扫个码，维码钱就没了。支付这话听起来像吓唬人，风险但去年我楼下卖煎饼的维码老王就栽在这上面。一个顾客吃完煎饼，支付扫了他贴在摊车上的风险收款码，老王眼看着手机屏幕显示“支付成功”，维码等人走远了才发现，支付那是风险个P好的截图。三百多块，维码得卖一百多个煎饼才能赚回来。支付

二维码支付这东西，风险方便是维码真方便。出门不带钱包，支付手机一举，风险“滴”一声完事。可这“滴”一声背后，藏着不少普通人根本想不到的坑。有人专门研究过，现在市面上流通的收款码，至少有三种能被骗子钻空子。

第一种是替换码。骗子趁商家不注意，把自己的收款码贴上去，顾客扫了钱进骗子口袋。这种事多发生在小摊小贩身上，摊主忙起来顾不上看，顾客付完就走，等发现时人早没影了。我见过最绝的，一个骗子把整条街十几家店铺的收款码全换了，一晚上躺着收了两万多。

第二种是截图码。就像老王遇到的那种，骗子提前准备好支付成功的截图，扫码动作做得跟真的一样，实际根本没付钱。有些骗子更“用心”，还会做个假的支付页面，连到账语音都能模拟出来。商家听到“微信支付收款到账”的提示音，哪还会多想？

第三种是木马码。这种最阴，骗子把病毒链接做成二维码，诱导你扫。扫完手机就被植入木马，银行卡信息、支付密码全被偷走。去年有个案例，一个人扫了街边“扫码送礼品”的二维码，三天后卡里八万块被分批转走，警察追了两个月才追回一半。

有人觉得，那我小心点不就行了？问题是，二维码本身没有防伪功能。它就是一串黑白格子，谁都能生成，谁都能复制。你肉眼根本分不清哪个是商家的、哪个是骗子的。更麻烦的是，二维码支付一旦完成，钱是实时到账的，没有“撤回”这一说。银行和支付平台通常会告诉你“建议报警”，但报警之后能不能追回来，得看运气。

我认识一个做支付安全的朋友，他说现在最怕的就是“码上码”。什么意思？骗子在正规二维码上面再贴一层透明的、印着自己码的薄膜，肉眼几乎看不出来。顾客扫的时候，手机识别的是上面那层假码。这种手法在夜市、庙会这种人流密集的地方特别常见。

那怎么办？说几个实用的。商家最好用那种带语音播报的收款音箱，每笔到账都听得到声音，光看手机屏幕不靠谱。顾客付款前，用手摸一下二维码有没有凸起，或者用指甲刮一下，贴上去的码通常能刮下来。扫完码别急着走，等商家确认到账再离开。至于街边那种“扫码送东西”的，直接走开，别贪那点小便宜。

二维码支付本身没错，错的是那些钻空子的人。技术给了我们便利，也给了骗子新的工具。每次扫码之前，多看一眼，多等一秒，可能就少一次糟心事。老王现在学乖了，收款码用透明胶带封死，旁边还贴了张纸：“请当面确认到账，截图无效。”虽然看着有点寒碜，但至少没再被骗过。