你的 QR Code 掃描程式，可能比你以為的更了解你

當你從應用程式商店下載一款免費的 QR Code 掃描程式時，你想到的多半是方便。隱私大概是你最後才會顧慮的事，但它本該擺在第一位。

過去幾年間，資安研究人員與隱私倡議者一再發現，熱門的免費 QR Code 掃描程式內建了大多數使用者從未察覺的積極資料蒐集手法。本文將逐一拆解這些應用程式究竟蒐集哪些資料、如何運用這些資料，以及你可以採取哪些做法保護自己。

QR Code 掃描程式究竟蒐集了哪些資料？

答案因應用程式而異，但靠廣告營運的 QR Code 掃描程式最常擷取的資料包括下列幾項。

1. 你掃描過的 QR Code

這是最敏感的資料，也是最常被忽略的一項。許多 QR Code 掃描程式會記錄你掃描的每一個條碼，並把解碼後的內容傳送到遠端伺服器。這些內容可能包含以 QR 格式編碼的 Wi-Fi 密碼、私人會議室連結、就診預約確認碼、企業內部連結，或銀行支付用的 QR Code。

當你在診所掃描一個 QR Code，而該網址被悄悄上傳到分析伺服器時，你已在無意間洩漏了與自身健康有關的訊息。當你掃描支付用 QR Code 而相關資料被記錄下來時，那就是一次財務資訊的揭露。

2. 你的位置

許多 QR Code 掃描程式會要求取得你的精確 GPS 位置。表面上的理由是「改善使用者體驗」，實際上卻用來建立地理行為輪廓：你去過哪裡、在那些地點何時掃描 QR Code、在不同場所分別遇到哪些類型的條碼。

3. 裝置識別碼

即使沒有位置權限，應用程式也能結合裝置型號、螢幕解析度、作業系統版本、已安裝應用程式清單與廣告識別碼，替你的裝置產生一組指紋。這組指紋在重新安裝應用程式後依然不變，可用來跨多項服務追蹤你。

4. 行為分析

多數熱門 QR Code 掃描程式都嵌入了第三方分析 SDK，常見的有 Firebase Analytics、Mixpanel、Amplitude、Adjust 或 AppsFlyer。這些 SDK 會記錄你開啟應用程式的頻率、使用了哪些功能、每次使用時間長短，以及你與廣告互動的方式。

5. 通訊錄與儲存空間權限

有些掃描程式還會要求存取你的通訊錄與儲存空間。取得通訊錄權限後，應用程式便能把你的身分與廣告主資料庫中的電話號碼、電子郵件地址相互比對，使你的使用者輪廓價值大幅提高。

追蹤像素的問題

部分 QR Code 掃描程式走得更遠：它們在用來顯示掃描網址的網頁檢視中植入追蹤像素。當你掃描 QR Code、應用程式以內建瀏覽器開啟目標頁面時，它就能讀取 Cookie、注入 JavaScript，並追蹤你在目標網站上的行為——而你完全不會察覺。

QR Code 掃描程式隱私問題的真實案例

2020 年，一款被廣泛使用的 QR Code 掃描程式在研究人員發現其內含可攔截瀏覽器流量的惡意程式後，遭 Google Play 商店下架。2021 年，隱私研究人員發現多款名列前茅的 QR Code 掃描程式，把掃描到的網址資料傳送到資料保護法規薄弱地區的伺服器。2022 年，有人查出一款熱門掃描程式會讀取使用者剪貼簿內容，從中擷取密碼與敏感文字。

尊重隱私的 QR Code 掃描程式長什麼樣

真正保護隱私的 QR Code 掃描程式具備下列特徵：

  • 沒有網路權限——它無法發出任何網路請求，因此根本無處傳送資料
  • 沒有分析 SDK——沒有 Firebase、沒有 Mixpanel，也沒有 AppsFlyer
  • 沒有廣告聯播網——沒有 AdMob，也沒有 Meta Audience Network
  • 權限最小化——僅需相機
  • 裝置端處理——所有解碼都在裝置上完成，不傳送任何內容
  • 不需要帳號——沒有任何身分可以和你的掃描紀錄綁在一起

QR Code Reader Without Ads：從根本為隱私而打造

QR Code Reader Without Ads 正是依照上述原則設計。這款應用程式沒有網路權限——它確實無法發出任何網路請求——這代表在架構上就不可能把你的掃描資料送往任何伺服器。裡面沒有廣告 SDK、沒有分析函式庫，也沒有追蹤像素。

QR Code 解碼引擎完全在你的裝置上運作，採用成熟的開放原始碼函式庫。當你掃描到含有網址的 QR Code 時，應用程式會先把網址顯示出來讓你確認，之後才在預設瀏覽器中開啟。

不需要註冊帳號，也沒有註冊畫面。你的掃描紀錄只留在自己的裝置上。

準備好換一款真正私密的 QR Code 掃描程式了嗎？免費下載 QR Code Reader Without Ads：

在 Google Play 下載——免費、無廣告、無追蹤

iPhone 與 iPad 同樣適用：

在 App Store 下載——免費、無廣告、無追蹤

如何檢視你目前使用的 QR Code 掃描程式

如果你還沒打算換應用程式，可以依下列方式評估目前掃描程式的隱私狀況：

  1. 檢查應用程式權限——前往「設定 → 應用程式 →〔你的掃描程式〕→ 權限」。若它在沒有明確功能理由的情況下取得位置、通訊錄或儲存空間權限，那就是警訊。
  2. 閱讀隱私權政策——搜尋「第三方合作夥伴」「廣告聯播網」「資料共享」之類的字眼。
  3. 使用網路監控工具——NetGuard（Android）之類的工具可以顯示你的應用程式正在與哪些網域通訊。
  4. 查詢 Exodus Privacy 資料庫——Exodus Privacy 會分析 Android 安裝檔，並列出每款應用程式中的所有追蹤器與權限。

結語

QR Code 無所不在——餐廳菜單、活動票券、支付終端機、產品包裝與醫療表單。你每掃一次，都可能透露自己身在何處、正在做什麼。你選擇的掃描程式，決定了這些訊息會保持私密，還是被悄悄拿去變現。

現在就換。立即下載 QR Code Reader Without Ads：

在 Google Play 取得 QR Code Reader Without Ads

在 App Store 取得 QR Code Reader Without Ads