二维码安全怎么防：付款码、收款码、登录码的风险完全不同（附三步核查）

二维码本身不是病毒，它只是一串被编码的网址或字符串。真正决定风险的是「扫完之后打开了什么、授权了什么、付给了谁」。所以防二维码诈骗，靠的不是「少扫码」，而是扫完之后那三秒钟的核查习惯。

更关键的是：生活里的二维码至少有三种，风险机制完全不同——付款码、收款码、登录码。混在一起谈，就会得出「别扫码」这种没用的结论。

三种码，三种风险

第一类最容易被低估：付款码等于现金，任何人拿到那张图（哪怕只是截图），在支持扫码枪的收银台就能扣款。这就是为什么警方反复提示「关闭免密支付」——不是免密本身有漏洞，而是它把「出示即扣款」的门槛降到了零。

六种高频骗局，按发生概率排

注意最后一行：扫码后如果弹出的是系统级的「安装描述文件」「添加 VPN」「加入 Wi-Fi」，直接退出。正常网页永远不需要这些权限，这类请求只可能来自恶意配置。

扫完三秒钟，做三次核对

1. 看域名：付款、登录、填信息之前，先看地址栏主体域名。仿冒页常用 wx-pay.cn、alipay-vip.com 这类「品牌名 + 连字符」的组合。判断方法与钓鱼网站怎么识别一致。
2. 看收款方与金额：付款页一定显示收款方全称。名称对不上、金额是「押金/认证费/解冻费」、催你「现在不付就失效」，三条同时出现基本可以确定是骗局。
3. 看授权范围：只同意「获取昵称头像」是正常的；要求「读取通讯录」「允许代扣」「获取位置始终」就要停下来。授权一旦签下，后续扣款和骚扰都很难追回。

付款码的专项防护

• 关闭或收紧免密支付：微信「我 → 服务 → 钱包 → 支付设置 → 免密支付」，支付宝「我的 → 设置 → 支付设置 → 免密支付/自动扣款」，把不认识的签约全部解约；
• 付款码不截图、不外传：包括「发给店员确认」「发给朋友代付」；
• 开启付款码隐私保护：两家都在收付款页提供了「隐藏/验证后显示」的选项，打开后必须再次验证才能出示；
• 设置单笔限额：给免密场景设一个小额上限，超出必须输密码；
• 开启交易提醒：短信或 App 推送，异常扣款能第一时间发现。

已经扫了、已经付了，怎么办

1. 立刻停止操作：不要按页面提示「再付一笔解冻」，也不要联系页面上给的客服电话；
2. 在 App 内投诉并申请拦截：微信支付/支付宝都有「交易投诉」入口，越快越可能拦住资金；
3. 解约免密与代扣：把刚才授权的那一项立刻解约，避免二次扣款；
4. 改密码 + 下线会话：如果扫的是登录码或填过账号密码，按密码泄露了怎么办的顺序处理；
5. 留证据并报警：截图页面、订单号、收款方名称，拨打 96110 咨询或到派出所报案；金额再小也建议留痕，串并案才有价值。

一张随手可用的检查清单

• 扫码后第一眼看的不是页面设计，是地址栏域名；
• 付款前确认收款方全称，不用「扫码领红包」「扫码退款」；
• 任何人索要付款码、登录码截图，一律拒绝；
• 不安装扫码页推荐的 App，不安装描述文件；
• 免密支付列表每季度清一次，不认识的签约立刻解约；
• 公共场合的码先看有没有被贴纸覆盖、边缘是否翘起；
• 扫码领 Wi-Fi 的一律不用，手动选择并核对名称。

常见问题

二维码会「传染」给别的设备吗？

不会。二维码只是字符串，没有自我复制能力。所谓「二维码病毒」指的是它指向的下载链接或页面里的恶意程序，处置方式是卸载可疑应用、检查描述文件，而不是「杀毒扫描二维码」。

用手机自带相机扫码比用微信扫更安全吗？

稍好一点，因为相机通常会先显示完整网址让你确认再打开，而部分 App 会直接跳转。但真正的防线仍是「看域名、看收款方、看授权」这三步。

静态收款码就一定不安全吗？

静态码本身没问题，问题是它可被替换、且金额由付款方填写。商家应定期检查台卡是否被覆盖，顾客则应在付款页核对商户名——这一步比任何技术手段都直接。

扫码登录网页安全吗？

安全，前提是网页是你自己要登录的那个站。扫码登录本质是「把手机上的登录态授权给这个网页」，所以假冒网页拿到登录码，就等于拿到你的账号。看到登录页先核对域名，再做扫码动作。

小结

二维码安全的全部要点可以压成一句话：码是入口，判断在扫完之后。把付款码当现金看待，把收款方名称当收据核对，把任何索要截图、索要授权、索要下载的请求当诈骗处理——这三条能挡掉绝大多数损失。日常账号侧再配好双因素（两步验证怎么开启），即使某次授权被拿走，也不至于连账号一起丢。