — QR Code Scams ("Quishing") - Think Before You Scan
- Lock.pub — PromptPay QR Code Scams in Thailand: How to Protect Your Business
- ศูนย์ปราบปรามอาชญากรรมทางเทคโนโลยีสารสนเทศ สำนักงานตำรวจแห่งชาติ (thaipoliceonline)