宽频路由器每天在家中默默运作，竟然成为网络安全漏洞的入口？而且今次并非甚么高科技后门事件，出事的仅仅是一个用作下载官方 App 的 QR Code 二维码。

买宽频送病毒？扫器材客服QR竟出现钓鱼网页警告

近日有市民在社交平台 Threads 上发文大骂“买宽频你送病毒比（畀）我？”，事主扫描了香港大型电讯商提供的 Modem 数据机底部官方客服二维码（QR Code），本打算安装专用手机 App，手机安全系统居然即时跳出警告，提示该页面为危险的“钓鱼网页”。

记者随后在自己家中同款 Modem 进行实测，发现扫描后页面竟跳转至色情影片网页，系统同时发出钓鱼网站警告，证实绝非个别事件。经调查发现，事件源于该电讯商所使用的第三方二维码生成平台遭黑客入侵或域名过期，导致原本的转址连结被劫持。

I.T.专家方保侨分析：两个情况会引致是次事件发生

为什么官方设备上的 QR Code 竟然会跳到不明来历的钓鱼网页？资讯科技专家、香港资讯科技商会荣誉会长方保侨先生分析，涉事的二维码采用了“第三方动态转址机制”。当用户使用手机扫描后，并非直接连往官方网站，而是先被引导至第三方服务商的短网址平台，再由该平台根据后台设定，将用户跳转至目标页面。你认为有两个可能性，导致今次事件发生：

1 被入侵：一旦该第三方平台被黑客攻破、域名租约到期被黑客接管，黑客就能随意修改目标跳转网址，将所有流量导向预先准备好的伪冒钓鱼网站或色情网页。

2 已过期：网域名称租用一般设有期限，如未有适时续租，其他人士可依法重新注册相关网域名称。事件反映企业在网域名称管理上有进一步完善的空间。

宽频商正式回应：第三方网页结业／已配合警方封锁连结

针对这宗二维码跳转异常事件，涉事宽频供应商今日（6日）正式回复，表示是该第三方网页结业，网址被其他公司收购，才导致事件发生，指事件与黑客入侵无关：

“相关批次的数据机设备 (modem) 于 2021 年 8 月前安装，机上的二维码已逾期并停止使用。公司已在过去五年为新安装或更换的设备，换上更新的官方资料。本公司亦已按照警方指示，迅速封锁相关网页连结，以保障客户网络安全。”

记者个人则建议，无论家中数据机（Modem）是在2021年8月前或后安装，都应该直接使用手机内的官方app store／google play下载手机 app，不要扫描相关QR Code。

HKCERT 警告企业安全缺口：须用自营子域名与官方 App Store

是次事件虽然与黑客入侵无关，然而现时网络安全威胁极其严峻，黑客利用 AI 生成的欺诈网页数量庞大且更新极快；针对这类“Quishing（二维码钓鱼攻击）”及“第三方与供应链安全风险（Third-party Risk）”HKCERT（香港电脑保安事故协调中心） 曾发出警告，指出企业过度依赖第三方动态转址服务，将重要的跳转控制权委外，会严重增加供应链安全缺口。

根据 HKCERT 针对网络钓鱼与供应链风险的防护指南，大型企业与机构理应建立并使用自营的官方子域名（Subdomain），或直接连结至 Apple App Store 及 Google Play 等官方应用程式商店，从源头巩固跳转主导权与安全性，避免短网址失效后被不法分子接管。

市民误扫可疑 QR Code 如何自救？即时排查 4 大步骤

除上述事件中，过往曾扫描过该 Modem 底部的二维码的市民，日常扫描过不明来历的QR Code，被导向过不明网页时，应该如何应对？记者综合了方保侨先生与 HKCERT 提供的建议，整理出一套紧急自救排查步骤与日常安全贴士：

1. 即时断网并关闭浏览器

怀疑网页在背景加载恶意程式时，即刻开启手机“飞行模式”，切断所有连线并关闭分页。

2. 彻底检查手机下载纪录与系统设定

黑客常诱使用户下载恶意安装包以偷取权限，不同手机系统的处理方式有所不同：

Android（安卓 / Android）： 开启“档案”或“下载（Downloads）”资料夹。若发现刚才下载了未知的 .apk 档案，绝对切勿点击安装，请立即彻底删除。

iOS（苹果 / iOS）： 前往“设定”>“一般”>“VPN 与装置管理”，仔细检查是否有未授权的“描述档（Profile）”被安装。若有发现，请即时移除。

3. 修改帐号密码并冻结受影响信用卡

确认当时跳转的页面是否曾要求输入帐号密码、个人身份资讯或信用卡资料。若曾输入任何敏感数据，应立即透过另一部安全的装置，重新透过官方管道修改该帐户密码。若不慎流出信用卡资料，请即时联络发卡银行办理挂失手续，并向警方防诈骗热线通报。

4. 终极手段：彻底重置手机（洗机）

若完成上述步骤仍感不安，可将手机重置至原厂设定（俗称洗机）。重新设定时切记避免从云端备份自动回复可能受感染的问题 App。

日常扫描 QR Code 防护心法

核对真实 URL：扫描后切勿急于点击，先透过扫描器预览完整的网址，确认是否为官方网址而非陌生的短网址（如 bit.ly 等）。亦可以利用香港政府提供的“防骗视伏器”（专页连结）网页／app去排查相关网址安全性。

安装手机防毒 App｜Android 与 iOS 系统机制大解析

面对日益复杂的“Quishing（二维码钓鱼攻击）”，许多市民疑问手机是否必须安装防毒或网上安全软件？方保侨解释，这取决于手机的作业系统，两个平台的运作原理与防护重点截然不同：