手机屏幕亮起，码诈一条陌生短信躺在通知栏里：“您的骗动频快递包裹已滞留，请点击链接补录信息。画视”指尖悬在屏幕上方两秒，码诈还是骗动频点了下去。页面做得像模像样，画视logo、码诈配色、骗动频排版，画视跟官方小程序几乎一个模子刻出来的码诈。输入姓名、骗动频手机号、画视验证码，码诈最后一步弹出一个二维码，骗动频提示“扫码完成身份核验”。画视扫完，微信钱包里少了三千块。

这不是什么高科技犯罪，就是最朴素的钓鱼套路。二维码在这里充当了那个“最后一脚”的角色——它让你觉得，扫码这个动作本身带着某种正式的仪式感，像签合同按手印，像进闸机刷票。骗子深谙此道，他们不直接让你转账，那太像诈骗了。他们让你扫码，让你自己走进那个精心布置的圈套里。

我见过最精妙的骗局，是把二维码贴在共享单车车锁旁边。扫码开锁，天经地义。可那张纸片是后贴上去的，揭下来，底下才是真正的官方码。有人扫了假码，跳转到一个酷似客服页面的对话框，对方自称“单车公司运营”，说用户信用分异常，需要扫码验证。扫完，支付宝里的备用金被套走。

这种骗术的核心，是抓住你“急着解决问题”的心理。车开不了锁，你着急；快递没收到，你着急；社保卡要停用，你更着急。人在急的时候，警惕性会下降一半。骗子要的就是这个窗口期。他们不需要多高明的技术，只需要让你在扫码前那几秒钟里，不去想“为什么不能直接在App里操作”。

话说回来，二维码本身是无辜的。它就是个图形化的链接，跟网址没本质区别。可问题在于，网址你能看一眼域名，二维码你什么都看不出来。黑黢黢的方块矩阵，背后指向哪里，只有扫了才知道。这种“不可读性”就是它被盯上的原因。

我自己也差点中过招。那次在商场门口，一个穿工作服的人举着二维码牌子，说是“扫码送玩偶”。手机刚对准，我瞥见他工牌上的名字跟公司logo对不上，临时收手。事后想想，那牌子上确实印着个陌生的小程序码，扫了之后会授权手机号、位置信息，甚至可能读取相册里的证件照。

所以，对付二维码诈骗，最土的办法反而最管用：扫码之前，先问自己一句——“这东西是官方渠道给我的吗？”快递短信里的码，去官方App里查一下物流记录就知道真假。共享单车上的码，用手指抠一抠边缘，看是不是贴上去的。线下扫码送东西的，先看看对方有没有固定摊位，还是打一枪换一个地方。

再补一刀：支付密码和验证码，永远不要在任何扫码后的页面里输入。真正的支付流程，不会让你在浏览器里完成全套操作。凡是让你扫码后输入密码、验证码、身份证号的，直接退出，然后去应用商店下载官方App。

二维码诈骗的受害者，不全是老人。我认识一个做IT的年轻人，照样被“ETC过期”的二维码骗走了两百块。他说自己当时刚下高速，短信提示ETC异常，脑子一热就扫了。技术再熟，也架不住情境设计得逼真。骗子会造出“时间紧迫感”，让你来不及细想。

对付这种心理攻势，最好的防守动作是“离开现场”。把手机放下，去做别的事，过十分钟再回来看那条消息。九成骗局经不起时间检验——假链接会失效，假客服会露馅，假二维码背后的服务器可能已经关了。你需要的只是那十分钟的冷静。

最后说个细节。真正的官方二维码，通常不会出现在短信里，更不会出现在朋友圈转发的“福利海报”上。它要么印在实体物料上，要么嵌在官方App的固定页面里。拿不准的时候，就多走一步路，去线下网点问，或者拨打官方客服电话。多花的这几分钟，省下的可能是你一个月的生活费。