二维码诈骗：如何识别假二维码（Quishing）

二维码看起来毫无危险。它只是一小块黑白方块，省去了输入长网址的麻烦，这几年已经成了打开菜单、缴账单、付停车费或排队取号的默认方式。骗子利用的正是这种便利：人眼读不懂二维码，没人能一眼看出它通向真正的商家，还是一个为了盗取密码或转账而仿造的页面。

本文讲解常被称为 “Quishing” 的骗局，也就是通过二维码发起的钓鱼。内容包括你在泰国和旅行途中最可能遇到的套路、扫码或付款前的简单检查，以及出了问题怎么办。文中也会坦率说明 VPN 在这件事上能做什么、不能做什么，因为老实的答案是：对这类威胁，VPN 帮助很小。关于如何判断网址，可以先读如何识别钓鱼网站。

Quishing 是什么，为什么有效

普通钓鱼通常是一条带链接的消息。现在不少邮件过滤器和聊天应用会扫描链接，遇到已知的恶意网址就发出警告。二维码却是一张图片，网址藏在图案里，许多过滤器读不出来。骗子只是把同一个陷阱换成了能绕过这些检查的形式。

骗子还有一个优势。你用手机相机扫码时，往往会离开原来的应用，在小屏幕上打开浏览器或其他应用。地址栏可能被缩短、部分隐藏或被截断，比在笔记本电脑上更难判断。人们也常常匆忙扫码，比如站在停车缴费机前，或坐在餐桌旁，后面还有人排队。

另外，二维码给人一种正式的感觉。它出现在海报、账单、收据和包裹上，旁边印着公司标志的二维码，比陌生号码发来的短信链接更容易获得信任。二维码本身是中性的技术，风险在于它贴在哪里、是谁贴的，以及背后的页面要求你做什么。

不妨记住二维码的本质：它只是一段编码后的文字，多数情况下是网址。它不会因为存在就入侵你的手机。通常情况下，损失发生在后面的步骤：你打开页面，然后登录、付款、下载东西，或者把验证码告诉了别人。

常见套路

以下是消费者保护机构和银行的提醒中反复出现的模式。具体细节各不相同，请把它们当作提防什么的参考，而不是完整清单。

停车机和路牌上的假贴纸

骗子把自己的二维码贴在停车缴费机、充电桩、共享单车停放点或路牌上的真二维码上面。贴纸指向一个看起来像真实支付网站的页面。你输入银行卡信息来付停车费，页面把信息收走，付款要么失败，要么付到了别处。

餐桌和菜单

桌上的二维码卡片或菜单本来很正常。但被换掉的二维码，或者不是店员放的卡片，可能把你带到要求登录、注册账号或先付押金的假菜单。真正的菜单在你点餐之前，几乎不需要密码或卡号。

被调包的收款码

商店、集市摊位和外卖骑手会出示二维码让顾客转账。不诚实的人可能在店里原来的码上贴一张别的码，让钱进入个人账户而不是商家账户。由于金额和银行应用的界面都显得正常，顾客可能直到店家说没收到钱才发现。

邮件、信件和包裹里的二维码

一封邮件、短信或纸质信件声称你的快递、罚款、税务或账户出了问题，让你扫码处理。包裹里的卡片也可能说扫码就能领礼品或退款。这些都是普通的钓鱼故事加上一个二维码，目的是制造紧迫感。

要求安装应用的二维码

有些二维码指向的页面说你必须安装应用才能领奖、查看文件或继续操作。这个应用可能是假的银行或“安全”工具，索取很宽的权限，也可能只是记录你输入的内容。通过链接而不是官方商店页面来安装应用，是一个重要的警示信号。

索要银行密码或验证码的二维码

真正的支付二维码会打开你自己的银行或钱包应用，显示收款人名称和金额让你确认。它不会让你在网页里输入银行 PIN，正规服务也不会要求你为了“收款”而读出或输入验证码。如果某个页面要求这两样中的任何一样，请立即停下。

