亞洲二維碼支付騙案：六個市場給網店商戶的啟示

在亞洲，二維碼已成為即時付款的預設方式，也因此成為騙徒最常利用的目標之一。2019 至 2026 年間，新加坡、馬來西亞、泰國、菲律賓、香港和印度的警方與監管機構，反覆描述同樣四種手法：調包或覆蓋原有二維碼、假付款頁面、令以為自己「收款」的人反而付款，以及用來迅速轉走資金的過數戶口。對在這些市場經營網店的商戶來說，結論很直接：最脆弱的一環，是客人看到二維碼並確認付款的一刻，而這一刻就在商戶自己的網頁上發生。

為何即時支付二維碼會成為目標

香港的轉數快（FPS）、新加坡的 PayNow 與 SGQR、馬來西亞的 DuitNow、泰國的 PromptPay、菲律賓的 QR Ph 和印度的 UPI，與巴西的即時支付系統 Pix 原理相同：付款人掃碼，在銀行或電子錢包 App 核對金額，然後授權轉賬。款項即時到賬，中間沒有收款機、卡組織，也沒有簡單的退款機制。

這種簡便正是這些系統的優勢，也是騙徒利用之處。誰控制了二維碼，誰就決定錢的去向。而且由於轉賬是付款人自己授權，被騙走的款項在銀行眼中只是一宗正常交易。

反覆出現的四種手法

1. 調包或覆蓋二維碼：這是最常被提及的手法。2023 年 5 月，新加坡網絡安全局（CSA）與新加坡警察部隊（SPF）聯合提醒：商戶的付款二維碼可能被竄改，令款項流向騙徒，並呼籲市民留意貼在原碼上的二維碼。據菲律賓傳媒報道，菲律賓中央銀行（BSP）官員在 2026 年 4 月再次發出類似提醒，特別提到覆蓋商戶二維碼的貼紙。2026 年 7 月，菲律賓國家警察（PNP）把焦點由實體櫃枱延伸至網上：描述了賣家收款二維碼被調包的情況，並宣布與資訊及通訊科技部（DICT）和貿易及工業部（DTI）合作，追查散播假二維碼的人，尤其在網購平台上。

2. 假付款頁面：二維碼亦可能把人帶到冒充銀行、商店或支付網關的網站。2026 年 9 月，馬來西亞警方商業罪案調查部主任 Rusdi Mohd Isa 列出的現行手法，就包括假支付網關，以及把款項轉入犯罪集團戶口的假付款二維碼。菲律賓中央銀行建議：開啟連結前先預覽網址，不要在掃碼進入的網頁輸入金融資料。

3. 聲稱「收款」，實為付款：這種手法針對賣家。騙徒假扮買家，說要付款，然後傳來二維碼或連結讓賣家「收款」。賣家一掃碼、一授權，付錢的反而是自己。馬來西亞警方正是這樣描述針對網上賣家的騙局，並強調以 DuitNow QR 收款時，收款人只需出示自己的二維碼。印度儲備銀行（RBI）在 2022 年提醒：收款從來不需要掃碼或輸入 PIN，騙徒會濫用 UPI 的「收款請求」功能，發出要求輸入 PIN 才能「收款」的訊息。在泰國，泰國公共電視台（Thai PBS）根據警方建議總結得很簡單：誰掃碼，誰付錢。

4. 過數戶口（傀儡戶口）：沒有一個收錢後迅速轉走的戶口，這些騙局都無法得逞。因此各地都在加強付款前的查核機制。馬來西亞警方設有 SemakMule 平台，可查核銀行戶口、電話號碼和公司名稱。香港金融管理局（金管局）於 2023 年 11 月推出轉數快可疑轉數快識別代號提示，資料來自警方的「防騙視伏器」：44 間銀行和儲值支付工具營運商會在收款人的識別代號（電話號碼、電郵地址或轉數快識別碼）被列為高風險時提醒用戶。

當局的共同建議

各地的建議集中在幾點：

• 確認前核對收款人名稱和金額（新加坡、香港、泰國）。
• 對經訊息、社交媒體或來歷不明的二維碼保持警覺（新加坡、馬來西亞、菲律賓）。
• 收款時絕不掃碼，亦不輸入 PIN、密碼或一次性驗證碼（馬來西亞、印度、泰國）。
• 檢查實體二維碼，留意有否貼紙覆蓋原碼（新加坡、菲律賓）。
• 機構層面，香港早於 2019 年回覆立法會質詢時已指出，銀行和儲值支付工具持牌人應核實二維碼是否真實有效，並在付款前顯示收款人名稱。

可以看到，幾乎所有建議都要靠客人自己核對。這有幫助，但當調包手法足夠逼真時，就不夠了。

與巴西 Pix 的對照：調包發生在結帳頁

在巴西，同樣的手法已經由貼紙轉移到網站。2026 年 9 月，卡巴斯基（Kaspersky）披露一宗攻擊活動：顧客在正當網店結帳頁選擇以 Pix 付款時，惡意程式碼會調包 Pix 二維碼和「複製貼上」付款碼。研究人員發現 90 間中小型網店受影響，共通點是使用缺乏維護的 Magento 平台；活動自 2025 年 6 月起持續。商戶後台只見訂單被放棄或待付款，顧客往往幾日後才發現，而錢早已經過傀儡戶口轉走，令透過巴西央行特別退款機制（MED）追回更困難。可參閱 Pix 結帳保護 頁面了解這種攻擊。

同樣的程式碼大可用來調包轉數快、PayNow 或 UPI 的二維碼，菲律賓警方已提到網上賣家的二維碼被調包。分別在於，網店裡沒有人能去「找貼紙」：假二維碼就在網頁上生成，金額正確，外觀一模一樣。

在這些市場銷售的商戶自查清單

1. 每張訂單產生動態二維碼，附金額和訂單參考編號，不要重用固定二維碼。
2. 在網頁上顯示客人 App 中會出現的正式收款人名稱，並提醒客人確認前核對。
3. 自動對數，把每筆付款與訂單配對，並為長時間「等待付款」的訂單設定提示。
4. 精簡結帳頁：減少插件和第三方程式，及時更新平台和擴充功能，管理後台啟用雙重認證。
5. 監察線上實際的付款頁面，以客人所見為準，而不只是伺服器上的程式碼。
6. 提醒員工和客人：商店絕不會要求任何人掃碼或輸入 PIN 來領取退款。
7. 善用本地查核與舉報渠道，例如香港的防騙視伏器、馬來西亞的 SemakMule 和 997 熱線，並盡快報案。
8. 把「已付款但訂單未確認」的投訴視為可能被調包的訊號，而不只是延誤。

在這些市場，騙局都在同一刻得手：客人看到二維碼並授權的一刻。Proteside 在商戶網頁上守住這一刻：在客人的瀏覽器中核對顯示的二維碼和複製的付款碼（轉數快／HKQR、PayNow、DuitNow、PromptPay、QR Ph、UPI 或 Pix）是否與商戶發出的完全一致，在確認付款前攔截調包，並即時通知您。歡迎免費試用 14 日。