如果你扫了一个恶意二维码，先别慌：大多数情况下，单纯扫码并不会造成危害。真正的风险在于之后做了什么。先关闭页面，然后回想自己有没有输入密码、填写银行卡信息、付款、安装 App 或授予权限，并针对每一项立即处理。
先弄清楚到底发生了什么
二维码只是存储文字的一种方式，通常是一个网址。相机识别出来后，手机一般会先显示链接，等你点击。所以关键问题不是“我扫了没有”，而是“扫完之后我做了什么”。
仔细回想一下，你是否：
- 只看到了预览，然后关掉，什么都没打开？
- 打开了网页，但什么都没输入？
- 在登录页上输入了用户名、密码或验证码？
- 填写了银行卡、网银信息，或身份证号、住址等个人信息？
- 付了钱，比如通过收款码，或者在假的停车缴费、快递页面上付款？
- 下载并安装了 App 或“描述文件”，或者允许了网页通知？
不同的答案对应不同的处理步骤。如果只看到了预览，基本可以放心。如果只是打开了网页、什么也没输入，风险很低，但仍然值得做几项快速检查。
分步处理：现在马上做这些
从上往下逐条处理，不适用的步骤可以跳过。
- 关闭页面，必要时断开网络。 关掉浏览器标签页。如果开始了下载，或者手机表现异常，在检查期间先打开飞行模式。
- 修改所有输入过的密码。 通过官方 App 或自己输入真实网址去修改，绝不要用可疑页面里的链接。如果这个密码在其他地方也用过，那些地方也要一起改。
- 开启两步验证。 为刚刚处理过的账号添加身份验证器 App，这样仅凭被盗的密码就无法登录。我们的两步验证指南介绍了具体方法。
- 如果泄露了金融信息或已经付款，立即联系银行。 拨打银行卡背面或官方银行 App 里的客服电话，要求冻结银行卡、监控异常交易，并询问这笔付款能否申诉或追回。支付宝、微信支付的付款，也要尽快通过 App 内的官方客服渠道反馈。越快越好。
- 删除你安装过的东西。 卸载来路不明的 App、描述文件或浏览器扩展。在安卓手机上，检查有没有陌生 App 获得了无障碍或设备管理器权限。在浏览器设置中，撤销授予陌生网站的通知权限。
- 退出其他设备上的登录。 很多服务，包括邮箱和社交平台，都可以查看当前登录的设备并一键退出。改完密码后再做这一步。
- 更新手机并做一次安全检查。 安装待更新的系统补丁。安卓手机可以用系统自带的安全检测或手机管家扫描；无论哪种手机，都检查一下最近安装的 App。
- 举报。 告知银行、被冒充的公司或平台，并视情况拨打 110 报警，或通过当地官方的反诈、消费者保护渠道举报。如果二维码贴在实体标牌或缴费机上，请告诉它的所有者或管理方，让他们及时清除。
如果你输入了密码或验证码
藏在二维码背后的钓鱼页面，通常会模仿常见的登录界面，比如邮箱、快递公司或银行。攻击者往往会立刻尝试使用盗来的信息，有时只需几分钟。
修改密码后，检查账号里有没有被动过手脚的迹象：
- 邮箱里新增的自动转发规则或过滤规则
- 被更改的安全手机号或备用邮箱
- 登录记录或安全记录里陌生的设备或地点
- 从你的账号发出、但不是你写的消息
如果你在假页面里输入过短信验证码或身份验证器里的动态码，要假定攻击者可能已经用它登录了。立即修改密码、退出所有会话，并检查账号的找回设置。
如果你付了款或泄露了银行卡信息
尽快通过官方渠道联系银行或支付平台。说明你是通过二维码被骗的，提供时间和金额，并按照他们的指引操作。保存好付款凭证、显示的收款方名称以及你打开的页面的截图。
之后几周也要留意账单。骗子有时会先用一笔小额消费测试银行卡，然后再尝试大额交易。如果你泄露了身份证号或住址，要格外警惕那些似乎很“了解”你的电话、短信或邮件，因为这些信息会让后续骗局更具迷惑性。
关于收款码的专门内容，请阅读扫码支付安全指南，其中讲了确认付款前如何核对收款方名称。
如果你安装了 App 或描述文件
从官方应用商店以外安装的 App，以及 iPhone 上的配置描述文件，都可能被用来监视你的操作或窃取数据。先把它们删掉，然后检查：
- 设备管理或描述文件设置，删除所有不认识的项目
- 安卓手机上的无障碍和设备管理器权限，恶意 App 经常索要这些权限
- 浏览器通知权限，诈骗网站会借此推送虚假警告
如果有东西删不掉，或者手机不断弹窗，先备份照片和重要数据，考虑恢复出厂设置。之后只从官方应用商店重新安装 App。
下次如何避免
二维码骗局之所以得逞，是因为二维码隐藏了目标地址。几个习惯就能堵住这个漏洞：
- 点击之前先看预览链接，仔细检查域名有没有拼写错误或多出来的字。
- 对贴在其他二维码上面的二维码保持怀疑，尤其是停车缴费牌、海报和收款台上的。
- 绝不在通过意外出现的二维码打开的页面上登录或付款，改用官方 App。
- 把“紧急”当作危险信号。“立即缴费以免罚款”“包裹即将退回”都是典型的施压手段。
如果对某个二维码拿不准，可以先用 QR-TH 在线扫描二维码。它直接在浏览器里识别二维码，在打开任何内容之前先显示目标地址，让你冷静判断。更多危险信号，请看我们的二维码诈骗防范指南。
FAQ
光扫一下二维码，手机就会被黑吗？
可能性很小。在系统保持更新的手机上，扫码通常只会显示文字或链接。危害一般来自打开恶意页面后输入信息、付款或安装东西。
我打开了链接但什么都没输入，安全吗？
风险很低。关闭页面，如果授予过该网站任何权限就撤销掉，并保持手机和浏览器更新。如果有文件被下载，不要打开，直接删除。
需要恢复出厂设置吗？
只有在安装了删不掉的东西，或清理后手机仍然异常时才需要。如果是密码或银行卡信息被盗，恢复出厂设置没有帮助，修改密码和联系银行才有用。
二维码诈骗应该向谁举报？
涉及钱款时向银行或支付平台反映，同时告知被冒充的公司，并拨打 110 报警或通过当地官方反诈渠道举报。如果二维码贴在公共标牌上，也要告诉标牌的管理方。
误扫可疑二维码确实让人紧张，但几乎在所有情况下，快速行动都能把损失降到最低。下次遇到看起来不对劲的二维码，先检查再打开：试试 QR-TH 的免费在线扫码工具，先看清二维码到底指向哪里。