二维码诈骗：研究怎么说
有人可能把自己的二维码贴在您的二维码上，或者通过邮件发来一个二维码。本文介绍关于二维码诈骗的研究，以及如何制作顾客能核对的二维码。
简要版
- 印刷能打开顾客认得出的地址的二维码，最好是您自己的网站。
- 把二维码直接印在表面上，而不是印在贴纸上，并检查公共场所的二维码上有没有被贴上贴纸。
- 打开扫到的二维码之前，先看清相机显示的地址。
二维码邮件骗到人的频率与链接相当
网络钓鱼是指用假消息把人引到假网站。二维码钓鱼，也叫 quishing，是用二维码代替链接来做同样的事。
2025 年，列支敦士登大学由 Marie Weinz 带领的团队，在真实的组织中测试了网络钓鱼，涵盖从小企业到跨国公司。他们发送了超过 71,000 封测试邮件，有的带普通链接，有的带二维码。
带二维码的邮件把人引到假页面的比例，与带链接的邮件大致相同。作者指出，二维码邮件也更难被邮件过滤器发现，因为地址藏在图片里。这篇论文在 AsiaCCS 2025 安全会议上发表。
此前的两项研究也指向同一方向。2022 年，Sharevski 等人让 173 人扫描一个假的 COVID-19 通行证二维码。67% 的人愿意用 Google 或 Facebook 账户注册，他们最常给出的理由是方便。2024 年，Geisler、Pöhn 和 Hommel 在德国一个研究园区张贴了假的问卷海报。一张看起来更专业、还提供奖品的海报，被扫描的次数几乎是普通海报的三倍。
如果您印刷二维码
人们可以核对自己认得出的地址。您自己的网站最容易认出。
- 尽量展示您自己的地址。静态二维码直接打开您的网址。使用 QR Lasts Pro，动态二维码也可以使用您自己的域名。
- 直接印在表面上。印在招牌上的二维码比贴纸更难被覆盖。
- 检查公共场所的二维码。在桌子、海报和门上，时常看看您的二维码上有没有被贴上贴纸。
- 写明二维码通往哪里。在二维码下方加一行字，例如“打开 yourshop.com/menu”，让人在打开前就能核对。
打开二维码之前如何检查
- 先看地址。大多数相机应用会在打开前显示地址。
- 找出网站名称。从开头读到第一个单独的 /，然后看最后两段。在 parking-city.example.com.pay-now.ru/pay 中，网站是 pay-now.ru。对于以 .co.uk 等结尾的地址，要看最后三段。
- 对要求登录或付款的二维码要小心。停车、银行和快递服务通常可以在它们自己的应用或网站上付款，您可以自己打开这些应用或网站。
- 摸一摸有没有贴纸，扫描计费器和海报上的二维码之前先检查。
- 不要扫描意料之外的邮件里的二维码。请直接访问该服务。
QR Lasts 能帮上什么
静态二维码直接打开您自己的地址，中间没有任何环节。在这里生成的每个二维码，无论免费还是付费，都会持续跳转。我们停用二维码的唯一原因是滥用，例如目标地址被 Google Web Risk 标记为网络钓鱼或恶意软件。
资料来源
- Weinz, Zannone, Allodi, Apruzzese, The Impact of Emerging Phishing Threats: Assessing Quishing and LLM-generated Phishing Emails against Organizations, AsiaCCS 2025.
- Sharevski et al., Gone Quishing: A Field Study of Phishing with Malicious QR Codes, 2022.
- Geisler, Pöhn, Hommel, Hooked: A Real-World Study on QR Code Phishing, 2024.
如果我们误读了某项研究，请告诉我们，我们会更正。