晚上十一点，扫微老周的码诈手机弹出“银行”短信，说他的骗原信用卡在境外消费了八千块。他慌了，扫微点进短信里的码诈链接，页面做得跟真的骗原一模一样。输入卡号、扫微密码、码诈验证码，骗原三分钟后，扫微他卡里剩下的码诈两万块被分五笔转走。整个过程他都没扫过任何二维码——但这类骗局的骗原升级版，恰恰就藏在二维码里。扫微

二维码本身不骗人，码诈骗人的骗原是码背后指向的地址。你扫的是一张纸，手机打开的却是一个网址。问题在于，人类眼睛根本分辨不出一个码是“pay.icbc.com.cn”还是“pay.icbc.com.cn.evilsite.net”。前者是银行，后者是骗子租的服务器。肉眼看到的是黑白方块，手机看到的是完整URL——这就是所有二维码诈骗的底层逻辑：把恶意链接包装成无法直接读取的图形。

最常见的套路是“扫码换礼物”。商场门口、地铁通道，有人举着印着二维码的牌子，扫一下送你一包纸巾或一个小玩偶。扫码后跳转到一个页面，要求授权你的微信公开信息——昵称、头像、地区。这本身没什么危害，但骗子要的是下一步。页面紧接着提示“关注公众号即可领取”，你点了关注，又被引导到一个“抽奖”页面，永远会抽中“一等奖”，奖品是价值2999元的智能手表，但需要付49元“运费”。付完运费，手表永远不发货。49元不多，但一天骗两百人，就是小一万。更阴的是，有些二维码扫完直接调起微信授权，一旦你点了“允许”，你的微信就自动关注了一堆营销号，甚至被拿去群发垃圾广告。你的朋友收到你发来的“扫码领红包”消息，点进去，循环开始。

还有一种技术含量稍高的——动态二维码替换。有些小店把收款码贴在柜台上，骗子趁店主不注意，把自己的收款码贴上去盖住原来的。你扫码付款，钱直接进了骗子的账户。这类案子在菜市场、路边摊特别多，因为摊主忙起来根本不会核对每笔进账。更狠的版本是“截图钓鱼”：骗子假装买东西，拍下店主的收款码，然后说“我扫不了，你让我加你微信转账吧”，加了微信后发来一张“转账成功”的截图，实际上那张图是用代码生成的假图。店主一看截图，以为钱到了，没查账就让人走了。

最隐蔽的是“共享单车扫码”和“水电费催缴单”。共享单车上的码被贴了一层假码，扫了以后跳转到一个跟官方界面长得一样的页面，提示“余额不足，请充值”。你充了五十块，钱进了骗子的账户。催缴单更直接——贴在小区单元门上，印着“欠费通知”，附一个二维码，写着“扫码缴费，逾期停水”。很多人扫完就输了银行卡号，因为页面做得太真了，连水务公司的logo都有。

二维码诈骗的核心从来不是技术多高明，而是利用人的两个弱点：一是对图形的不设防——看到码就扫，跟看到门就推一样自然；二是对紧急情绪的应激反应——一旦涉及欠费、扣款、违规，人就会跳过思考直接行动。我见过一个受害者，她事后跟我说：“我知道可能有问题，但那个页面太像了，而且时间紧，我怕真停水。”骗子赌的就是你犹豫的那几秒。

防骗的办法其实特别简单：不要扫任何让你“输入密码”的码。真正的支付流程，比如微信或支付宝付款码，是不需要你额外输卡号和密码的。任何扫码后要求你填银行卡、身份证、验证码的页面，直接关掉。另外，扫码后看一眼地址栏——如果域名里带一串乱码或者奇怪的数字，就别继续操作了。但说实话，大多数人根本不会看。所以最实在的建议是：路边贴的码，不扫；陌生人递来的码，不扫；让你“先输密码再领奖”的码，更不扫。省下来的不是几块钱的事，是可能被掏空的银行卡。