เงิน · เริ่มต้น · ประมาณ 7 นาที
สแกนแล้ว อ่านชื่อผู้รับก่อนกดยืนยัน
QR เองไม่อันตราย อันตรายอยู่ที่ปลายทาง สติกเกอร์แปะทับ QR ในอีเมล และ QR "รับเงินคืน" ล้วนพาเงินหรือรหัสของคุณไปหาคนโกง
สรุปสั้น
สรุปใน 3 บรรทัด
- คนโกงแทนที่ QR ของจริงด้วย QR ของตัวเอง ทั้งแบบสติกเกอร์แปะทับที่ร้านหรือจุดจอดรถ และแบบส่งมาทางอีเมลหรือข้อความ เพื่อเปลี่ยนเส้นทางเงินหรือพาไปเว็บปลอม [2][1][3]
- ก่อนกดยืนยันจ่ายเงิน ให้อ่านชื่อผู้รับและยอดเงินทุกครั้ง ถ้าจ่ายให้ร้านหรือหน่วยงานแต่ชื่อที่ขึ้นเป็นบุคคล ให้ยกเลิกและตรวจสอบก่อน [4][5][6]
- การรับเงินไม่ต้องสแกน QR ใส่รหัส หรือสแกนหน้า ขั้นตอนเหล่านั้นคือการจ่ายเงิน QR "รับเงินคืน" จึงเป็นของปลอมเสมอ [5][8]
ทำสิ่งนี้ตอนนี้
1 ลองคิด
สแกน QR ที่ร้านกาแฟเพื่อจ่าย 85 บาท แอปธนาคารขึ้นชื่อผู้รับว่า นาย ก. สมมติ ยอด 85.00 บาท ยอดถูก ก็กดยืนยันได้ใช่ไหม
ยังไม่ได้ ยอดถูกไม่ได้แปลว่าปลายทางถูก ชื่อผู้รับควรเป็นชื่อร้าน ถ้าเป็นชื่อบุคคล ให้ยกเลิกแล้วถามร้านก่อน
ไม่ต้องตอบใคร แค่ตอบในใจ แล้วอ่านต่อ
2 ดูสัญญาณ
เรื่องนี้เกิดขึ้นอย่างไร
QR code คือภาพที่ซ่อนข้อมูลไว้ อาจเป็นคำสั่งจ่ายเงินหรือที่อยู่เว็บก็ได้ ตัว QR เองไม่ใช่สิ่งอันตราย ความเสี่ยงอยู่ที่ "ปลายทาง" ซึ่งคุณมองไม่เห็นก่อนสแกน FBI อธิบายว่าคนโกงแทนที่ QR ของจริงด้วย QR ของตัวเอง ทั้งแบบดิจิทัลและแบบกายภาพ เพื่อพาไปเว็บปลอมที่ขอข้อมูลล็อกอินหรือการเงิน ฝังโปรแกรมอันตราย หรือเปลี่ยนเส้นทางเงินที่คุณโอน [2] ThaiCERT ใช้คำว่า quishing และชี้จุดอ่อนไว้ตรงที่ QR ไม่แสดง URL ปลายทางก่อนสแกน [3]
ในไทยรูปแบบที่ศูนย์ต่อต้านข่าวปลอมเตือนล่าสุดคือ QR ร้านค้าปลอม คนโกงเอาสติกเกอร์ QR แปะทับ QR รับเงินของร้าน ลูกค้าสแกนแล้วเงินเข้าบัญชีคนโกง ทั้งลูกค้าและร้านไม่รู้จนภายหลัง [6] อีกแบบคือ QR "รับเงินคืน" หรือ "รับรางวัล" ที่จริงเป็น QR เรียกเก็บเงิน คนที่สแกน ใส่รหัส และยืนยันคือตัวคุณเอง เงินจึงออกจากบัญชีทันที [5][4] และแบบที่สามคือ QR ในอีเมล ข้อความ โปสเตอร์ หรือพัสดุที่ไม่ได้สั่ง ซึ่งพาไปเว็บธนาคารหรือหน่วยงานปลอมที่ขอรหัสผ่าน เลขบัตรประชาชน หรือให้ดาวน์โหลดแอป [5][3][12]