主要骗局类型对比

骗局类型	在哪里遇到	骗子想要什么	最有效的一项检查
贴在真码上的贴纸	停车机、充电点、路牌	银行卡信息或付款到自己账户	看贴纸边缘，并读预览的网址
假菜单或登录页	餐桌、咖啡店	密码或账户信息	菜单真的需要登录吗？
被调包的收款码	商店、摊位、骑手	你的转账	确认前核对收款人名称
邮件或信件里的二维码	收件箱、邮寄、包裹	让你为不存在的问题赶紧行动	不扫码，通过官方渠道联系发件方
要求安装应用的码	海报、消息、弹窗	权限很宽的恶意应用	只从官方商店页面安装
索要 PIN 或验证码	任何假页面	银行 PIN 或一次性验证码	真正的页面不会通过二维码要这些

扫码、打开或付款前的简单检查

你不需要任何特殊工具。一套简短的流程就够了，在 iPhone 和 Android 上做法相同，只是菜单名称可能因版本而异。

扫码之前

1. 看码所处的环境。 这张贴纸是不是比周围的牌子更新、更亮或更歪？它是单独贴上去的，还是直接印在牌子上的？用指尖摸一下，看有没有边缘。
2. 想一想自己是否预期会收到。 邮件、信件或包裹里不请自来的二维码，比你主动选择使用的机器上的二维码更值得怀疑。
3. 考虑换一条路径。 缴账单或罚款时，自己输入公司或政府网站的地址，或使用你已经安装的应用。

出现预览时

多数手机相机和扫码应用会在打开之前，以横幅或弹窗的形式显示网址。点击之前先读一遍。

1. 检查域名，也就是第一个单斜杠之前的部分。逐个字母和你预期的名称对照。
2. 对短链接保持谨慎，例如以短链接服务开头的地址，它们会隐藏真实目的地。
3. 留意奇怪的拼写、多余的单词、很长的数字串，或者熟悉的品牌名后面跟着不相关的名字。
4. 看网址是否以 https 开头，但要记住小锁只说明连接已加密。HTTPS 并不能证明网站诚实，因为骗子也能申请证书。
5. 只要觉得不对劲，就不要打开。关闭预览不需要任何成本。

确认付款之前

1. 等银行或钱包应用显示收款人名称和金额。
2. 把名称和你要付款的商家对照。店名是一个，收款人却显示个人姓名，值得向店员简单问一句。
3. 核对金额，如果是固定金额的码，确认和账单一致。
4. 最后才用你自己的指纹、面容或 PIN 在真正的银行应用里批准。

通过二维码链接绝不要做的三件事

• 绝不从二维码安装应用。请自己在官方商店搜索并核对发布者。
• 绝不在通过二维码进入的网页上输入银行 PIN、银行卡 PIN 或完整的卡片安全信息。
• 绝不因为页面或来电者要求，就把短信里的验证码读出来或输入进去。

一个简单的例子

假设你把车停在市中心的停车场，缴费机上有个二维码可以用手机付款。你扫了码，预览的网址和停车场运营方对不上，结尾还是一个陌生的单词。页面要求输入银行卡号和卡背面的三位数字。

因为你读了预览，发现网址不对。你关掉页面，更仔细地看这台机器。二维码贴纸的一个角上有明显的边缘。于是你用之前从商店下载的运营方官方应用付款，或者用机器上的付款选项，并把贴纸的事告诉停车场工作人员。

再看第二个情况。你在集市摊位用银行应用扫摊主的二维码，应用显示的是个人姓名，而不是摊位的商家名称。你问摊主，摊主解释说摊位登记在老板个人名下。你觉得放心，就付了款。如果解释对不上，你会取消并改付现金。这两个例子里，起关键作用的检查都是人做的，而不是手机上的任何软件。

VPN 能做什么，不能做什么

很多人以为 VPN 能覆盖这类风险，这一点有必要讲清楚。

VPN 会加密你的设备与 VPN 服务之间的流量，在机场或酒店使用公共 Wi-Fi时有帮助。如果你在那种 Wi-Fi 上扫了二维码，VPN 可以减少本地网络能看到的你的浏览内容。

