QR Code ภาพรวม · PromptPay · QR Phishing · QR รุ่นใหม่
ถ้า QR บอกได้ว่า "ของจริง" หรือ "ของปลอม" ก่อนเปิดลิงก์ — ปัญหา Quishing จะลดลงทันที
ปัญหาของ QR ปัจจุบัน
QR Code มาตรฐาน ISO 18004 ที่ใช้มา 30 ปีไม่มีระบบยืนยันผู้สร้าง — ใครก็สร้าง QR ไปยัง URL ใดก็ได้ ทำให้:
- มิจฉาชีพสร้าง QR ปลอมได้ง่าย
- ผู้ใช้ไม่สามารถแยก "QR จากธนาคาร" กับ "QR จากมิจฯ" ด้วยตาเปล่า
- ไม่มี revocation — QR เก่าเมื่อเปลี่ยนเจ้าของ ยังใช้ได้ตลอด
อ่านเพิ่ม: QR Phishing คืออะไร
QR Code รุ่นใหม่คืออะไร
มีหลายแนวทางที่อุตสาหกรรมพัฒนา:
1. SQRC (Secure QR Code) — Denso Wave
Denso Wave (ผู้สร้าง QR) พัฒนา SQRC ที่มีชั้นข้อมูลเข้ารหัสซ้อนใน QR — แอปที่มีกุญแจถึงจะอ่านข้อมูลสำคัญได้ ใช้ในอุตสาหกรรมและ supply chain ญี่ปุ่น
2. QR Code with Digital Signature
แนวคิดคือฝังลายเซ็นดิจิทัล (digital signature) ไว้ในเนื้อหา QR:
- ผู้ออก (เช่น ธนาคาร) ลงนามข้อมูล URL + metadata ด้วย private key
- แอปสแกนตรวจลายเซ็นด้วย public key → ยืนยันว่า QR มาจากผู้ออกจริง
- ถ้าลายเซ็นไม่ตรง → แอปเตือนว่า "QR ไม่น่าเชื่อถือ"
3. QR Code with Logo Area
QR ปัจจุบันใส่โลโก้ตรงกลางได้อยู่ (อาศัย Error Correction) แต่มาตรฐานรุ่นใหม่สำรองพื้นที่ตรงกลางไว้อย่างเป็นทางการ:
- โลโก้ไม่ทำลาย data module
- ผู้ใช้เห็นแบรนด์ชัดเจน → เชื่อถือง่ายกว่า QR ขาว–ดำเปล่าๆ
- รวมกับ digital signature → ผู้ใช้เห็นโลโก้ + แอปยืนยันว่าของจริง
แนวทางที่ไทยอาจนำมาใช้
| ด้าน | สถานะปัจจุบัน | แนวโน้ม |
|---|---|---|
| PromptPay QR | EMV QR ไม่มีลายเซ็นใน QR | อาจเพิ่มลายเซ็นในแอปชั้นถัดไป |
| บัตรประชาชนดิจิทัล | ทดลอง Digital ID | QR + digital signature ยืนยันตัวตน |
| ตั๋วขนส่งสาธารณะ | QR static ในบางระบบ | QR dynamic + crypto = ปลอมไม่ได้ |
| ใบเสร็จอิเล็กทรอนิกส์ | e-Tax Invoice มี digital cert | QR บนใบเสร็จอาจฝังลายเซ็น |
ข้อจำกัดที่ต้องรอ
- มาตรฐานยังไม่ finalize — ISO กำลังร่างแต่ยังไม่ถึงสถานะ published ทั่วโลก
- แอปต้องรองรับ — กล้องมือถือปกติอ่าน QR ได้ แต่ตรวจลายเซ็นต้องแอปพิเศษ
- ขนาด QR เพิ่ม — ข้อมูลลายเซ็นทำให้ QR ใหญ่/ซับซ้อนขึ้น
- ระบบ revocation — ต้องมี infra แบบ certificate (CA) เพื่อยกเลิก QR ที่ถูก compromise
QR Code vs NFC vs Deep Link — อนาคตใครอยู่
| เทคโนโลยี | ข้อดี | ข้อจำกัด |
|---|---|---|
| QR Code (รุ่นใหม่) | ฟรี พิมพ์ได้ทุกที่ + ตรวจสอบได้ | ต้องรอแอปรองรับ |
| NFC | แตะเร็ว ไม่ต้องสแกน | ต้องมีชิป + ต้นทุนสูงกว่า |
| Deep Link / Universal Link | ไม่ต้องสแกนอะไร | ต้องมีแอป + internet |
QR ยังมีอนาคตยาว เพราะไม่ต้องลงทุนฮาร์ดแวร์ — ต้นทุนเกือบศูนย์ ปล่อยเป็นภาพบนจอหรือกระดาษก็ได้
คำถามที่พบบ่อย
ถาม: QR Code รุ่นใหม่ใช้ได้เลยไหม?
ตอบ: ยังเป็นช่วงทดลอง — ญี่ปุ่นและบางอุตสาหกรรมใช้ SQRC แต่ระดับผู้บริโภคต้องรอแอปธนาคาร/ภาครัฐ update
ถาม: PromptPay จะเปลี่ยนมาใช้ QR รุ่นใหม่ไหม?
ตอบ: ธปท. ยังไม่ประกาศแผน แต่ถ้ามาตรฐาน EMV ผนวก digital signature เข้าไป PromptPay อาจอัปเกรดได้ในอนาคต
ถาม: ผู้ใช้ทั่วไปต้องทำอะไรตอนนี้?
ตอบ: อัปเดตแอปธนาคารให้ล่าสุด เมื่อแอปรองรับ QR แบบมีลายเซ็น จะแจ้งเตือนเอง — ระหว่างนี้ใช้หลักเช็ก URL ก่อนเปิดไปก่อน
สรุป
QR Code กำลังวิวัฒนาการจาก "ตารางขาว–ดำ" ไปสู่รหัสที่ยืนยันตัวเองได้ — ลายเซ็นดิจิทัลจะทำให้แอปบอกได้ทันทีว่า "QR นี้มาจากธนาคารจริง" หรือ "น่าสงสัย" ระหว่างรอ ให้ใช้หลักป้องกัน Quishing ไปก่อน: ดู URL เช็กชื่อร้าน ไม่กรอกรหัสบนเว็บที่ QR พาไป
อ่านต่อ: PromptPay QR ทำงานอย่างไร · QR Phishing · QR Code ภาพรวม · สร้าง QR Code ฟรี
แหล่งอ้างอิง
- Denso Wave — SQRC (Secure QR Code)
- ISO/IEC 18004 — QR Code standard
- EMVCo — QR Code Specification for Payment Systems
- ธนาคารแห่งประเทศไทย — แผนพัฒนา Digital Payment
