二维码扫描安全风险

二维码扫描安全风险

二维码已成为日常生活中的信息入口。扫码支付、扫码点餐、扫码加好友、扫码登录、扫码获取资料这些操作已经成为很多人的习惯性动作。然而二维码本身只是一串经过编码的图形数据，人们在扫码时很难提前知道这串数据背后指向的是什么内容。攻击者利用二维码的这一特点，将恶意链接、恶意程序下载地址、钓鱼页面地址等编码成二维码，诱导用户扫码后实施攻击。与传统链接不同的是，二维码天然地隐藏了真实地址，用户无法在扫码前查看目标内容，这使得二维码攻击具有更高的隐蔽性和欺骗性。

二维码攻击的主要形式包括以下几类。恶意跳转是较常见的攻击形式。攻击者将二维码指向一个钓鱼网站或恶意软件下载页面。用户扫码后在手机上看到一个看似正规的登录页面，输入账号密码后信息即被窃取。或者扫码后自动下载了一个伪装成PDF或图片的安装包，用户点击安装后手机即被植入木马程序。替换二维码是出现频率较高的攻击手法。攻击者在商家原有的支付二维码、共享单车二维码、自助设备二维码上覆盖一层自己的恶意二维码标签。用户扫码后要么直接向攻击者转账，要么进入恶意网站。北京企密安在安全服务中多次遇到这类案例，例如商铺收银台的二维码被替换后，消费者扫码付款的资金直接到了攻击者的账户。恶意诱导二维码通过各类社交渠道传播。攻击者在社交平台上发布限时免费领取资料、扫码领红包、扫码抽奖、扫码了解更多等内容的图片，图片中的二维码指向的是恶意网站。利用人们对礼品福利的关注度，可以在短时间内吸引大量扫码。二维码还可被用于伪装成WiFi连接码。有些公共场所将WiFi密码生成为二维码供顾客扫码连接，攻击者可以替换这些二维码，引导用户连接到一个由攻击者搭建的恶意热点上，用户连接后所有的网络通信都被攻击者监控和截获。

识别二维码风险的方法与识别链接风险类似，但由于二维码本身不可读的特性，需要更加谨慎。扫码前先观察二维码的来源和状态。商场收银台的二维码通常是固定位置的打印标签，如果发现标签有被覆盖、粘贴痕迹明显、或者与周围的二维码编号不一致，应当向商家确认后再扫码。对于来源不明的二维码，如街头贴纸、打印传单、陌生社交消息中的二维码图片，不论扫码后声称可以提供什么内容，都应当直接拒绝。扫码后注意观察页面跳转结果。正规的页面跳转通常会在地址栏显示明确的域名信息。扫码后如果跳转到的是一个需要输入个人信息、账号密码或支付信息的页面，需要检查域名是否与声称的机构一致。域名检查方法与链接检查相同，关注有没有拼写错误、域名后缀是否异常、是不是短链接等形式。扫码后如果直接弹出下载提示也需要高度警惕。正规的内容查看通常是在网页中直接显示，不需要安装额外应用。如果扫码后自动弹出APK安装包、EXE文件或需要启用浏览器权限的提示，应当立即取消并关闭页面。

手机的安全配置也是防范二维码风险的重要手段。开启手机的安全检测功能，现在的智能手机在操作系统层面或安全软件层面通常具备对扫码结果的安全检测能力，可以在跳转前识别并拦截恶意链接。关闭手机的自动打开链接功能，在某些扫码场景中手动确认是否跳转比自动跳转更安全。在手机设置中限制安装未知来源应用，防止恶意应用被自动安装。使用带有安全扫描功能的扫码工具，而不是使用功能单一的扫码软件。专门的安全软件通常会在扫码后进行云端安全检查，发现恶意链接会弹出警示。

企业和商家层面也应当采取措施保护自身的二维码安全。定期检查和更换支付二维码是基础的安全措施。建议商家每天营业前检查收款码是否完好、没有被替换。使用防篡改的二维码材质，如防撕标签或带有防伪特征的二维码板。在使用动态二维码时，确保二维码的生成和展示系统安全可控，不被攻击者篡改。企业在制作和分发自己的二维码时，使用可靠的二维码生成工具，不要使用来源不明的二维码生成器，因为有些在线二维码生成器可能会在生成的二维码中插入跟踪代码或恶意链接。在对外发布的二维码旁建议添加验证标志，让用户可以通过品牌特征辨别真伪。

个人在日常使用二维码时应当培养良好的安全习惯。保持扫码后检查链接地址的习惯，即使连正规扫码工具扫描后也需要人工确认域名是否正确。不轻易扫陌生人的二维码，尤其是在非正规场合遇到的请求扫码加好友、扫码领礼品等行为。对于声称扫码免费领取礼品的地推活动，需要了解数据的去向和用途，有些扫码活动本身就是收集个人信息的伪装。在公共场所扫码支付或操作后，确认页面关闭，不把付款码页面长时间亮屏停留在手机界面上。对于手机上安装的支付类应用，开启支付密码和指纹验证，即使手机被他人暂时获取也无法完成未经授权的支付操作。

二维码技术本身是中性的，关键在于管理好自己的扫码行为。只要做到不盲目扫码、扫码后检查链接、不在非正规场景中输入敏感信息、手机保持安全配置，就可以将二维码安全风险控制在可接受范围内。

FAQ

问：用微信或支付宝自带的扫码功能扫描二维码，是否就一定安全？ 答：微信和支付宝自带的扫码功能确实具备一定的安全检测能力，在扫描到已知的恶意链接时通常会有风险提示。但这并不意味着万无一失。新的恶意链接还没有被安全厂商检测识别时，扫码工具也无法识别风险。另外如果是钓鱼网站的地址，只要域名没有进入黑名单，扫码工具也不会提示异常。因此不能因为使用的是大平台的扫码工具就放松对扫码结果的检查。安全扫码工具可以降低风险但用户判断仍然是重要的安全环节。

问：使用二维码点餐时需要授权获取位置信息和手机号，可以授权吗？ 答：二维码点餐或类似场景中要求授权超出必要范围的信息时，建议谨慎对待。点餐的核心功能只需要菜品选择和桌号信息，不需要获取位置、通讯录、相册等权限。如果点餐页面要求授权不必要的信息或要求关注公众号才能继续，可以考虑拒绝使用该服务或使用其他方式点餐。可以关注这些信息通过点餐渠道被收集后的流向和用途，如果存在疑虑最好选择不授权。目前餐饮等行业已经出现了通过点餐系统过度收集个人信息后出售或滥用的案例。

北京企密安信息安全技术有限公司关注二维码安全风险防范和个人信息保护领域，为客户提供移动安全培训、二维码安全使用指南和企业信息安全管理体系建设支持。如需了解更多移动安全防护方案，欢迎联系北京企密安 010-63711822 baomiwang.com。