ลองนึกภาพว่า QR คือซองจดหมายที่ปิดผนึก คุณไม่รู้ว่าข้างในเขียนถึงใครจนกว่าจะเปิด แต่โชคดีที่แอปธนาคารเปิดซองให้คุณดูก่อนส่งเสมอ หน้ายืนยันที่แสดง "ชื่อผู้รับ" และ "ยอดเงิน" ก็คือการเปิดซองนั้น คนโกงพึ่งพาแค่อย่างเดียว คือคุณจะดูยอดแล้วกดผ่านโดยไม่อ่านชื่อ
มาตรฐาน Thai QR ของ ธปท. ทำให้ร้านค้ารับเงินจากแอปธนาคารใดก็ได้ และ ธปท. ย้ำว่าผู้จ่ายควรตรวจยอดเงินและชื่อผู้รับก่อนยืนยันทุกครั้ง ส่วนร้านค้าควรตรวจว่า QR ของตนถูกต้อง [7] ทุกธนาคารต้องให้ผู้โอนใส่รหัสและยืนยันรายการก่อนโอน และปัญหาส่วนใหญ่ที่ผ่านมาเกิดจากการหลอกลวงโดยคน ไม่ใช่ระบบ [8] ด่านสุดท้ายจึงคือสายตาของคุณ
เส้นทางการหลอก ทีละขั้น
-
เมื่อกดยืนยันหรือกรอกรหัสแล้ว เงินถูกโอนต่อผ่านบัญชีม้าภายในไม่กี่นาที ธปท. พบว่าครึ่งหนึ่งของความเสียหายถูกโอนออกภายใน 3 นาที [13]
ใช้ปุ่มลูกศรซ้าย/ขวา หรือกดแต่ละขั้นเพื่อดูรายละเอียด
สัญญาณเตือน
- QR เป็นสติกเกอร์แปะทับ ขอบไม่เรียบ หรือต่างจากป้ายเดิมของร้าน [2][3][6]
- ชื่อผู้รับที่แอปแสดงไม่ตรงกับร้านหรือหน่วยงาน หรือยอดเงินไม่ตรงกับที่ตกลง [4][5][6]
- สแกนแล้วถูกพาไปเว็บไซต์ แทนที่จะเป็นหน้าชำระเงินในแอปธนาคาร และเว็บนั้นขอรหัสหรือให้โหลดไฟล์ [5][2]
- URL ปลายทางสะกดคล้ายของจริง ใช้ตัวย่อ หรือเป็นโดเมนแปลก [1][3]
- QR มาจากอีเมล ข้อความ หรือพัสดุที่ไม่ได้ร้องขอ พร้อมเหตุผลเร่งด่วน เช่น พัสดุส่งไม่สำเร็จหรือบัญชีมีปัญหา [1][10][12]
- อ้างว่า "จ่ายได้ทาง QR นี้เท่านั้น" [2]
- ให้สแกน QR ใส่รหัส หรือสแกนหน้า เพื่อ "รับ" เงิน [5][8]
สัญญาณที่ชัดที่สุดคือชื่อผู้รับไม่ตรงกับคนที่คุณตั้งใจจ่าย ถ้าเห็นแบบนี้ ไม่ต้องหาเหตุผลอื่น กดยกเลิก
ของจริง หรือของปลอม
อ่านตัวอย่างแล้วตัดสินใจก่อน จากนั้นกดเปิดเฉลย
ตัวอย่างเพื่อการศึกษา — ชื่อบุคคล หน่วยงาน เบอร์ และโดเมนในตัวอย่างเป็นชื่อสมมติ
อีเมลใบแจ้งหนี้ค่าน้ำพร้อม QR
จาก: billing@metro-water-th.example
ค่าน้ำประปาค้างชำระ 312 บาท จะถูกตัดน้ำภายใน 24 ชม.
