กลโกง QR Code ในเอเชีย: บทเรียนจากหกตลาดสำหรับร้านค้าออนไลน์

ทั่วเอเชีย QR Code กลายเป็นวิธีจ่ายเงินทันทีที่คนใช้กันเป็นปกติ และก็กลายเป็นเป้าหมายโปรดของมิจฉาชีพด้วย ระหว่างปี 2019 ถึง 2026 ตำรวจและหน่วยงานกำกับดูแลในสิงคโปร์ มาเลเซีย ไทย ฟิลิปปินส์ ฮ่องกง และอินเดีย ต่างอธิบายรูปแบบเดียวกันสี่แบบ คือ QR ถูกสลับหรือแปะทับของจริง หน้าชำระเงินปลอม QR ที่ดูดเงินจากคนที่คิดว่ากำลังจะได้รับเงิน และบัญชีม้าที่ใช้กระจายเงินอย่างรวดเร็ว สำหรับคนขายของออนไลน์ในตลาดเหล่านี้ บทเรียนตรงไปตรงมา จุดที่เปราะบางที่สุดคือวินาทีที่ผู้ซื้อเห็น QR แล้วกดยืนยันการจ่าย และวินาทีนั้นเกิดขึ้นบนหน้าเว็บของร้านเอง

ทำไม QR ของระบบจ่ายเงินทันทีจึงตกเป็นเป้า

พร้อมเพย์ในไทย PayNow และ SGQR ในสิงคโปร์ DuitNow ในมาเลเซีย QR Ph ในฟิลิปปินส์ FPS ในฮ่องกง และ UPI ในอินเดีย ทำงานด้วยหลักเดียวกับ Pix ระบบจ่ายเงินทันทีของบราซิล คือผู้จ่ายสแกนโค้ด ตรวจยอดเงินในแอปธนาคารหรือวอลเล็ต แล้วกดอนุมัติการโอน เงินออกทันที ไม่มีเครื่องรูดบัตร ไม่มีเครือข่ายบัตร และไม่มีการขอเงินคืนแบบง่าย ๆ คั่นกลาง

ความง่ายนี้คือจุดแข็งของระบบ และก็เป็นสิ่งที่มิจฉาชีพใช้ประโยชน์ ใครคุม QR ได้ก็คุมปลายทางของเงินได้ และเพราะผู้จ่ายเป็นคนอนุมัติการโอนเอง การจ่ายเงินที่ถูกเบี่ยงทางจึงดูเหมือนรายการปกติในสายตาธนาคาร

สี่รูปแบบที่เกิดซ้ำ

1. QR ถูกสลับหรือแปะทับ นี่คือกลโกงที่ถูกพูดถึงมากที่สุด ในเดือนพฤษภาคม 2023 หน่วยงานความมั่นคงไซเบอร์ของสิงคโปร์ (CSA) และตำรวจสิงคโปร์ (SPF) เตือนร่วมกันว่า QR รับชำระเงินของร้านค้าอาจถูกดัดแปลงให้เงินเข้าบัญชีมิจฉาชีพ และขอให้ประชาชนสังเกต QR ที่ถูกแปะทับของเดิม ในฟิลิปปินส์ สื่อท้องถิ่นรายงานว่าเจ้าหน้าที่ธนาคารกลาง (BSP) ย้ำคำเตือนนี้อีกครั้งเมื่อเดือนเมษายน 2026 โดยพูดถึงสติกเกอร์ที่แปะทับ QR ของร้านค้า และในเดือนกรกฎาคม 2026 ตำรวจแห่งชาติฟิลิปปินส์ (PNP) ขยายจากเคาน์เตอร์หน้าร้านไปสู่โลกออนไลน์ โดยระบุถึงการสลับ QR รับเงินของผู้ขาย และประกาศร่วมมือกับกระทรวงเทคโนโลยีสารสนเทศ (DICT) และกระทรวงการค้า (DTI) เพื่อดำเนินคดีกับผู้เผยแพร่ QR ปลอม โดยเฉพาะบนแพลตฟอร์มขายของออนไลน์

2. หน้าชำระเงินปลอม QR ยังเป็นประตูไปสู่เว็บไซต์ที่ปลอมเป็นธนาคาร ร้านค้า หรือเกตเวย์ชำระเงิน ในเดือนกันยายน 2026 ผู้อำนวยการฝ่ายสืบสวนอาชญากรรมพาณิชย์ของตำรวจมาเลเซีย Rusdi Mohd Isa ระบุว่ารูปแบบที่ใช้อยู่ในปัจจุบันรวมถึงเกตเวย์ชำระเงินปลอม และ QR รับชำระปลอมที่เบี่ยงเงินเข้าบัญชีของแก๊ง ส่วน BSP ของฟิลิปปินส์แนะนำให้ดูที่อยู่เว็บก่อนเปิดลิงก์ และอย่ากรอกข้อมูลทางการเงินในหน้าที่เข้าถึงผ่านการสแกน QR

