如何检查二维码的安全性：逐步指南
如何检查二维码的安全性：逐步指南
二维码早已成为日常小物件：咖啡馆的菜单、火车票、支付链接、聊天入口。乍一看——两个方块和几个黑色模块。实际上，它可能传递恶意链接、文件下载，甚至试图收集您的数据。
危险不在于二维码本身，而在于它在扫描之前隐藏了地址。人们看到的是图片，而不是URL。因此，‘如何检查二维码的安全性’这个问题应该在点击之前提出，而不是在浏览器已经打开页面之后。
1. 什么是安全的二维码，它可能有什么危险
安全的二维码指向它所承诺的地方：官方网站、登录表单、菜单或经过验证的服务的支付页面。流程很简单：相机读取图案，应用程序识别链接，然后您决定是否打开它。简单的流程。正是这个流程常常变成陷阱。
钓鱼是最常见的风险。用户看到熟悉的品牌，而链接却指向一个假登录页面，在那里要求输入登录名、密码、短信验证码或银行卡信息。还有链接替换的情况：二维码覆盖在旧广告上，而内部隐藏了另一个地址。如果代码指向下载压缩文件、APK或“确认文件”，还会附带恶意文件。有时还会通过表单收集数据，要求提供姓名、电话、邮箱和其他多余信息。
另一个问题是心理压力。二维码中常常隐藏紧迫感：“请在5分钟内付款”，“立即确认交付”，“否则将关闭访问”。人们对这种压力的反应比对长篇邮件的反应要快。这正是其计算所在。
2. 特别需要仔细检查二维码的情况
第一个令人担忧的情况是在公共场所的贴纸。在公交站、楼道、终端、咖啡桌上。如果二维码贴在另一个二维码上，这已经是停下来至少10秒钟查看旧纸边缘是否露出的理由。
第二个风险是意外收到的邮件或传单，其中包含二维码。尤其是当文本中只有一句话：“扫描以获取奖励”或“查看文件”。更糟的是，如果二维码是从未知发件人通过消息应用发送的。任何文件或图片都可能看起来“像是来自银行”，但实际上并非如此。
第三种情况是紧急请求您点击链接或付款。紧急性几乎总是一个糟糕的顾问。如果有人告诉您关于罚款、封锁、配送、退款或“最后机会”，最好先暂停一下。检查2分钟比起2周的纠纷要便宜得多。
还有一种基于上下文的日常检查。博物馆官方海报上的二维码通常指向博物馆的网站。没有徽标、地址和说明的打印二维码就不那么令人信服。如果旁边只有“点击这里”的短语而没有任何细节，信任度就降到零。在扫描之前，检查二维码在这里尤其有用。
3. 如何在不点击链接的情况下预先评估二维码
从外观开始。二维码应该整齐，没有重贴、偏移、模糊的边缘和“匆忙印刷”的痕迹。如果二维码印在纸上，试着从侧面观察纸张：有时贴纸会通过反光、不平整的边缘或其他白色阴影暴露自己。
然后评估发布来源。在公司网站、银行应用程序或官方账单上，二维码通常会附有准确的说明。在随机的公告板、匿名聊天或没有凭证的传单上，信任度较低。在这里不需要复杂的分析：1个不一致的地方就足以引起警惕。
附带的文字也传达了很多信息。如果旁边有组织名称、地址、订单号或具体服务，这比空白图片要好。如果文字给人情感上的压力——“紧急”、“无需注册”、“仅限今天”——风险就更高。旧的二维码上面几乎总是能看到印刷痕迹，尤其是当旧信息部分透出时。
比较一下这个二维码和你之前见过的二维码是有帮助的。银行、快递服务或商店通常都有自己的风格：标志、简短的文字、统一的模板。当二维码看起来不熟悉，而旁边的文字写得很别扭时，不要急于行动。有时候一张贴得歪歪扭扭的纸条比长篇说明更能传达信息。这有助于理解如何识别钓鱼二维码。
4. 如何安全地在手机上扫描二维码
最好使用手机内置的相机扫描二维码，而不是随便下载的未知应用程序。打开相机，对准二维码，等待手机识别链接。不要立即点击弹出窗口。
首先查看地址，而不是页面标题。现代手机通常在打开网站之前显示 URL。如果字符串看起来奇怪，不要急于点击。域名中的一个多余字符就可能引导你进入假页面。
一个好的习惯是，如果应用程序提供自动跳转功能，就将其关闭。只有在检查域名后再点击。是的，即使网站看起来像真的，也不要在第一个表单中输入数据。复制外观比复制保护要简单。
