二维码诈骗，英文里常被称为 Quishing（二维码钓鱼），是指利用二维码把你引到虚假网站，骗取账号密码、银行卡信息或直接骗钱。因为人眼看不懂二维码，骗子就把恶意链接藏在里面。最好的防范办法其实很简单：打开链接或付款之前，一定先看清链接预览。
二维码用起来方便，这正是骗子喜欢它的原因。下面来看看扫码钓鱼是怎么运作的，以及如何识别。
什么是二维码钓鱼？
“Quishing”由“QR”和“phishing（网络钓鱼）”拼合而成。网络钓鱼是指冒充银行、快递公司、政府部门等可信机构，诱骗你交出敏感信息。二维码钓鱼的手法相同，只是把可点击的链接换成了二维码。
这种手法对骗子有效，原因有几个：
- 你看不到链接。 不论是通向真银行还是假银行的二维码，看上去都一模一样。
- 它把你带到手机上。 手机屏幕小，更难仔细检查地址栏，也不容易发现拼写略有差别的域名。
- 它能绕过过滤。 邮件和短信的过滤系统擅长识别文字中的可疑链接，但藏在图片里的链接更难被发现。
- 人们习惯信任二维码。 我们每天在餐厅、商店扫码，很少停下来想一想。
许多国家的消费者保护机构和银行都曾提醒公众警惕二维码诈骗，尤其是停车缴费机、收款牌上的假二维码以及邮件中的二维码。
二维码诈骗常出现在哪里
凡是人们习惯扫码的地方，都可能出现二维码钓鱼。最常见的有：
- 公共设施上的贴纸。 在停车缴费机、充电桩、共享单车或公交站牌上，把假二维码贴在真二维码上面。
- 收款台。 商店或摊位的收款码被替换，顾客的钱转进了骗子的账户，而不是商家的。
- 电子邮件。 声称你的密码即将过期、有文件需要签署或账户被锁定，附上二维码让你“处理一下”。
- 信件和快递通知。 伪造的派送失败通知或看似官方的信函，要求你扫码支付一小笔费用。
- 传单和海报。 好得令人难以置信的优惠，比如免费领礼品、超低折扣，实际通向假网店或收集个人信息的表单。
- 社交媒体和聊天消息。 在群聊或私信里发来的二维码，往往还会催促你赶快操作。
想看更多真实场景，请阅读我们整理的常见二维码诈骗案例。
假二维码的识别信号
识别大多数二维码诈骗并不需要专业技术，留意下面这些危险信号即可：
- 贴在另一个二维码上面的贴纸。 用手指摸一摸，如果有凸起、边缘翘起，或者看起来比周围的标牌更新，就要提高警惕。
- 链接对不上。 预览中显示的域名不是该机构的真实官网，拼写奇怪，或者是一长串随机字符。
- 催促或威胁。 “您的账户今天将被冻结”“请在一小时内付款”都是典型的施压手段。
- 要求输入登录信息或银行卡信息。 停车缴费、菜单或快递通知，几乎不会需要你的网银密码。
- 意料之外的 App 下载。 如果二维码要求你安装 App，尤其是来自官方应用商店之外的，一定要格外小心。
- 邮件里让你扫码登录的二维码。 正规服务通常会让你直接访问官网或打开官方 App 登录。
- 付款时收款方名称不对。 如果支付 App 里显示的收款方不是你要付款的商家，立即停止。
如何防范二维码诈骗
好习惯能让二维码钓鱼大打折扣。下面是一份实用清单：
- 先看预览。 相机扫码后会先显示链接，花两秒钟看清域名再决定。
- 拿不准就直接访问。 不扫码，自己输入公司官网地址，或者打开官方 App。
- 付款前核对收款方。 支付宝、微信支付和手机银行都会显示收款方名称，确认与商家一致。我们的扫码支付安全指南对此有详细说明。
- 扫了不明二维码后，绝不输入密码。 如果页面要求登录，关掉它，改从官方 App 登录。
- 开启两步验证。 即使密码被盗，身份验证器 App 还能多加一道屏障。
- 及时更新手机系统。 安全更新会修补恶意网页可能利用的漏洞。
- 使用能安全预览的扫码工具。 不确定时，用能在打开前显示目标地址的工具来扫码。
在 QR-TH 上，每个短链接在创建时都会经过 Google Safe Browsing 检测，并在每晚重新检测。访问者还会看到一个加载页，在打开之前显示链接的真实去向。这些工具能帮上忙，但最好与你自己的判断结合使用。
扫了假二维码怎么办
如果发现自己打开了可疑页面，要迅速而冷静地处理：
- 关闭页面，不要再输入任何信息。
- 如果输入过密码，立即在真正的官网上修改密码，其他使用相同密码的账号也一并修改。
- 如果填写过银行卡或账户信息，马上通过银行卡背面或官方 App 里的客服电话联系银行。
- 如果安装了 App，立即卸载，并运行手机自带的安全检查。
- 告知相关商家或场所，让他们移除假二维码；如有资金损失，及时拨打 110 报警。
我们的分步指南扫了恶意二维码后该怎么办有更详细的说明。
给商家的建议
如果你的店里张贴了二维码，可以采取一些措施让骗子无从下手：定期检查印刷的二维码上有没有被贴上贴纸，培训员工识别篡改迹象，并在你能掌控的域名上使用活码，这样既能查看扫码统计，也能快速更新链接。在收款码旁边印上店铺名称，也能帮助顾客确认自己付款给了正确的人。
常见问题
扫二维码会让手机被黑吗？
单纯扫码不会让手机被黑。危险在于扫码之后的操作：访问假网站、填写信息或安装 App。打开链接之前务必先检查。
怎么判断二维码是不是假的？
看看有没有贴在其他二维码上的贴纸，仔细阅读链接预览，对任何要求输入密码、银行卡信息或催促付款的页面保持怀疑。拿不准时，直接访问官方网站。
邮件里的二维码安全吗？
要格外谨慎。邮件里让你扫码登录、验证账户或缴费的二维码，是常见的钓鱼手法。请直接访问相关服务，而不是扫码。
遇到二维码诈骗应该向谁举报？
告知发现二维码的商家或场所；如涉及资金或银行卡信息，联系你的银行；并向当地公安机关报案。
二维码钓鱼靠的就是人们不假思索地扫码。很多时候，停下两秒看清链接就足以保护自己。下次遇到拿不准的二维码，用 QR-TH 的在线扫码工具先看看它真正通向哪里，再决定是否打开。