钓鱼式二维码扫描(Quishing):完整防护指南

常见手法

• •物理二维码替换:诈骗犯打印带有恶意二维码的贴纸,贴在停车计时器、餐厅支付终端、电动汽车充电站和快递包装标签上的合法码上,将支付款重定向到他们自己的账户。
• •基于电子邮件的钓鱼式二维码活动:攻击者发送看起来专业的电子邮件,声称来自IT部门、人力资源或金融机构,附带用于紧急密码重置、多因素身份验证设置或发票支付的二维码,这些码链接到凭证窃取网站。
• •虚假停车违规通知:犯罪分子在挡风玻璃上放置虚假停车罚单,使用二维码声称提供快速支付选项,但实际上在扫描时窃取信用卡信息和个人详情。
• •加密货币投资诱饵:诈骗犯通过社交媒体和即时通讯应用分发二维码,声称提供对独家加密货币投资机会的访问权限,但实际上在扫描时会窃取受害者的数字钱包。
• •包裹快递诈骗:欺诈者通过短信或电子邮件发送二维码,声称可以重新安排包裹交付或支付关税,链接到伪造的邮政服务网站,这些网站捕获支付卡信息。
• •餐厅菜单和支付诈骗:攻击者为餐厅中的数字菜单或桌边服务支付创建虚假二维码,将食客重定向到外观相似的网站,当客户尝试支付账单时窃取信用卡详情。

如何识别

• URL预览不匹配:打开链接前,检查你的手机是否显示与预期目标不匹配的预览URL(例如,停车计时器二维码显示个人网站URL,而不是城市官方域名)。
• 物理篡改迹象:查看贴在原始二维码上的贴纸、打印不对齐、纸张质量不同,或看起来像事后添加而非作为原始材料专业打印的一部分的码。
• 紧急行动要求:对附带威胁性语言的二维码保持警惕,例如'账户将在24小时内被冻结''需要紧急安全更新'或'在2小时内支付以避免处罚',因为合法服务很少使用这种压力策略。
• 通用或非个人化通信:包含二维码的电子邮件或消息没有使用你的真实姓名、涉及模糊的账户问题,或缺乏关于你与声称的发送方的关系的具体详情,这可能是欺诈。
• 意外的身份验证请求:如果你收到声称设置多因素身份验证、验证账户详情或确认身份的二维码,而你没有启动任何此类流程,这是一个重大危险信号。
• 支付目标不一致:当二维码链接到支付页面时,验证收款人姓名、业务详情和支付处理方是否与预期一致——诈骗犯经常使用个人账户或不熟悉的支付平台,而不是建立的商户服务。

如何保护自己

• 安装具有URL预览功能的二维码扫描器:使用在打开链接前显示完整目标URL的二维码读取器应用,并始终验证域名是否与合法组织相匹配(检查细微的拼写错误,如用零'0'代替'o'的'micros0ft.com')。
• 手动输入官方URL:对于银行、密码重置或支付等敏感操作,与其扫描二维码不如直接在浏览器中输入URL或使用保存的书签导航到官方网站。
• 扫描前验证物理二维码:检查停车计时器、支付终端和产品包装是否有篡改迹象——合法二维码应该作为原始材料的一部分被打印,而不是通过贴纸或单独标签添加。
• 在所有账户上启用双因素身份验证:即使诈骗犯通过钓鱼式二维码扫描获得了你的凭证,使用身份验证器应用(而非短信)的适当双因素身份验证也能防止他们在没有次要验证码的情况下访问你的账户。
• 通过官方渠道联系组织:如果你收到声称需要紧急行动的二维码,可独立通过官方来源的电话号码或网站联系该组织,而不是使用可疑消息中提供的信息。
• 使用移动安全软件:安装信誉良好的移动安全应用,能够检测并阻止恶意网站,即使通过二维码访问也能防止,为防止凭证盗窃和恶意软件提供额外保护层。

真实案例

常见问题

本地举报渠道 — 中国大陆

您所在地区针对此类诈骗的官方举报渠道。

权威资源

与此类诈骗相关的权威政府机构与官方反诈组织（含指引）。