เรียนผู้ใช้น้ำ เพื่อความสะดวก สแกน QR ด้านล่างเพื่อชำระทันที (ชำระได้ทาง QR นี้เท่านั้น) หากไม่ชำระภายใน 24 ชั่วโมง ระบบจะระงับการจ่ายน้ำโดยอัตโนมัติ
สแกนแล้วเปิด https://metro-water-pay.example/login ขอชื่อผู้ใช้และรหัสผ่านแอปธนาคาร
ปลอม
- QR ที่มากับอีเมลที่ไม่ได้ร้องขอ บวกเร่งรัด 24 ชั่วโมง และ "จ่ายได้ทางนี้เท่านั้น" คือสามสัญญาณที่ FTC FBI และ NCSC เตือนตรงกัน [1][2][10]
- สแกนแล้วพาไปเว็บ ไม่ใช่หน้าชำระเงินในแอปธนาคาร และยังขอรหัสผ่านธนาคาร ให้ยกเลิกทันที [5][2]
- ทางที่ถูกคือเข้าแอปหรือเว็บของผู้ให้บริการน้ำเอง หรือโทรเบอร์ทางการเพื่อตรวจยอด [1][2]
แชทจากร้านให้สแกน QR รับเงินคืน
SmileGadget Store: สินค้าที่คุณสั่งหมดสต็อกค่ะ เราจะคืนเงิน 1,290 บาท รบกวนสแกน QR นี้ด้วยแอปธนาคาร ใส่รหัสและสแกนหน้ายืนยัน เงินจะเข้าบัญชีภายใน 5 นาทีค่ะ
ป้ายรับเงินหน้าร้านกาแฟ
ป้ายอะคริลิกของร้าน พิมพ์ QR พร้อมข้อความใต้ภาพว่า ชื่อบัญชี ร้านกาแฟบ้านสวนสมมติ สแกนแล้วแอปธนาคารแสดง ผู้รับ ร้านกาแฟบ้านสวนสมมติ ยอด 85.00 บาท
ของจริง (หรือทำแบบนี้ได้)
3 ลองเลือก
สถานการณ์จำลอง QR รับเงินคืนจากร้านออนไลน์
ตัวอย่างเพื่อการศึกษา — ชื่อบุคคล หน่วยงาน เบอร์ และโดเมนในตัวอย่างเป็นชื่อสมมติ
คุณสั่งหูฟังราคา 1,290 บาทจากร้านในโซเชียลเมื่อวาน วันนี้ร้านทักมาใน LINE ลองเลือกว่าคุณจะทำอะไร ชื่อร้าน บุคคล และเว็บในนี้เป็นเรื่องสมมติทั้งหมด
SmileGadget Store (ร้านค้าออนไลน์)
แชทเข้า
ลองตอบ
4 วิธีรับมือ
วิธีป้องกัน
ตอนจ่ายเงิน สแกนจากในแอปธนาคารเท่านั้น และอ่านชื่อผู้รับกับยอดเงินก่อนกดยืนยันทุกครั้ง ทั้งก่อนและหลังสแกน ถ้าเป็นชื่อบุคคลทั้งที่จ่ายให้ร้านหรือหน่วยงาน ให้ยกเลิกและถามร้าน [4][5][6][7] ถ้าสแกนแล้วถูกพาไปเว็บอื่นแทนหน้าชำระเงิน ให้ยกเลิกทันที และไม่กรอกเลขบัตรประชาชน วันเกิด เลขบัญชี หรือรหัสผ่านในฟอร์มที่เข้าถึงผ่าน QR [5]
ตอนเจอ QR แบบลิงก์ ดูตัวอย่าง URL ที่กล้องหรือแอปแสดงก่อนเปิด แล้วเทียบกับโดเมนจริงของหน่วยงาน ถ้าไม่แน่ใจอย่าไปต่อ [1][2][3] ไม่สแกน QR จากอีเมล ข้อความ หรือพัสดุที่ไม่คาดคิด ให้ไปที่เว็บหรือแอปของหน่วยงานเอง หรือโทรเบอร์ที่รู้จัก [1][2][10] จำไว้ด้วยว่า ธปท. ห้ามธนาคารส่งลิงก์ทาง SMS และอีเมล และนิยาม "ลิงก์" รวมถึง QR code ด้วย QR ที่อ้างธนาคารในข้อความจึงเป็นของปลอม [9] ไม่ติดตั้งแอปจาก QR ให้ค้นหาในสโตร์ทางการแทน และหลีกเลี่ยงแอปสแกน QR ของบุคคลที่สาม [2]
