假二维码贴纸，是指有人把一张二维码贴在正规二维码上面，或者把二维码贴在本来不该有码的地方，让你扫码后进入攻击者控制的网站。大多数假码可以通过几个方法识破：检查贴纸表面有无篡改痕迹、只扫那些在该位置理应出现的码，以及在点击任何东西之前先看清手机显示的网址。如果你已经扫码并输入了信息，就要迅速行动：修改相关账户的密码，如果付了款或填写了银行卡信息就联系银行，并警惕后续的钓鱼攻击。
为什么假二维码贴纸能得逞
二维码是“沉默”的。一张印刷精良的贴纸，看上去和商家正常使用的码一模一样，而大多数人经过多年的菜单码、停车缴费码、支付海报的“训练”，已经习惯不加思索地扫码。手机把活干了，眼睛就不再干活。
攻击手法本身很简单。有人印一张指向仿冒网站的码，路过停车缴费机或餐厅餐桌时，把它贴在真码上面。你一扫，就落在一个模仿官方支付页面或应用的网页上，页面要求你输入银行卡信息或登录凭据。因为扫码是你自己主动做的，这种请求在你心里比一条陌生短信可信得多。
安全圈里把这种攻击叫作 "quishing"，但名字不如原理重要：二维码本质上只是一个链接，而链接可以指向任何地方。你的防御方法，就是像对待陌生邮件里的链接一样对待每一次扫码。
假码常出现的地方
凡是引导你付款、登录或下载东西的二维码，都是潜在目标。最常见的几类：
- 停车缴费机和手机缴费停车标志，假码可以把人引到套取银行卡信息的付款页面。
- 公共充电桩、共享单车桩和电动车充电桩上的贴纸。
- 活动、慈善或快递相关的海报和传单，尤其是要求交定金或“配送费”的那种。
- 餐厅桌上的菜单码和付款码。
- 包裹和快递单，假的“追踪包裹”码可能引向要求支付“二次投递费”或索取个人信息的钓鱼页面。
- ATM 机周边、售票机，以及任何表面光滑平整、贴纸可以严丝合缝贴上去的公共终端。
它们的共同点是钱或登录凭据。一个通向 Wi-Fi 登录页的码，远不如一个通向付款表单的码有吸引力，所以你的警惕应集中在要求付款或登录的码上。
肉眼可见的篡改痕迹
扫码之前，先花三秒钟看看码本身。你要找的证据是：它不属于它所在的那个表面。
- 边缘和角落。 贴在印刷码上的贴纸通常会有凸起的边缘、微微翘起的角，或按压后留下的一圈浅浅轮廓。如果表面允许，可以用指甲沿边缘划一下。
- 印刷质量不一致。 停车缴费机或支付终端上的官方码，通常是设备本身印刷或蚀刻的一部分。家用打印机打出的贴纸往往颜色略有差异、表面更光亮，或者码点周围有明显的像素颗粒感。
- 位置不正。 如果码贴歪了、不居中，或压住了本应并排的文字，就要当作可疑。
- 叠层。 两个码挨得很近，或一张贴纸盖住了本属于原设计一部分的边框或标志，是覆盖行为的强烈信号。
- 磨损程度不匹配。 一个崭新发亮的码出现在风化褪色的表面上，说明它在那里的时间远短于表面本身。
- 残胶痕迹。 码周围的涂抹、气泡或旧贴纸的残影，说明这个位置以前被动过。
这些检查没有一项单独可靠。一个细心的攻击者可以印出干净、贴得端正的贴纸。但重点是：大多数篡改都是匆忙、低成本完成的，通常会留下痕迹。
打开之前先看链接
二维码安全中最有用的一个习惯是：手机在你要“确认”之前，就会显示这个码通向哪里。用好这一点。
在大多数新款手机上，用系统自带相机应用扫二维码时，会弹出一条通知或横幅，显示网址。不要立刻点开，先读一遍。
看网址时要注意什么：
- 域名。 域名是第一个单独斜杠之前的那一段，也是唯一真正重要的部分。在
https://pay.parking-example.com/checkout中，域名是parking-example.com。第一个点之前的部分（pay.）和第一个斜杠之后的部分（/checkout）都是任何人都可以随意设置的装饰。 - 拼写错误和仿冒域名。 攻击者依赖细微差别：用
paYment-site.com冒充payment-site.com，多一个字母、调换两个字母，或加上不该有的连字符。涉及金钱时，请逐个字母地读域名。 - 不熟悉的短链接。 来自短链接服务的网址（通常是一个很短的域名加一串随机字符）完全隐藏了真实目的地。不解析就无法知道它通向哪里，所以对实体贴纸上的短链接要格外警惕。有些短链接服务会显示预览页；如果你的不显示，涉及付款或登录时就不要点。
- 小锁标志不是保证。 小锁图标或 "https" 只表示连接是加密的，不代表网站是诚实的。假钓鱼网站同样会用 https。永远不要把小锁当作正规性的证明。
