扫码支付其实很安全，前提是你在确认之前核对两件事：屏幕上的收款方名称和金额。绝大多数 QR 码支付诈骗，都是因为有人跳过了这一步——要么是贴纸盖住了店里真正的二维码，要么是骗子发来一个"你以为在收钱、实际在付钱"的码。这篇指南讲清楚扫码支付到底怎么运作、常见骗术长什么样，并给顾客和店主各一份简单清单。
QR 码支付到底是怎么工作的
QR 码本质上就是一个存着文字的方形条码。在支付场景里，这段文字通常指向一个付款请求：里面可以包含商家标识、支付应用的跳转链接，或者账户信息。你用银行或支付应用扫码后，应用会读出这些内容，并弹出一个确认页面。
关键点在这里：扫码不等于付款。扫码只是打开了一笔交易的草稿。真正的付款发生在你核对信息并确认之后——通常要输入支付密码、用指纹或人脸识别。那个确认页面就是你发现问题的地方，也是整个流程中最重要的一步。
常见的两种流程：
- 顾客扫商家的码。 你在收银台或立牌上扫码，应用显示商家名称，你输入或确认金额，然后批准付款。
- 商家扫顾客的码。 有些系统是店员扫你应用里的付款码，然后你批准对方输入的金额。这种情况金额由店家控制，所以要盯着他们展示的屏幕，或者看清自己手机上弹出的金额。
有些码是"静态"的——每次用的都是同一张印好的码，金额由你自己输入。另一些是"动态"的——屏幕或小票上显示一个新码，金额已经包含在内。动态码更难被篡改，但两类码最终都走到同一个地方：一个显示"付给谁、付多少"的确认页面。
为什么扫码支付容易被盯上
QR 码之所以方便，恰恰因为它不透明。人眼没法直接读懂二维码，在被应用解码之前，你完全不知道里面装的是什么。你看到的（一个无害的方块）和它实际做的（发起一笔付款）之间的落差，正是骗子利用的东西。
第二个原因是习惯。扫几次没出问题之后，扫码就变成了肌肉记忆——抬手、点一下、确认，有时几秒钟就完成，根本不看屏幕。速度快对排队是好事，但也让你失去了唯一一道保护自己的关卡。
好消息是：因为扫码支付最后总会停在显示收款方和金额的确认页面上，几乎所有常见的 QR 码骗局在那个瞬间都是可见的。下面这些骗术，全都在想办法让你跳过那个页面，或者看错它。
贴纸骗局：假码盖在真码上
这是最经典的扫码支付骗局。骗子打印自己的收款码——钱会进他们的账户——然后贴在停车缴费机、小店收银台、集市摊位、共享单车点或者募捐海报上的正规码上面。
你扫了看起来"正常"的码，应用显示一个你不认识的名字（或者你根本没看），输入金额，把钱付给了错误的人。店家没收到钱，可能还把你的账单当成未付款，你可能两头吃亏。
保护自己只要几秒钟：
- 扫码前先看码本身。是不是一张贴纸压在别的东西上面？边缘有没有翘起？位置是不是有点歪，或者材质和周围明显不同？一张用胶带贴在印刷标牌上的码，就是危险信号。
- 扫码后，读确认页面上的收款方名称。你以为在付"城市停车"，屏幕上却出现一个个人名字，立刻停下。
- 如果码看起来被动过手脚，告诉店员或设备管理方，换一种方式付款。
"扫码收钱"——反向骗局
这个骗局专抓那些以为所有支付二维码都一样的人。骗子主动联系你——扮成二手平台的买家、快递公司的"退款专员"，或者声称欠你钱的人——发来一个二维码，让你扫码"好把钱打给你"。
陷阱在这里：扫码并确认，并不会让钱进来。在大多数人使用的流程里，扫一个支付码，是从你的账户向别人发起付款。骗子的码就是一张发给他们的收款请求。你一确认，钱就付出去了——和对方承诺的完全相反。
规则很简单，值得背下来：收钱永远不需要你去扫码。 别人给你打钱，不需要你扫任何码，更不需要你确认一笔支出。如果有人坚称必须扫他们的码才能"放款"、"验证账户"或"完成退款"，那就是骗局。真正的退款由付款方发起；顶多是你自己的应用里收到一条收款请求——即便如此，真正的退款也绝不会要你输入支付密码或批准一笔支出。
紧急消息与催促压力
很多扫码支付骗局通过消息到达：一条看似来自快递公司、政府机构、银行或平台买家的短信或聊天消息。消息制造紧迫感——"包裹被扣，扫码支付小额关税"、"账户即将冻结，扫码验证"、"我准备买你的东西，扫码收定金"——并附上二维码或链接。
紧迫感就是马脚。正规机构不会通过一条陌生消息里的二维码要求你付款或验证账户，也不会只给你几分钟时间。当一条消息催你"现在不扫就晚了"，这种催促本身就是警告。
面对陌生来路二维码的安全习惯：
- 不要扫没预料到的消息里的码，哪怕发件人看起来很官方。发件人名称和 logo 都容易伪造。