ถ้าคุณเป็นเจ้าของร้าน ตรวจ QR ของตนสม่ำเสมอ ติดชื่อบัญชีรับเงินไว้คู่กับ QR ให้ลูกค้าเทียบได้ และเปลี่ยนทันทีเมื่อพบสติกเกอร์แปะทับ [7][6] วิธีที่ดีที่สุดคือแสดง QR จากแอปร้านบนหน้าจอให้ลูกค้าสแกนทีละรายการ
ลดความเสียหายไว้ล่วงหน้า อัปเดตระบบปฏิบัติการ ใช้รหัสผ่านที่แข็งแรงและการยืนยันตัวตนหลายขั้น เพื่อให้แม้หลุดไปเว็บปลอม คนโกงก็ยังเข้าบัญชีไม่ได้ง่าย ๆ [1][3] และใช้ประโยชน์จากกติกาสแกนใบหน้าเมื่อโอนตั้งแต่ 50,000 บาทต่อครั้ง ซึ่งครอบคลุมการโอนผ่าน Thai QR และพร้อมเพย์ด้วย [9]
ถ้าพลาดไปแล้ว ทำอะไรก่อน
- ถ้าโอนเงินไปผิดคน โทรสายด่วนธนาคารที่ใช้ทันที แล้วโทร 1441 ศูนย์ AOC ตลอด 24 ชั่วโมง เพื่อประสานระงับบัญชีปลายทาง ธปท. พบว่าเงินครึ่งหนึ่งถูกโอนต่อภายใน 3 นาที ความเร็วจึงสำคัญที่สุด [5][13]
- แจ้งความออนไลน์ที่ www.thaipoliceonline.go.th ภายใน 72 ชั่วโมง พร้อมหลักฐาน รูป QR หรือสติกเกอร์ สลิป ชื่อบัญชีผู้รับ และสถานที่ [13]
- ถ้ากรอกรหัสหรือข้อมูลในเว็บที่ QR พาไป เปลี่ยนรหัสผ่านและ PIN ที่เกี่ยวข้องทันที และแจ้งธนาคารให้เฝ้าระวังบัญชี [1][2]
- ถ้าติดตั้งแอปจาก QR ตัดอินเทอร์เน็ต ถอนการติดตั้งหรือล้างเครื่อง และห้ามใช้แอปธนาคารบนเครื่องนั้นจนกว่าจะล้างเครื่อง รายละเอียดอ่านต่อในบทแอปควบคุมเครื่อง [2][5]
- แจ้งร้านค้าหรือสถานที่ ให้ถอด QR ปลอมออก เพื่อป้องกันเหยื่อรายต่อไป [6] และวาง QR หรือลิงก์ที่สงสัยใน Cyber Scammer Shield ของ ThaiCERT เพื่อตรวจสอบย้อนหลังได้ [14]
ข้อผิดพลาดที่พบบ่อย
- ดูแค่ยอดเงินแล้วกดยืนยัน ยอดถูกต้องไม่ได้แปลว่าปลายทางถูกต้อง คนโกงตั้งยอดให้ตรงได้เสมอ ต้องอ่านชื่อผู้รับ [6]
- คิดว่า QR รับเงินคืนคือเรื่องปกติ การรับเงินไม่ต้องสแกน ไม่ต้องใส่รหัส ไม่ต้องสแกนหน้า ใครให้ทำแบบนั้นคือกำลังให้คุณจ่าย [5][8]
- เชื่อเพราะเว็บปลายทางมี https และรูปกุญแจ กุญแจบอกแค่ว่าการเชื่อมต่อเข้ารหัส ไม่ได้บอกว่าเจ้าของเว็บเป็นของจริง ต้องอ่านโดเมน [1][3]