- 即时施压。 如果扫码打开的页面要求你立刻登录、付款或输入银行卡信息，这种紧迫感本身就是危险信号。正规的停车和支付页面一般会先让你核对要付的内容。
拿不准时，自己把该机构的官方网址输入浏览器，而不是用那个码。花三十秒打字，好过一张被盗用的银行卡。
扫码之后的危险信号
有些攻击只有在码打开之后才显露出来。出现以下任何情况，请停下并退出：
- 页面要求你为没有选择过的东西付款，或还没展示要付的内容就先要求付款。
- 你本以为会看到菜单、时刻表或价目表，却出现了登录页面。
- 网站要求你从手机官方应用商店之外安装应用或配置描述文件。
- 页面索要正规流程此刻根本不需要的信息：银行卡取款密码、网银登录密码，或银行应用发来的一次性验证码。
- 网址在几秒内连续多次变化，经过一串跳转后落在意想不到的地方。
- 页面看起来像某个知名服务，但地址栏里的域名和该服务的真实名称对不上。
退出没有任何损失。在假页面上输入信息，代价可能很大。
已经扫码并输入了信息怎么办
如果事后发现你在假页面上输入了信息，速度比面子重要。按以下顺序处理：
- 如果输入了银行卡信息，立即联系银行。 要求冻结或换卡，并报告这笔交易。大多数银行有全天候的欺诈热线；号码在你银行卡背面或银行官网上，而不是二维码把你带去的任何页面上。
- 如果输入了密码，立刻修改，包括该服务本身以及任何你复用了同一密码的地方。如果你还没有用密码管理器，这次修改重复密码就是开始用的时机。
- 如果确认了某笔支付或某个登录请求，撤销它。 到账户的安全设置或“已登录设备”页面，查找陌生设备并退出登录。
- 如果安装了应用或描述文件，删除它，然后运行手机自带的安全扫描（如果有）。iPhone 上到“设置”里检查不认识的配置描述文件；安卓上卸载任何来历不明的应用。
- 警惕后续攻击。 拿到你手机号或邮箱的攻击者，常常会用很有说服力的短信和电话跟进。对任何提及此事的消息保持怀疑，只通过官方渠道联系相关机构。
- 举报。 告知被覆盖了码的商家，并向当地警方或国家网络犯罪举报平台报告。这能帮助他们提醒其他顾客，有时还能把假贴纸清除掉。
保留事件记录，包括你被带去的网址和任何支付凭证号。银行或警方可能需要。
商家如何保护自己的二维码
如果你经营使用二维码的生意，你同时保护的是顾客和你自己的声誉。实用措施，大致按效果排序：
- 在码旁边印上目标网址。 码下方一个简短易读的网址，让顾客可以核对去向，也在他们不信任贴纸时提供了备选方式。这是最便宜也最有效的保护。
- 使用防拆标签。 撕开即破损、留下花纹或显示 "VOID" 字样的安全标签，能让覆盖式贴纸一眼可见，让篡改在视觉上变得有风险。
- 把码安装得无法覆盖。 蚀刻金属牌、内嵌面板，或直接印在设备上的码，远比平整表面上的纸质贴纸难替换。
- 定期检查你的码。 把快速目视检查加进现有流程：餐厅开门员工每天早上核对桌码，停车场管理员的巡查包括缴费机，店铺检查橱窗海报。你要找的是盖在码上的贴纸、残胶，或与你部署的码不一样的码。
- 使用自己控制的域名，并保持简短。 简短好记的网址，比一长串参数的网址更容易让顾客一眼核对。
- 避免在公共场合使用盲短链接。 如果必须用短链接，选择会显示预览页或中转页的服务，让扫码者能看到目的地。
- 告诉顾客正规码长什么样。 一张小告示写明“我们的支付页面在 [网址]；我们绝不会索要您的取款密码”，能建立“核对是正常操作”的预期。
- 发现篡改时迅速响应。 清除假码、清洁表面、换成防拆版本，并通过常用渠道提醒顾客。
养成习惯
二维码安全不是要你疑神疑鬼，而是把一个习惯坚持到底：行动之前先核实。看看实体码有没有不是商家贴上去的痕迹；点开之前读一读手机显示的网址；拒绝在压力下要求登录、付款或安装应用的页面；涉及金钱时自己输入已知网址。如果你经营商家，就把码做得难以伪造，并给顾客提供核对的方法。
技术本身不是问题。二维码只是一个链接，链接只要你看清去向就是安全的。风险来自“自动驾驶式”的扫码。打破这个惯性，大多数这类攻击在第一步就会失败。
结语
假二维码贴纸之所以得逞，是因为它们看起来平平无奇，而扫码又让人感觉是安全、熟悉的选项。你的防御只需几秒：检查贴纸有没有翘边和印刷差异，打开前读一读网址，绝不在未经核实的码所打开的页面上输入银行卡信息或密码。如果已经中招，立即联系银行并修改密码。商家则应在每个公开的码旁边印上目标网址、使用防拆标签，并定期检查。核心要点：在看清一个二维码真正通向哪里之前，把它当作陌生人发来的链接对待。