Quishing——QR 码钓鱼——是一种骗局：QR 码把你带到假付款页、假登录表单或下载，而非它模仿的真实目的地。由于 QR 码在扫码前隐藏链接，防御方法很简单：预览链接、检查域名，意外扫码后绝不输入密码或银行卡信息。
什么是 quishing，它为何得逞
QR 码不过是个快捷方式：一串点阵编码了一段文字，通常是网址。手机解码这段文字并提议打开它。问题在于肉眼无法读出点阵，所以在内容出现在屏幕上之前，你根本看不到码指向哪里。
骗子利用两点。第一，习惯：扫菜单、停车牌或海报上的码感觉是日常操作，日常操作让人不再思考。第二，借来的信任：印在墙上、信件或发票上的码看似官方，其实任何有免费生成器的人几秒钟就能做一个。quishing 一词就是 "QR" 和 "phishing"（钓鱼）的组合——与假邮件同样的伎俩，只是改用方形贴纸投递。
最常见的 quishing 骗局
**假贴纸覆盖真码。**经典目标是扫码停车缴费。骗子把自己的 QR 码印在贴纸上，覆盖停车计费器或标牌上的真码。司机扫码后进入以假乱真的付款网站副本，输入银行卡信息，钱——连同卡数据——落入骗子手中。同样的伎俩也出现在电动车充电桩、共享单车和滑板车、餐厅餐桌、募捐海报和捐款箱上。
**邮件和信件中的码。**邮件里的 QR 码通常是图片，基于文本的垃圾邮件过滤器可读内容更少。纸质信件同理："您的账户将被关闭"、"您的包裹无法投递"、"您有一笔退款——扫码领取"。信件形式增加权威感；QR 码隐藏链接。
**紧急付款要求。**许多 quishing 信息与普通钓鱼按下同样的按钮：必须立即缴纳的罚款、滞留站点的包裹、被冻结的账户。制造紧迫感就是为了阻止你核实。
扫码能做的不只是打开网页。视内容而定，它可以打开已填好收款方的付款应用、添加联系人或日历条目、开始下载，或让手机连接 Wi-Fi 网络。每一种都可能被滥用。
打开前先预览链接
大多数现代手机用自带相机扫码时，会以横幅或通知显示目的地——不点击就不会打开。把预览当作关键防线：每次都读一遍，再赶时间也一样。
许多手机上长按预览可展开完整网址，链接看起来被缩短或异常时值得这样做。如果扫码应用自动打开浏览器，或未经询问就开始下载，请换掉它。总是先显示链接的扫码器——QRCodeMax.Vip 上的免费工具就是这样——把决定权交回你手中。
再养成一个习惯：凡涉及金钱或登录，完全跳过扫码，直接打开官方应用或输入你已知的网址。QR 码是便利，绝非必需。
几秒钟内检查域名
网址中只有一部分重要：域名，即第一个单斜杠之前的那段文字。在 pay.meters.example.com 中，域名是 example.com。在 example.com.meters-pay.info 中，域名是 meters-pay.info——开头的 "example.com" 只是装饰。骗子赌人们从左往右读，看到熟悉的词就停下。
然后查找仿冒：用 "0" 冒充 "o"、用 "rn" 冒充 "m"、多余连字符，或把熟悉品牌名粘在不相关的后缀上。正规机构的付款域名很少；停车贴纸指向一个你从未见过的域名，就足以让你停下。
如果域名对你毫无意义，不要付款，不要登录，不要下载。关闭页面。
不信紧迫感——意外扫码后绝不输入凭据
紧迫感是最响亮的危险信号。真实的罚款、真实的投递和真实的账户问题不会在三十分钟内过期，也没有正规机构急着要你的密码。任何威胁你不立即扫码付款就罚款、锁车、丢包裹或封号的信息，在证实之前都应视为恶意。
这条规则能让你避开几乎所有的 quishing 后果：意外扫码后，绝不输入密码、卡号或一次性验证码。看页面可以；输入不行。如果确实欠停车费或账单，用你平时使用的应用或网站付款，而不是贴纸给你的那个。
在确认扫码打开的任何付款前，请核对收款人姓名和金额——二维码付款可能已预填信息，骗局正藏在预填之中。切勿因二维码的要求而安装应用或授予权限。
识别被篡改的贴纸和可疑位置
实体骗局会留下实体线索。在公共场所扫码前，先花两秒仔细看看：
- 边缘翘起、有气泡，或贴纸覆盖在印刷标签之上
- 印刷内容比周围标识更清晰、更模糊或颜色不同
- 二维码出现在不合常理的位置，例如路灯柱上的付款码
- 贴纸遮住了部分原始文字或另一个码
将二维码与旁边以明文印刷的网址对比；不一致就是明显警告。若有异常，请勿扫码——改用其他方式付款，并拨打设备或标识上印刷的电话号码向运营方报告篡改情况，切勿使用贴纸本身提供的号码。
使用先显示链接的扫码工具
手机自带的相机通常是合适的工具：它会预览链接，且不会自行安装任何东西。无论使用哪种扫码工具，三个特性很重要：应在打开任何内容前显示目标地址，绝不应自动下载文件，且应来自你信任的来源而非未知的应用商店条目。
同时保持手机操作系统和浏览器为最新版本；现代浏览器能识别许多已知钓鱼页面并向你发出警告。这层安全网有帮助但并非保证——新域名上的假页面可以与真页面一模一样，因此读懂域名比任何工具都重要。
如果你的企业使用二维码
你印出的每个码都是一份承诺，被调包的贴纸会把它变成对客户的攻击。以下几个习惯可让承诺不被破坏：
- 为每个实体码指定负责人，并定期检查高风险码——停车、付款、无人值守设备。
- 使用指向你控制的简短一致域名的托管式或“动态”二维码，这样目标地址一旦被攻破，几分钟内即可更改或停用，无需重印所有海报。
- 在每个码旁边以明文印刷目标域名。客户即可核实码的去向，而遮住该文字的贴纸会立刻引人怀疑。
- 避免使用隐藏目标地址的随机短链接；如需缩短，请使用自己的域名。
- 将码放置在员工可见之处，或用防拆保护壳加以保护，并将无人值守的户外表面上的任何码视为长期风险。
- 告知客户你们会如何以及不会如何请求付款，并培训员工以对待链接同样的怀疑态度对待电子邮件中的二维码。
最后，定期检查每个已发布的码是否仍指向应有的页面。由客户发现调包，是最糟糕的得知方式。
核心要点
二维码只是伪装过的链接，因此要像对待陌生人发来的链接一样对待它：预览链接、查看域名、拒绝催促，扫码后遇到意外情况绝不输入密码或银行卡信息。点击前停两秒，几乎能挫败所有 quishing 骗局。