如何识别假二维码（防范二维码钓鱼）
光看二维码本身，你没法判断它是否安全，所以动手之前先检查目的地。看清手机预览出来的网址，对意外消息里的码、贴在其他码上面的贴纸保持警惕；如果你无法核实码的来源，就绝不要在它打开的页面里输入密码或银行卡信息。商家可以给码加框、定期检查，并在旁边印上自己的名字，来降低风险。
什么是二维码钓鱼
二维码钓鱼（英文叫 quishing）就是借二维码实施的网络钓鱼。码本身只是一个网址的图片，骗局在于它打开的页面。不管指向菜单还是假登录页，图案看起来都一样，所以人们容易放松警惕；而那些扫描文本里恶意链接的安全过滤器，可能根本不会去读图片。美国联邦贸易委员会（FTC）在 2023 年 12 月发布过一份消费者警示，描述的正是这种情况，包括骗子把停车咪表上的码换成自己的，以及编造紧急情况（比如快递投递失败）的消息，催人赶紧扫码。
两种常见手法
覆盖贴纸。 犯罪分子打印一个码，贴在真码上面：停车咪表、餐桌、海报、慈善募捐箱上。顾客以为自己在付款或看菜单，其实被带到了一个以假乱真的页面。
不请自来的码。 一封信、一封邮件或一条短信，让你扫码改约快递、确认银行交易或领取奖品。急迫感本身就是危险信号。
打开二维码前的七项检查
- 看清手机显示的网址。 iPhone 和安卓手机打开前都会显示目的地。把域名和你预期的对象对比一下。咖啡馆的菜单不应该打开一个你从没听说过的域名。
- 对贴纸和消息里的短链接保持怀疑。 短链接隐藏了最终去向。它本身并不危险，但让你少了一道本来可以做的检查。
- 看看码的实物。 是不是一张贴在其他印刷品上的贴纸？边缘有没有翘起？是不是贴在一个本不该有贴纸的地方？
- 问问自己是不是在等它。 不请自来的信件或消息里的码，要格外怀疑。
- 自己去官方网站。 如果一个码自称来自你的银行或快递公司，就关掉它，直接打开官方 App 或网站。
- 在无法核实的页面上，绝不输入账号密码或银行卡号。 检查网址是否对得上，以及你是否真的需要来这个页面。
- 用能预览链接的识别工具。 截个图，用一个在打开任何东西之前先显示完整网址的工具来读码，是检查它的安全办法。
商家应该怎么做
如果你给顾客印二维码，你也是防线的一部分。
- 把码装得没法被盖住。 用框、透明罩或桌牌支架，而不是一张散贴的贴纸。
- 在码旁边印上你的名字，并在页面上也显示出来。 知道页面应该写着什么的顾客，就能认出假的。
- 定期检查码。 每天开门时检查，尤其是涉及付款或捐款的地方。
- 用你自己掌控的域名上的短链接，或者选一家会审核目的地的服务商。 动态码让你在出问题时能迅速改掉目的地，而会检查滥用行为的服务商，能降低你自己的码被用来害人的可能。
- 绝不在通过海报进入的页面上索要银行卡信息。 把顾客引到你的支付服务商托管的付款页面。
如果你扫了可疑的东西
什么都别输入，直接关掉页面。如果输入了密码，就去真正的网站上改密码，并开启两步验证。如果输入了银行卡信息，打电话给银行。把贴纸的事告诉场所的管理方，必要时也向你所在国家的消费者保护机构举报。
常见问题
光扫一下二维码就会让手机中毒吗？
扫码只是读取文本。风险来自你接下来的操作：打开恶意页面、安装它推荐的东西，或者输入账号密码。保持手机系统更新，对打开的页面多加小心。
怎么在不打开的情况下检查一个二维码？
看相机应用显示的网址预览，或者截个图，用一个在打开任何东西之前先显示内容的工具来解码。我们的免费二维码识别工具就能在浏览器里做到这一点，而且不会上传图片。
二维码用起来不安全吗？
不比任何链接更危险。来自你信任的来源、通向你预期的网站时，它就是安全的。像对待邮件里的链接一样对待它：动手之前先看清它会去哪里。