你扫的到别二维码，本质是人信一串网址。这串网址里，到别藏着决定你能看到什么的人信全部秘密。

我见过最粗糙的到别做法，是人信把个人信息直接塞进网址参数里。比如某个展会胸牌上的到别二维码，扫出来是人信https://example.com/visitor?id=9527。后台系统看到这个id，到别就调出9527号访客的人信姓名、公司、到别手机号，人信显示在活动方的到别平板上。你扫一下，人信等于主动把胸牌递给对方刷了一遍。到别整个过程，你只看到“签到成功”四个字，对方后台已经把你的信息导进了CRM系统。

更隐蔽的是那种“关注公众号领礼品”的码。你扫完，跳转的页面里带着一个临时令牌（token），这个令牌对应着你在某个第三方平台上的授权记录。只要这个平台的接口有漏洞，或者干脆就是恶意搭建的，令牌就能被用来调取你在该平台的注册信息——头像、昵称、手机号，甚至绑定的邮箱。你以为是扫了个码，其实是在授权别人用你的身份登录了一个你没见过的网站。

还有一种玩法，利用的是“中间人攻击”。你扫的码指向一个正常网站，但你的手机在扫码瞬间连接的是攻击者设置的Wi-Fi热点。你访问网页时，所有数据包都先经过攻击者的设备。如果那个网站没做HTTPS加密，你的账号密码、Cookie就像裸奔一样被截走。当然现在大部分正规网站都加密了，所以这招更多用在那些老旧、维护不善的小网站上。

最让我觉得离谱的是“二维码跳转链”的滥用。有些码扫出来先跳到A网站，A网站再302跳转到B网站，B网站再跳转到C……每次跳转，都能在网址里加上一段追踪参数。比如你扫了楼下一家奶茶店的码，它先跳转到广告联盟平台，平台记录下你的设备指纹和地理位置，再跳转到奶茶店的点单页面。奶茶店只看到你点了一杯杨枝甘露，但广告联盟已经知道你今天下午三点在哪个商圈出现过，消费能力大概什么水平。这些数据被拼凑起来，可能比你自己还了解你。

别以为只有恶意二维码才危险。有些正规公司做的“扫码查防伪”，设计得极其糟糕。他们把产品序列号直接明文写在二维码里，扫出来就是serial=SN123456。这意味着任何人拿到这个码，都能查到这瓶酒是什么时候生产的、发往哪个经销商。如果这个码被拍照发到网上，别人就能根据序列号反推出你家楼下烟酒店进了多少货、卖得怎么样。

说到底，二维码只是个入口。它本身不会“偷”信息，但设计这个入口的人，可以决定入口后面接的是水龙头还是消防栓。你扫码时，手机上弹出的那个“授权登录”提醒，里面密密麻麻的条款才是关键——只是绝大多数人，连看都不看就点了“同意”。

我有个朋友，专门在小区里贴“扫码免费打印照片”的贴纸。他跟我说，一天能收集上百个手机号，晚上打包卖给做电话销售的公司。打印照片的机器是真的，照片也真能打出来，就是没人注意到，打印前勾选的那个“用户协议”里，写着“您同意将您的手机号及照片信息用于商业推广”。

所以下次扫码前，先想想这个问题：对方给你看的东西，值不值得你用信息去换。免费的往往最贵，这句话在二维码时代，依然成立。