3. QR ที่อ้างว่าให้รับเงิน แต่จริง ๆ คือจ่ายเงิน รูปแบบนี้เล็งไปที่ผู้ขาย มิจฉาชีพแอบอ้างเป็นผู้ซื้อ บอกว่าจะโอนเงินให้ แล้วส่ง QR หรือลิงก์มาให้ผู้ขาย “รับเงิน” พอสแกนและกดอนุมัติ คนที่จ่ายเงินกลับเป็นเหยื่อเอง ตำรวจมาเลเซียอธิบายวิธีนี้กับผู้ขายออนไลน์ไว้ตรงตัว และย้ำว่าการรับเงินผ่าน DuitNow QR ผู้รับเพียงแค่แสดง QR ของตัวเองเท่านั้น ในอินเดีย ธนาคารกลาง (RBI) เตือนตั้งแต่ปี 2022 ว่าการรับเงินไม่ต้องสแกน QR หรือใส่ PIN และมิจฉาชีพใช้ฟังก์ชันเรียกเก็บเงินของ UPI ส่งข้อความให้ใส่ PIN เพื่อ “รับเงิน” ส่วนในไทย รายงานของ Thai PBS ที่อ้างอิงคำแนะนำของตำรวจสรุปไว้ชัดเจนว่า คนที่สแกนคือคนที่จ่ายเงิน

4. บัญชีม้า ไม่มีกลโกงไหนสำเร็จได้หากไม่มีบัญชีไว้รับเงินและโอนต่ออย่างรวดเร็ว หลายตลาดจึงลงทุนกับการตรวจสอบก่อนจ่าย ในมาเลเซีย ตำรวจมีพอร์ทัล SemakMule สำหรับตรวจสอบบัญชีธนาคาร เบอร์โทรศัพท์ และชื่อบริษัท ในฮ่องกง สำนักงานการเงินฮ่องกง (HKMA) เปิดตัวระบบเตือนใน FPS เมื่อเดือนพฤศจิกายน 2023 โดยใช้ข้อมูลจาก Scameter ของตำรวจ ธนาคารและผู้ให้บริการวอลเล็ต 44 แห่งจะแจ้งเตือนผู้ใช้เมื่อรหัสผู้รับเงิน เช่น เบอร์โทรศัพท์ อีเมล หรือ FPS ID ถูกระบุว่ามีความเสี่ยงสูง

หน่วยงานรัฐขอให้ทำอะไร

คำแนะนำของหลายประเทศมาบรรจบกันที่ไม่กี่ข้อ

• ตรวจชื่อผู้รับเงินและยอดเงิน ในแอปก่อนกดยืนยัน (สิงคโปร์ ฮ่องกง ไทย)
• ระวัง QR ที่ส่งมาทางข้อความ โซเชียลมีเดีย หรือจากแหล่งที่ไม่รู้จัก (สิงคโปร์ มาเลเซีย ฟิลิปปินส์)
• ห้ามสแกน QR หรือใส่ PIN รหัสผ่าน หรือรหัส OTP เพื่อรับเงิน (มาเลเซีย อินเดีย ไทย)
• ตรวจ QR ที่พิมพ์ติดไว้ ว่ามีสติกเกอร์แปะทับของเดิมหรือไม่ (สิงคโปร์ ฟิลิปปินส์)
• ฝั่งสถาบันการเงิน ฮ่องกงระบุไว้ตั้งแต่ปี 2019 ในคำตอบอย่างเป็นทางการต่อสภานิติบัญญัติว่า ธนาคารและวอลเล็ตควรตรวจสอบว่า QR เป็นของจริงและแสดงชื่อผู้รับเงินก่อนจ่าย

สังเกตว่าแทบทุกข้อขึ้นอยู่กับผู้ซื้อที่ต้องตรวจเอง ซึ่งช่วยได้ แต่ไม่พอเมื่อการสลับทำได้แนบเนียน

