扫描来源不明的二维码

上个月，扫描我在地铁站出口被一个穿玩偶服的维码人塞了张卡片，正面印着“扫码领星巴克券”，扫描背面是维码个二维码。我扫了。扫描页面跳转到一个模仿微信登录界面的维码网页，要求输入手机号和验证码。扫描我退出了。维码三天后，扫描我的维码微信开始频繁收到“辅助验证”请求，来自十几个陌生账号。扫描

这不是维码个例。二维码本质是扫描一串字符的图形化编码，扫它等于让手机去访问一个网址或执行一段指令。维码问题在于，扫描你扫之前根本不知道那串字符指向哪里。它可能是个钓鱼网站，可能是个自动下载脚本，也可能是个伪装成“WiFi密码分享”的恶意APK安装包。去年某地警方破获的案件里，犯罪团伙在共享单车上贴了三百多张二维码，覆盖原车锁码，扫码后直接跳转支付宝付款页面，金额被预设为199元。受害者以为在解锁，实际在转账。

我做过一个粗糙的测试。用安卓手机扫了二十个来源不明的二维码，分布在夜市摊位、电梯广告、快递柜贴纸和路边电线杆上。其中七个跳转到需要输入个人信息的页面，四个直接触发应用商店下载，两个是色情直播App的推广链接，只有一个是真的商家公众号。剩下六个打不开——服务器已经关了。这个样本很小，但比例够说明问题：来源不明的二维码，恶意或垃圾内容的占比高得离谱。

为什么二维码成了重灾区？制作成本太低。一个静态二维码生成器在线就能用，免费，不用实名。贴一张A4纸打印的二维码，成本几毛钱。收益呢？一个有效的手机号在黑市能卖几块到几十块，一个被控制的微信账号能卖上百。如果诱导安装了木马，手机里的通讯录、短信、甚至支付验证码都可能被截获。低风险、低成本、高回报，骗子当然扎堆往里钻。

有人觉得“我扫了不输入信息就没事”。不对。有些二维码指向的网页会利用浏览器漏洞自动下载文件，或者诱导你开启“无障碍模式”——这个权限一旦给了，对方就能远程读取屏幕内容、模拟点击。你甚至不需要主动输入任何东西。还有更隐蔽的：二维码本身包含一段JS脚本，在部分老旧浏览器上直接执行，悄悄把你的通讯录上传到某个服务器。

那怎么判断？说实话，肉眼没法判断。二维码长得都一样，黑白方块排列不同而已。你没法从图案看出它指向哪里。唯一靠谱的做法是：不扫来源不明的码。什么叫“来源不明”？路边贴的、陌生人递的、群里转发的、覆盖在原码上面的——都算。哪怕是“扫码送气球”“扫码支持创业”，也别扫。真想要那个气球，直接问对方要，别用手机换。

如果非扫不可，比如某些小餐馆只贴了二维码点餐，扫之前先看两点：一是二维码有没有被二次覆盖的痕迹，边缘翘起、贴纸叠贴纸的，直接换一家；二是扫出来后看网址，如果是乱码域名或者短链接，别点“继续访问”。iPhone用户相对安全一点，iOS对自动下载和权限管控更严，但钓鱼网站照样能骗你手动输入。

我后来把那张星巴克卡片扔了。但三天后收到辅助验证请求时，我查了微信登录记录，发现一个来自广西的IP尝试登录过。改密码、开双重验证、删掉那几天加的所有陌生好友。折腾了一晚上。一张卡片，几秒钟的扫码动作，换来的是几个小时的补救。这笔账，怎么算都不划算。

所以下次看到二维码，先问自己一句：这东西谁放的？我扫了之后，对方能得到什么？如果答案模糊，把手机揣回兜里。那几块钱的优惠、那个小礼品，不值得你拿手机里的全部数据去赌。