二维码篡改，是指有人把假二维码贴在商家真正的二维码上面，让扫码的顾客进入诈骗页面，或者把钱付到错误的账户。商家可以通过定期检查二维码、使用防篡改材料、把二维码放在员工看得到的地方，以及使用可监控、可修改的活码来保护自己。
公共场所任何印刷的二维码都可能成为目标：收银台的收款码、餐桌上的菜单码、海报、停车标牌或送货车上的二维码。好消息是，几个简单的习惯就能让篡改更容易被发现，也更难得逞。
二维码篡改是怎么做的
最常见的手法并不高明。犯罪分子把假二维码打印在尺寸合适的贴纸上，直接贴在真二维码上面。对匆忙的顾客来说，看上去一切正常。
这个假二维码可能会：
- 打开一个仿冒网站，要求输入银行卡信息、登录密码或个人信息。
- 显示另一个账户的收款码，让钱流向骗子而不是商家。
- 打开一个诱导访问者下载 App 或文件的页面。
多个国家的消费者保护机构和银行都曾提醒公众，警惕停车缴费机、收款台和公共标牌上的假二维码贴纸。对商家来说，伤害是双重的：顾客损失了钱，而且他们往往会怪罪在哪里扫的码，就是哪家店的责任。
二维码被篡改的迹象
培训员工留意这些警示信号：
- 贴纸边缘凸起、有气泡，或者尺寸和原来的略有不同。
- 二维码看起来比标牌其他部分更新、更亮，或者颜色不同。
- 在原二维码旁边多出一个二维码，配上“扫码领优惠”之类诱人的文字。
- 二维码周围有损坏、划痕或胶水痕迹。
- 顾客提到扫码后出现了奇怪的页面、要求登录，或者付款时看到了陌生的收款方名称。
扫码是最好的检验方式。扫你自己的二维码时，目标地址应当正是你预期的链接；如果是收款码，显示的应当是你正确的收款方名称。
每日二维码检查流程
形成习惯后，每个二维码的检查不到一分钟。下面是一份简单清单：
- 建立一份清单，列出你展示的每一个二维码，以及它的位置和应有的目标地址。
- 每天开门时看一看、摸一摸每个二维码，用手指感受一下有没有多出一层贴纸。
- 抽样扫码，用员工的手机扫一下（最好每天换一部），确认目标地址正确。
- 检查收款码，确认支付宝、微信支付或银行 App 中显示的收款方名称与你的店铺一致。
- 发现可疑之物立即移除，并保留作为证据，最好先在原位拍照。
- 记录检查情况，用简单的记录表写上日期和检查人姓名缩写，有遗漏一眼就能看出来。
像我们的在线扫码工具这样的工具，会在打开前先显示目标地址，方便你确认链接，而无需访问不可信的页面。
让二维码更难被篡改
一些物理上的选择，可以让覆盖贴纸更显眼或更难贴上去。
- 把二维码直接印进标牌或菜单卡的设计里，而不是单独贴一张贴纸。这样一来，额外贴上去的东西就会很显眼。
- 必须用贴纸时，选用防篡改或易碎标签材料。 这类材料一旦被撕或被覆盖，就会破裂或显示特殊图案。
- 把二维码放在透明亚克力板后面或相框里，这样就无法直接在上面贴东西。
- 在二维码旁边加上店铺名称和一句提示，比如“本店收款方：你的店铺名称”。顾客就知道应该看到什么。
- 把二维码放在员工视线范围内。 收银台上的二维码，比无人看管的户外标牌上的难篡改得多。
- 避免重复张贴。 你展示的二维码越多，需要检查的也就越多。
使用可监控的活码
活码指向一个短链接，再由短链接转到你的页面。这给了你很实用的控制权：
- 随时修改目标地址，不用重印。网站迁移或页面出问题时尤其有用。
- 扫码统计能反映正常规律。 某个位置的扫码量突然下降，可能意味着那里的二维码被假码盖住了。
- 品牌短链接容易辨认。 顾客可以核对链接是否和预期一致。
在 QR-TH 上，活码使用 qr-th.com/r/ 短链接，每个链接都会经过 Google Safe Browsing 检测，并每晚重新检测。访问者还会看到一个加载页，在打开前显示链接的去向。这些功能无法阻止别人往你的标牌上贴假贴纸，但能帮你及时发现问题，并保证你自己的链接干净可靠。
收款码需要格外小心
收款码是最诱人的目标，因为一旦调包成功，钱会直接流进犯罪分子的口袋。
- 提醒顾客在确认付款前核对 App 中的收款方名称，并把这句提醒写在标牌上。
- 条件允许的话，用屏幕或收银终端展示动态收款码，代替固定的印刷贴纸。
- 如果你在泰国使用印刷的 PromptPay 收款码，请每天检查，并把它放在靠近收银台的地方。
- 如果有顾客反映付款时看到了别的名字，立即停用这个二维码，并联系银行或支付平台。
我们的扫码支付安全指南介绍了顾客付款前应该检查哪些内容。
发现假二维码怎么办
- 撕下假贴纸并保留，撕之前和撕之后都拍照。
- 立即检查你所有其他的二维码，因为可能不止一个被替换了。
- 如果顾客可能扫过，贴一张简短的告示，说明需要注意什么。
- 向公安机关报案；如果涉及收款码，同时告知银行或支付平台。
- 重新印刷二维码，并重新评估它的摆放位置。
常见问题
怎么判断二维码贴纸是假的？
看有没有翘起的边缘、尺寸或质感是否不同、有没有东西盖在原码上。然后扫一下，确认目标地址或收款方名称与你的店铺一致。
用活码能防止篡改吗？
不能。任何印刷的二维码都可能被贴纸覆盖。活码能帮你监控扫码量、快速修改目标地址，让问题更容易被发现和处理。
多久检查一次二维码比较合适？
公共区域或人流量大的地方，最好每天检查，开门时检查最理想。员工专用区域或有人看管的地方，可以适当降低频率。
顾客扫码付款前应该检查什么？
在确认付款之前，核对支付 App 中显示的收款方名称和金额是否与店铺一致。
保护印刷的二维码，关键在于形成习惯：清楚自己的二维码在哪里，经常检查，让假码一眼就能被认出来。用 QR-TH 的免费二维码生成器创建可追踪的活码，用扫码统计随时关注每一个位置。