เทียบกับ Pix: การสลับย้ายมาอยู่ที่หน้าชำระเงิน

ในบราซิล แนวคิดเดียวกันย้ายจากสติกเกอร์มาสู่เว็บไซต์แล้ว ในเดือนกันยายน 2026 Kaspersky เปิดเผยแคมเปญที่สลับ QR ของ Pix และโค้ดคัดลอกวางบนหน้าชำระเงินของร้านค้าที่ถูกกฎหมาย ทันทีที่ลูกค้าเลือกจ่ายด้วย Pix พบร้านค้าขนาดเล็กและกลางได้รับผลกระทบ 90 แห่ง ซึ่งมีจุดร่วมคือใช้แพลตฟอร์ม Magento ที่ไม่ได้รับการดูแล แคมเปญนี้ดำเนินมาตั้งแต่เดือนมิถุนายน 2025 ฝั่งร้านค้าเห็นคำสั่งซื้อค้างหรือถูกทิ้ง ส่วนลูกค้ารู้ตัวหลังผ่านไปหลายวัน เมื่อเงินถูกโอนผ่านบัญชีม้าไปแล้ว ทำให้การขอคืนผ่านกลไกของธนาคารกลางบราซิล (MED) ยากขึ้น ดูวิธีการทำงานของการโจมตีนี้ได้ที่หน้า การปกป้อง Pix ที่หน้าชำระเงิน

ไม่มีอะไรห้ามโค้ดแบบเดียวกันไม่ให้ทำแบบนี้กับ QR พร้อมเพย์ PayNow หรือ UPI และตำรวจฟิลิปปินส์ก็พูดถึง QR ของผู้ขายออนไลน์ที่ถูกสลับแล้ว ความต่างคือในร้านออนไลน์ ไม่มีใครไปมองหาสติกเกอร์ได้ เพราะ QR ปลอมถูกสร้างขึ้นบนหน้าเว็บเอง ยอดเงินถูกต้อง หน้าตาเหมือนกันทุกอย่าง

เช็กลิสต์สำหรับร้านค้าที่ขายในตลาดเหล่านี้

1. สร้าง QR แบบไดนามิกสำหรับแต่ละคำสั่งซื้อ พร้อมยอดเงินและเลขอ้างอิง แทนการใช้ QR แบบถาวรซ้ำ
2. แสดงชื่อทางการที่จะขึ้นในแอปของผู้ซื้อไว้บนหน้าเว็บ และขอให้ผู้ซื้อตรวจก่อนกดยืนยัน
3. กระทบยอดอัตโนมัติ จับคู่การชำระเงินทุกรายการกับคำสั่งซื้อ และตั้งการแจ้งเตือนเมื่อคำสั่งซื้อค้างสถานะ “รอชำระเงิน” นานเกินไป
4. ลดสิ่งที่โหลดบนหน้าชำระเงิน ใช้ปลั๊กอินและสคริปต์ภายนอกให้น้อยลง อัปเดตแพลตฟอร์มและส่วนขยาย และเปิดยืนยันตัวตนสองขั้นตอนสำหรับผู้ดูแลระบบ
5. เฝ้าดูหน้าชำระเงินที่ใช้งานจริง แบบที่ผู้ซื้อเห็น ไม่ใช่แค่โค้ดบนเซิร์ฟเวอร์
6. ชี้แจงพนักงานและลูกค้า ว่าร้านไม่เคยขอให้ใครสแกน QR หรือใส่ PIN เพื่อรับเงินคืน
7. ใช้ช่องทางตรวจสอบและแจ้งเหตุในแต่ละประเทศ เช่น SemakMule และสายด่วน 997 ในมาเลเซีย หรือ Scameter ในฮ่องกง และแจ้งความให้เร็ว
8. ถือว่าคำร้องเรียนแบบ “จ่ายแล้วแต่คำสั่งซื้อไม่ผ่าน” อาจเป็นสัญญาณของการสลับ QR ไม่ใช่แค่ความล่าช้า

ในทุกตลาดเหล่านี้ กลโกงชนะในวินาทีเดียวกัน คือตอนที่ผู้ซื้อเห็น QR แล้วกดอนุมัติ Proteside ปกป้องวินาทีนั้นบนหน้าเว็บของร้าน โดยตรวจในเบราว์เซอร์ของผู้ซื้อว่า QR ที่แสดงและโค้ดที่คัดลอก (พร้อมเพย์ PayNow/SGQR DuitNow QR Ph FPS UPI หรือ Pix) ตรงกับที่ร้านออกให้ทุกประการ บล็อกการสลับก่อนการยืนยัน และแจ้งเตือนคุณทันที ทดลองใช้ฟรี 14 วัน