- ใช้แอปสแกน QR แยกต่างหากเพราะสะดวก แอปพวกนี้อาจเปิดลิงก์ทันทีโดยไม่แสดงปลายทาง FBI แนะให้ใช้กล้องในเครื่องและสแกนจ่ายเงินในแอปธนาคาร [2][5]
- ร้านค้าไม่เคยตรวจ QR ของตัวเอง สติกเกอร์แปะทับทำงานได้เป็นวันหรือเป็นสัปดาห์ เพราะเงินไม่เข้าร้านแต่ไม่มีใครสังเกต [6][7]
ใช้ในชีวิตจริงและที่ทำงาน
ที่บ้าน สอนผู้สูงอายุด้วยประโยคเดียว สแกนแล้วอ่านชื่อ ถ้าชื่อไม่ใช่ร้าน ไม่กด และตกลงว่า QR ที่ส่งมาทางข้อความหรืออีเมลไม่ต้องสแกนเลย ให้ถามลูกหลานก่อน ค่าเฉลี่ยความเสียหายต่อเคสของคนอายุ 60 ปีขึ้นไปสูงกว่ากลุ่มอื่นหลายเท่า การซ้อมนิสัยนี้ไว้จึงคุ้ม [13]
ที่ทำงาน ฝ่ายบัญชีที่จ่ายเงินตามใบแจ้งหนี้ควรระวัง QR ในอีเมลเป็นพิเศษ NCSC ระบุว่า QR ในอีเมลคือสัญญาณสแกมที่ต้องตรวจ [10] ตั้งกติกาว่าการจ่ายผู้ขายรายใหม่หรือบัญชีที่เปลี่ยนไปจากเดิม ต้องโทรยืนยันกับผู้ขายด้วยเบอร์ที่รู้จักก่อน และชื่อผู้รับต้องตรงกับชื่อบริษัทในสัญญาเสมอ ส่วนร้านค้าหรือสาขา ให้มอบหมายคนตรวจ QR หน้าร้านทุกเช้า [7]
เมื่อซื้อขายออนไลน์ ร้านจริงคืนเงินทางเดิมที่คุณจ่ายโดยคุณไม่ต้องทำอะไร ถ้ามีคนให้สแกน QR เพื่อรับเงิน ให้ถือว่าปลอมและแจ้งแพลตฟอร์มทันที [5] และก่อนจ่ายร้านใด ๆ ให้อ่านชื่อผู้รับว่าเป็นชื่อร้านหรือชื่อบุคคลที่ร้านยืนยันไว้แล้ว [4]
ถ้าแหล่งข้อมูลเห็นต่าง
- ไม่มีสถิติเฉพาะ QR ปลอม ทั้งหน่วยงานไทยและรายงานต่างประเทศที่เปิดได้ ไม่มีตัวเลขแยกสำหรับ quishing ตัวเลขที่บทนี้ใช้คือภาพรวมการหลอกโอนของ ธปท. ไม่ใช่ตัวเลข QR โดยตรง [13][12]
- ดู https หรือใช้แอปสแกนที่ตรวจลิงก์ ThaiCERT แนะให้ดูว่าเว็บใช้ HTTPS และใช้แอปสแกนที่ตรวจจับลิงก์อันตราย ขณะที่ FBI แนะให้เลี่ยงแอปสแกนของบุคคลที่สามและใช้กล้องในเครื่อง บทนี้เลือกสอนให้เน้นอ่าน URL และชื่อผู้รับ เพราะกุญแจ https ไม่ยืนยันว่าเจ้าของเว็บเป็นของจริง [3][2]
- แอปธนาคารแสดงชื่อผู้รับก่อนยืนยันเสมอหรือไม่ แหล่ง ธปท. และสมาคมธนาคารไทยบอกให้ "ตรวจชื่อผู้รับก่อนยืนยัน" และถือว่าแอปแสดงชื่ออยู่แล้ว แต่ยังไม่พบประกาศที่บังคับเรื่องนี้โดยตรง บทนี้จึงเขียนในฐานะแนวปฏิบัติ ไม่ใช่กฎ [4][5][7][8]
- เอกสาร ธปท. เรื่อง QR มีอายุหลายปี บทความและคำถามคำตอบของ ธปท. เป็นเอกสารปี 2561 บทนี้จึงใช้ร่วมกับแนวปฏิบัติใหม่กว่าของสมาคมธนาคารไทยปี 2567 และศูนย์ต่อต้านข่าวปลอมปี 2569 [7][8][5][6]
