不被假二维码骗到的 5 个防身术
假二维码藏在哪里
利用二维码实施的诈骗（业内称作 quishing，即二维码钓鱼）从 2023 年以后急剧增加。手法很简单，就是把伪造的贴纸盖在真的二维码上面。停车场的缴费机、餐厅的餐桌、公共设施的指示牌、投进信箱的宣传单——扫了贴在这些地方的假二维码，就会被引导到与正版几乎一模一样的钓鱼（网络诈骗）网站，信用卡信息和登录账号会被盗走。
美国联邦调查局（FBI）在 2022 年发出正式警告，呼吁「在扫描二维码之前，先确认它有没有被物理篡改」。英国多次发生在停车场缴费机上贴假二维码的案件。日本则在 2025 年 10 月，多家媒体报道京王线车厢内电气通信大学的广告上被贴了一张二维码贴纸，该校表示那并非自己所放，随后通过官方账号发出提醒。贴纸压在广告文字上，位置看起来很自然，容易被当成校方指引的读取入口。张贴物往往只被人短暂看到，却没有谁在日常检查它有没有被换过，张贴方发现异常需要时间，这正是这种手法成立的土壤。
防身术 1：扫描后一定要确认链接
最基本也最有效的防范，就是在扫完二维码之后确认显示出来的链接。iPhone 和 Android 都会在打开浏览器之前先把链接预览出来，请务必看一眼这个预览。
要检查的有三点。第一，域名是否正确。要警惕像 paypa1.com 这种把 l 换成 1 的假域名。第二，是否以 HTTPS 开头，只有 HTTP 的站点可信度低。第三，链接是不是长得不自然，正规的服务通常用简短清爽的网址。只要有一点点不对劲的感觉，就不要点，直接把浏览器关掉。
防身术 2：看穿贴纸的覆盖
物理形态的假二维码，多数是把贴纸盖在真码上面的手法。识破的要点是：二维码周围有没有不自然的高低差或者鼓起，印刷的质感是不是和四周不一样，贴纸的边角有没有翘起。
特别要注意的是不特定多数人都能接触到的公共场所：停车场的缴费机、公共卫生间的指示牌、公交站的时刻表、旅游景点的导览板。在这些地方，请养成用手摸一下二维码、物理地确认上面有没有被贴东西的习惯。
如果自己手机里已经装了官方应用、可以直接从应用进入，那就不用二维码而走应用，会更安全。
防身术 3：不通过二维码输入支付信息
如果扫了二维码之后的页面要求你填写信用卡号、银行账户信息或者密码，就该怀疑是诈骗。正规的服务很少让人经由二维码直接输入支付信息。PayPay、乐天支付（日本国内的移动支付服务）这类正规服务，处理都是在专用应用内部完成的。
如果确实处在需要付款的场面（比如停车费）而现场只摆着二维码，那就别用这个码，改从服务方的官方网站或官方应用直接进入。虽然多花一点工夫，但想想为了付几千日元的停车费而承担几十万日元信用卡被盗刷的风险，这份工夫算是很便宜的保险。
防身术 4：让机器去核对链接的去向
防身术 4 是借助机器自动核对链接去向的功能。手机上的安全应用，以及浏览器和操作系统内置的保护功能，都可以把即将打开的网址与已知诈骗网站的名单做比对，命中时弹出警告。花一分钟确认这类保护在自己的设备上处于开启状态，就相当于在走向假网站之前多设了一道关口。
不过这种比对的前提是「已经被报告并登记在名单上的网站」。诈骗网站常常短时间内建好又消失，还没进名单的新站点会直接穿过检测。也就是说，没有弹出警告并不能证明安全。机器的比对只是最后一张网，它要和防身术 1 到 3 的肉眼确认配合，才真正起作用。
防身术 5：举报可疑的码，挡住下一个受害者
防身术 5 是发现可疑的二维码就举报。在公共场所看到明显是事后被贴上去的二维码，请先向该设施的管理方报告。有权把它撕下来的是张贴方，即使自己没有受害，这一次报告也能挡住下一个人的损失。顺手拍一张能看清位置的照片，管理方核实起来会快很多。
在日本，受理非紧急咨询的全国共通短号是警察咨询专用电话（#9110），它会把来电转接到打电话所在地区的警察本部等咨询窗口，案件和事故的紧急报警则是 110。至于网络犯罪本身的咨询，由各都道府县警察设置的窗口受理。另外，反钓鱼协议会也公开了受理假网站信息的举报窗口。
看不出真假的码，与沉住气确认的习惯
假二维码麻烦的地方在于，真的和假的从外观上完全区分不出来。黑白的图案，在读取之前无法让人知道它要去哪里。
如果是用文字写出来的链接，有时还能察觉到可疑之处，而图案完全给不了线索。攻击的一方正是利用了「码的内容看不见」这个性质。既然靠肉眼判断不了，那么养成读取之后立刻核对显示信息的习惯，就是防止受害最要紧的事。
另一个原因是，扫码这个动作本身太顺手了。举起手机、页面就已经打开，中间几乎没有让人思考的间隙。相比之下，收到一封可疑邮件时，人还会先看看发件人。这条「没有停顿」的路径，是攻击者真正依赖的东西。
假码造成的损失，很多都源于慌张之下的操作。遇到「请立即办理」这种煽动不安的提示时，恰恰最该先停一下。
显示出来的链接，真的属于你要找的那个机构吗？有没有一上来就索要个人信息或支付信息？一条一条沉住气核对，多数危险都能避开。只要感到一点不对，就自己另外从官方应用或者官方窗口重新确认一遍。这份谨慎，是抵御精巧手法时不可缺少的姿态。
还有一个简单的自保办法：把手机设置成扫码后不自动跳转，而是先显示链接等你确认。iPhone 的相机与多数 Android 机型默认就是这样，不要为了省一次点击而关掉它。