VPN 做不到的事：

• 它不会告诉你二维码背后的页面是否真实。诈骗网站通过加密隧道也能照常加载。
• 它不会阻止你在假页面里输入信息。如果你输入了密码，骗子照样会收到。
• 它发现不了被调包的收款贴纸，也不会改变谁收到你的转账。
• 你一旦装了恶意应用，它也无法帮你清除。

所以，VPN 是在共享网络上保护连接的合理一层，但它不是防御 Quishing 的手段。想更全面了解它的局限，请读VPN 无法保护你的哪些方面。在这里真正起作用的是你自己的检查、强且各不相同的密码，以及双重验证，它能在密码被盗时限制损失。CISA 关于多重身份验证的指南解释了为什么值得设置这一步。

出国旅行时用二维码付款

用二维码付款在许多国家都很常见，各地的规则和应用并不相同。旅行时，你可能在使用不熟悉的钱包、外国商家的码，或者看不懂语言的付款界面。这让核对收款人名称和金额更加重要，因为你不能依赖对当地品牌名的熟悉。销售旅行 eSIM 的 eSIMonline 有一篇实用的指南，介绍境外扫码支付，从出行的角度做了说明。请向你的银行了解在目的地国家哪些银行卡和应用可用，并准备一个备用的付款方式。

另外要记住，许多二维码付款需要可用的手机流量。请在柜台前冷静地做完检查，不要因为后面有人排队就匆忙。

局限与需要留意的地方

没有哪份检查清单是完美的，最好知道漏洞在哪里。

• 做得好的假货可能毫无破绽。 仿造得好的页面可能使用看似可信的网址并照搬设计。预览的网址和收款人名称是你最好的信号，但不是保证。
• 短链接会隐藏目的地。 一些正规商家也会使用，这让规则难以套用。当目的地很重要，比如付款时，尽量选择你自己发起的路径。
• 动态二维码可能变化。 商家可能更新二维码指向的地址。上周能用的码，并不能证明今天的贴纸没有被换掉。
• 催促是警告信号。 要求几分钟内行动、威胁罚款或承诺奖品的消息，目的就是不让你检查。
• 官方说法会有变化。 银行和有关部门会发布各自的建议，也可能更新。对某个具体的码不确定时，应该向官方渠道询问。

也要小心在自己设备上扫的东西。不要扫陌生人发来的码，对陌生地方的“扫码连接 Wi-Fi”也要谨慎，因为你不知道背后是谁的网络。

如果觉得自己中招了

速度很重要。请按顺序处理。

1. 停下并断开。 关闭页面。如果安装了应用，请卸载，并用手机自带的工具做安全扫描。
2. 联系银行或相关服务。 使用银行卡背面或官方网站上的电话，而不是页面或消息里的号码。如果刚刚转了账，请对方冻结银行卡或暂缓这笔转账。
3. 修改密码。 先改你输入过的密码，以及其他重复使用该密码的账户。每个账户使用不同的强密码。
4. 开启双重验证，邮箱、银行和购物账户只要支持就打开。
5. 留意账单，持续几周，发现陌生交易立刻上报。
6. 举报骗局。 告诉被冒用名称的商家，并通过你所在国家的官方渠道举报。在泰国，通常指你的银行和相关部门，请查看其官方页面获取最新联系方式。
7. 保留证据。 对页面、网址和所有消息截图，并保存收据。

不必觉得尴尬。这些骗局的设计就是要对谨慎的人也有效，而举报得越快，限制损失的机会越大。

总结

二维码把网址藏了起来，所以骗子把它用在贴纸、菜单、收款牌、邮件和包裹上。风险不在扫码本身，而在你之后的动作：登录、付款、安装应用或输入 PIN。请读清预览的网址，在自己的银行应用里确认收款人名称和金额，绝不要通过二维码链接安装应用，或提供 PIN 和验证码。VPN 能保护共享 Wi-Fi 上的连接，却无法判断二维码的真假，所以在这件事上，你自己的检查和双重验证更重要。如果想在旅行和公共网络中多加一层保护，可以在 XPASS 价格页面了解按天计费的预付通行证。