- 如果消息声称来自你确实在打交道的企业，通过银行卡背面、你的应用或对方官网上的号码联系企业核实——不要用消息里的任何联系方式。
- 绝不在扫码跳转的网页上输入卡号、密码或验证码。在你自己的应用里确认付款是一回事；一个来路不明的网页要你填凭据是另一回事。
金额篡改与看屏幕的习惯
在个人对个人转账和部分商家流程中，金额是人手输的：卖家输入，或者你自己输入。这一块的骗局通常很粗糙——金额虚高、重复收款，或者毫无道理的"定金加手续费"结构。
你的防线就是确认页面。批准任何付款之前，读三样东西：
- 收款方名称。 和你要付的人或商家对得上吗？给朋友转账时，是那位朋友吗？通讯录里的相似名字也会造成无心之失。
- 金额。 一位一位地看，包括小数。"45.00"和"450.00"在很多键盘上只差一次点击。
- 币种和手续费（如果你的应用有显示），跨境支付时尤其要看清。
如果有人站在旁边，催你"快点确认就行"，请放慢速度。确认页面上的压力——卖家抢你的手机、"热心人"替你操作、人群催促——都是值得警惕的模式。把手机拿回来，自己读屏幕，有不对就取消。取消一笔尚未完成的付款确认永远是安全的，因为钱还没付出去。
顾客核对清单
每次扫码付款前过一遍这个短清单。读起来比做起来费时间。
- 检查码的物理状态。 收银台、机器或海报上：没有贴纸、没有翘边、没有叠在另一个码上的奇怪码。
- 用自己手机里可信的应用扫码——不要用会打开陌生链接的相机应用，更不要用卖家递过来的扫码器。
- 读确认页面上的收款方名称，和你要付的对象核对。
- 逐位读金额，再确认。
- 绝不为了收钱去扫码。 进账不需要你确认一笔支出。
- 无视陌生消息里的催促码。 通过官方渠道核实。
- 在私密屏幕上操作，用真实的支付密码或生物识别。 别在别人拿着或紧盯着你手机时批准付款。
- 保留收据或确认截图，直到确认付款无误。这是出了问题时的证据。
- 发现问题立即报告。 如果扫错了码或确认了可疑请求，马上联系银行或支付服务商，问清有哪些补救选项。速度很关键，不要等。
店主核对清单
店主用几个习惯，就能同时保护自己和顾客。
- 每天检查印刷的码。 在每个收银台、立牌和机器上看有没有贴纸、覆盖物或被换掉的卡片。把它纳入开店流程。
- 把码装在不容易被悄悄换掉的位置——柜台内侧、过塑，或放在你工作位置能看到的支架上。展示屏和支架要有人看着；放在店里无人看管的角落的码，等于发出邀请。
- 服务商支持的话，用动态码——每笔交易一个新码、金额已含在内，骗子就没有可覆盖篡改金额的空间。
- 交货前先确认到账。 在自己的应用里查钱是否真的到账——顾客的截图不算凭证，你自己的到账通知或账单才算。这也能识破"我付过了"的托辞，以及顾客扫错码付给别人的意外。
- 告诉员工要留意什么： 要求"帮忙修一下码"的顾客、不是你贴的贴纸、对收款方名称显得困惑的顾客。
- 发现码被动手脚要迅速行动。 立即更换，告知支付服务商，并贴一张简短通知，请近期扫过错误码的顾客联系你——你们可以理清谁欠谁的钱，服务商也可能根据举报采取行动。
- 向银行或支付服务商举报欺诈，哪怕损失看起来很小。举报能帮助服务商识别规律、提醒其他商户。
出了问题怎么办
失误和诈骗都会发生。应对方式是一样的：
- 停下。 不要再转任何钱，也不要扫对方发来的任何"用来解决"的码。常见的二次骗局是让受害者再付一笔"追回手续费"。
- 立即通过官方应用或银行卡上的号码联系银行或支付服务商。 说明发生了什么、什么时候、金额多少。问清有哪些选项——有些服务商可以冻结、追回或调查交易，越早报告，机会越大。
- 保留证据。 截图确认页面、聊天记录，条件允许的话拍下那个码。不要删除对话。
- 如果对方是商家，提醒他们。 你在店里扫到被篡改的码，商家丢了一单生意，可能还不知道自己的码被换了。告诉他们，对所有人都有好处。
- 如果服务商指引你上报，向所在地的相关部门或消费者渠道举报。
没有人能保证错付的钱一定能追回——这取决于服务商、时间和具体情况。但快速报告永远好过拖延，很多情况下，这正是"可以挽回的错误"和"永久损失"之间的差别。
结语
扫码支付既不危险也不神秘——它只是一条付款指令，最终停在一个由你掌控的屏幕上。全部的安全博弈都在那块屏幕里。确认前核对收款方名称和金额，绝不为了收钱去扫码，不信任陌生消息里的催促码；如果你开店，把印刷的码放在只有你能更换的位置。每次都做到这四件事，最常见的扫码支付骗局就无机可乘。