如果二维码指向文件下载，请停止。APK、ZIP、EXE、带宏的文档和“安装更新”是最令人不快的选项。对于手机来说，这样的文件可能会成为问题，尤其是在允许未知来源的情况下。
5. 如何检查二维码隐藏的链接
关键是域名。不要只看地址的美观部分，而要关注主网站。如果银行名称前有多余的单词或数字，这可能是伪装。像 bank-login.example 或 example-security 这样的例子需要慢慢阅读，逐个字符。
子域名也会误导人。攻击者喜欢在长地址中插入熟悉的名称，以便眼睛被品牌吸引，而不是关注字符串的结尾。因此，请特别检查域名的最后部分。那里常常隐藏着陷阱。
拼写错误是一个老而有效的伎俩。一字之差、字符位置调换、多余的点、英文的“o”代替数字“0”——你就已经在另一个网站上了。特别注意链接缩短器：短地址方便，但隐藏了最终网站。如果二维码通过缩短的 URL 指向，最好在安全检查中将其展开。
协议也很重要。拥有 https 并不保证诚实，但在登录或支付页面上缺乏保护是一个坏兆头。如果网站要求输入密码、卡号或短信中的代码，而地址看起来很奇怪，请关闭页面。URL 中的奇怪符号和在问号后面的多余参数也值得注意，特别是当它们看起来像一堆垃圾时。
6. 哪些工具可以帮助检查 QR 码的安全性
第一个工具是在线链接检查。首先从 QR 码中提取地址，然后通过声誉分析服务检查它。浏览器检查、杀毒服务和声誉数据库都适用。如果网站长期被发现进行钓鱼，服务通常会显示出来。
第二种选择是使用单独的设备。如果有一部没有个人数据的旧智能手机，可以在上面打开风险较高的 QR 码，而不是在主手机上。这个方法并不完美，但可以降低后果。在处理可疑文件和页面时，在虚拟环境或沙盒中工作会更加小心。
浏览器警告也很有用。Chrome、Safari、Firefox 和许多杀毒软件能够对可疑网站、有害下载和伪造登录表单发出警告。不要忽视红色屏幕。有时，点击“仍然打开”比安装保护扩展更昂贵。
如果需要关于一般数字卫生的参考，可以查看材料 如何检查网站是否存在欺诈。逻辑类似：地址、伪造迹象、对来源的信任。如果想要短暂地从焦虑的场景中抽离，网站上有 关于学生的笑话。笑话免费。短小 ——有时3个笑话比多余的3分钟恐慌更有用。
7. 如果二维码看起来可疑该怎么办
第一步很简单：不要打开链接。即使代码已经被扫描，这也不是问题。问题在于当你访问地址、输入密码、卡号或验证码时。
如果页面已经打开，不要下载文件，也不要同意安装应用程序。关闭标签页。之后删除所有可能自动保存的内容：下载、文档、未知的APK。在手机上检查“下载”文件夹，在电脑上检查下载历史。
接下来，请通过杀毒软件扫描设备，查看是否出现了新的应用程序、扩展或奇怪的权限。如果您确实输入了密码，请立即更改它。在输入银行信息时，请联系银行。15分钟的电话比长时间的交易争议要好。
如果二维码被放置在他人的场所——商店、公交站、办公室——请通知所有者或管理部门。他们可以移除贴纸、更换海报、警告其他人并重新检查摄像头或传单。
8. 如何降低未来的风险
仅扫描来自熟悉来源的二维码。这听起来简单，但确实有效。喜欢的咖啡馆的菜单、运输公司的票、银行个人账户的代码——与柱子上的公告或陌生人的消息并不相同。这里的信任比十个便利更重要。
更新操作系统和应用程序。最新版本的浏览器和相机更常获得对恶意网站、替换和危险下载的保护。如果手机多年没有更新，它对威胁的识别能力会下降。是的，这很无聊，但安全。
启用浏览器保护、安全浏览和危险网站警告。检查应用程序是否请求额外权限：无理由访问联系人、相机、文件和短信。一个多余的权限有时比十个漂亮的图标更重要。
当二维码要求紧急付款、输入密码或确认身份时，暂停一下，比较一下情况与常规逻辑。官方服务很少要求匆忙。如果需要另一种快速分散注意力的方法，可以看看 最残酷的心理学实验 ——那里也有很多故事，让你对任何屏幕都开始更加关注。
最后，养成用眼睛检查地址的习惯。二维码方便，但不一定绝对可靠。如果有至少一个替换的迹象，最好停止。
