二维码钓鱼邮件会要求你扫一个码，通常是为了“重新验证”账号、签署文件或重置密码。攻击者之所以用二维码，一是因为邮件过滤系统不一定能读出图片里的链接，二是因为扫码会把你转到手机上，而手机上的假登录页更难识别。
钓鱼邮件几乎和电子邮件一样古老，而二维码版本（英文常称 quishing）是一种较新的变种。邮件里不再是一条可以用鼠标悬停查看的蓝色链接，而是一张方形图片。本文解释攻击者为什么喜欢这种手法、这类邮件通常长什么样，以及员工和企业各自可以怎样保护自己。
攻击者为什么把二维码放进邮件
从骗子的角度看，一个二维码能同时解决好几个问题：
- 隐藏链接。 人看不懂二维码，所以无法一眼发现可疑网址。
- 可能绕过过滤。 很多邮件安全工具会把文字链接与已知恶意网站名单比对。藏在图片里的链接更难检查，不过现在越来越多的工具也开始扫描图片。
- 把你转移到另一台设备。 你在有公司安全防护的办公电脑上看邮件，却用防护可能更少的个人手机扫码。
- 小屏幕隐藏细节。 手机上的地址栏很短，假登录页和真的看起来差不多。
- 显得正式又现代。 银行、航空公司和雇主都在用二维码，所以邮件里出现二维码，并不会让人自动起疑。
二维码钓鱼邮件长什么样
这类邮件形式多样，但通常有固定的套路。常见主题包括：
- “您的密码今天到期，扫码保留当前密码。”
- “需要重新启用多因素认证，请用手机扫码。”
- “有一份共享文件等待查看，扫码查看。”
- “您的工资或奖金信息已更新。”
- “有一个包裹或一张发票需要您确认。”
典型的危险信号：
- 紧迫感：期限很短，或威胁说要锁定账号。
- 奇怪的发件人：显示名称是“IT 支持”或某个知名品牌，但实际邮箱地址对不上。
- 文字很少、二维码很大：邮件基本就是一张带二维码的图片加一句简短指示。
- 泛泛的称呼，而不是你的名字。
- 扫码后出现登录页：二维码打开的页面要你输入工作邮箱和密码，或者一个验证码。
最后一点最关键。正规的 IT 部门几乎不会要求你通过邮件里的二维码登录。
收到这类邮件该怎么办
如果你是员工，收到了可疑的二维码邮件：
- 不要用手机扫码。
- 不要转发给同事问是不是真的，因为可能有人会去扫。
- 上报，使用公司的钓鱼邮件举报按钮，或通过已知渠道联系 IT 部门。
- 自己去核实账号。 如果邮件提到密码或文件，通过平时用的网址或 App 直接进入该服务查看。
- 上报之后，如果公司流程允许， 删除邮件。
如果你已经扫码并输入了信息，要尽快行动：修改密码，立即告诉 IT 部门，并按照我们的指南扫了恶意二维码怎么办一步步处理。
在工作以外，同样的习惯也适用。如果你想知道一个二维码会跳转到哪里而不直接打开，可以用 QR-TH 的在线扫码工具这类会先显示目标地址的工具，先看清楚再点。
企业如何保护员工
没有哪一种工具能拦住所有二维码钓鱼。好的防护要把技术、流程和人结合起来。
邮件与安全工具
- 使用能识别图片和附件中的二维码、并检查其中链接的邮件安全服务
- 在公司设备上，以及在合适的情况下在受管理的手机上，保持链接检测和安全浏览防护开启
- 对来自组织外部的邮件做明显标记，尤其是那些使用听起来像内部名称的邮件
强有力的登录保护
- 要求所有员工账号开启多因素认证
- 在条件允许时，优先使用通行密钥（passkey）或安全密钥等抗钓鱼的方式，因为一次性验证码仍可能在假页面上被骗走
- 鼓励使用身份验证器 App，而不是短信验证码。我们的两步验证指南介绍了各种方式
- 监控异常登录，例如来自新国家或新设备的登录
清晰的流程
- 明确告诉大家：IT 部门绝不会要求员工通过邮件里的二维码登录
- 提供一个简单的可疑邮件上报方式，并感谢使用它的人
- 制定预案，在有人报告误操作时，能快速重置密码并强制下线所有会话
让培训真正记得住
- 在培训中展示逼真的二维码钓鱼邮件示例
- 教会大家问一个简单的问题：“这件事为什么需要扫码？”
- 开展包含二维码的钓鱼演练，之后给予友好的反馈，而不是责备
员工如果不怕因犯错被批评，就会更快上报，从而减少损失。
正当的邮件二维码
并非所有邮件里的二维码都是恶意的。电子门票、登机牌和一些设备配对登录都会正当地使用二维码。区别通常在于情境：你本来就在等这封邮件，它和你做过的事情有关，而二维码是用来出示或在已知 App 里使用的，而不是让你在陌生页面上输入密码。
发送正规二维码的企业也可以帮忙：说明二维码的用途，在旁边附上一个可识别的链接作为替代，并使用可信的域名。
FAQ
钓鱼邮件为什么用二维码而不用链接？
因为链接对人和部分过滤系统都是隐藏的，而且扫码会把受害者转到手机上，那里的安全防护和可供识别的视觉线索往往更少。
我的邮箱服务能拦截二维码钓鱼吗？
现在很多邮件安全服务会扫描图片里的二维码并检查链接，但没有一种能全部拦住。你自己的警惕仍然是重要的一道防线。
银行邮件里的二维码可以扫吗？
要谨慎。银行很少要求你通过邮件里的二维码登录。请打开银行的官方 App，或自己输入官方网址。
扫码后输入了工作密码怎么办？
立即修改密码，告诉 IT 或安全团队，让他们检查是否有可疑登录。动作越快，损失越小。
先看清，再打开
二维码钓鱼之所以奏效，是因为人们不假思索就扫码。把检查变成习惯：收到意外的二维码时，先用 QR-TH 的在线扫描二维码工具看看它会跳到哪里，再决定是否打开。