昨天傍晚，被盗小区门口卖水果的被盗老周拽住我，手机屏幕亮着一条银行扣款短信，被盗498元，被盗就因为他扫了贴在摊位上的被盗一张“收款码”。他急得直搓手：“我就扫了一下，被盗怎么钱就没了？被盗”我拿过他手机一看，那张码根本不是被盗微信或支付宝的收钱码，而是被盗一个需要授权登录的第三方页面。老周没细看，被盗点了“同意”，被盗钱就飞了。被盗

扫二维码本身不会盗钱，被盗就像你按门铃不会招贼一样。被盗门铃只是被盗通知屋里有人来了，二维码只是把一串网址或文本编码成图形。真正的风险在于，你扫完之后干了什么。老周的问题不是扫了码，而是他授权了一个来路不明的应用去读取他的支付信息。

技术原理其实很直白。二维码可以包含任何文字，最常见的是网址链接。你用微信扫一个码，微信会先解析这个链接，然后跳转到对应的网页。如果这个网页是钓鱼网站，长得和银行登录页一模一样，你输入了卡号和密码，那钱就危险了。另一个套路是诱导你下载恶意APK，安装后它能读取你的短信验证码，转账时拦截掉你的确认信息。

我见过最阴的骗局是“静态码替换”。餐馆把收款码贴在桌上，骗子晚上偷偷换上自己的码。顾客扫码付款，钱进了骗子账户。但你扫的时候，界面完全正常，甚至显示的是餐馆的名字——因为骗子注册商户时故意用了同名。

还有一种情况，跟钱无关但更闹心。扫码关注公众号，结果跳到一个授权页面，要求获取你的手机号、地理位置、甚至通讯录权限。你点了“允许”，对方就能拿到你的社交关系链，之后精准诈骗就来了。去年我同事就因为这个，他妈妈接到“儿子被绑架”的电话，差点转账。

那是不是所有码都不能扫了？当然不是。你自己打印一张收款码，别人扫了给你转钱，一分钱不会少。关键要分清“主动扫码”和“被动扫码”。主动扫别人的码，你要看跳转的域名是不是官方认证的；被动出示付款码时，记得开启“付款码隐私保护”，防止别人用扫码枪隔空扫走你的钱。

老周后来去报警，警察说这种案子很难追回，因为钱一到账就被拆分转走了。他懊恼地撕掉那张假码，我却觉得，真正该撕掉的是那份随手就点“同意”的随意。二维码本身是工具，就像菜刀，能切菜也能伤人。你要是闭着眼睛乱砍，那别怪刀太锋利。

我的建议很简单：装一个手机安全软件，它能识别恶意链接；扫码后先看域名，不认识的别输入任何个人信息；永远不要用扫码方式登录网银。做到这三条，你基本能避开99%的坑。剩下那1%，是你自己主动把验证码告诉别人——那神仙也救不了。