5 จำให้ได้
ทำได้วันนี้
ติ๊กแล้วจำไว้ในเครื่องนี้เท่านั้น
ประโยคจำง่าย
สแกนแล้วอ่านชื่อ ก่อนจะกดยืนยัน
รับเงินไม่ต้องสแกน ใครให้สแกนคือจ่าย
QR ในอีเมล อย่าเพิ่งเชื่อ ไปเว็บเอง
คำศัพท์ในบทนี้
- Quishing (QR phishing)
- การหลอกลวงด้วย QR code ที่พาไปเว็บปลอมเพื่อขโมยรหัสหรือข้อมูล หรือให้ติดตั้งโปรแกรมอันตราย จุดอ่อนคือ QR ไม่แสดงปลายทางก่อนสแกน [3]
- สติกเกอร์แปะทับ (QR overlay)
- การเอา QR ของคนโกงแปะทับ QR ของจริงที่ร้านค้า จุดจอดรถ หรือป้ายสาธารณะ ทำให้เงินเข้าบัญชีคนโกงโดยลูกค้าและร้านไม่รู้ [2][6]
- Thai QR Payment
- มาตรฐาน QR ชำระเงินของไทยที่ ธปท. พัฒนาร่วมกับสถาบันการเงิน ให้ร้านรับเงินจากแอปธนาคารใดก็ได้ และผู้จ่ายต้องตรวจยอดและชื่อผู้รับก่อนยืนยัน [7]
แหล่งอ้างอิง
ตรวจทานล่าสุด 28 ต.ค. 2569 · ระดับความมั่นใจของเนื้อหา: ปานกลาง
- Scammers hide harmful links in QR codes to steal your information
- Cybercriminals Tampering with QR Codes to Steal Victim Funds (I-011822-PSA)
- เตือนภัย มิจฉาชีพใช้ QR Code เป็นเครื่องมือหลอกลวง และขโมยข้อมูลส่วนตัว (ประกาศ 85/68)
- สแกน QR code - โอนเงินอย่างไร? ให้ปลอดภัยจากมิจฉาชีพ (อ้าง ธปท.)
- ระวัง! ถูกมิจฉาชีพหลอกให้สแกน QR Code
- เตือนภัย QR Code ร้านค้าปลอม
- มิติใหม่แห่งการชำระเงินด้วย QR Code...สะดวก ปลอดภัย
- คำถาม-คำตอบ การให้บริการโอนเงินแบบ พร้อมเพย์ - PromptPay
- ประกาศ ธปท. ที่ 4/2568 Mobile Banking Security (+Q&A)
- How to spot a scam email, text message or call
- 2025 Internet Crime Report (Appendix D: PSAs published in 2025)
- ความคืบหน้าการดำเนินการจัดการภัยทุจริตทางการเงิน (สไลด์ 19 ส.ค. 2568)
- Cyber Scammer Shield
กลไกและคำแนะนำยืนยันตรงกันจาก FTC FBI ThaiCERT สมาคมธนาคารไทย และศูนย์ต่อต้านข่าวปลอม แต่ยังไม่มีสถิติเฉพาะ QR ปลอมจากหน่วยงานไทย และข้อที่ว่าแอปธนาคารแสดงชื่อผู้รับก่อนยืนยันมาจากคำแนะนำของ ธปท. และสมาคมธนาคาร ไม่ใช่ข้อบังคับที่อ่านจากประกาศ
เนื้อหาเพื่อการศึกษา ไม่ใช่คำแนะนำทางกฎหมายหรือการเงินเฉพาะบุคคล ตัวอย่างข้อความ ชื่อบุคคล หน่วยงาน และโดเมนในแบบฝึกเป็นชื่อสมมติ · เนื้อหาตรวจทานตามนโยบายเนื้อหา