二维码也可能是恶意的——先安全地检查一下再打开

二维码已经从一个小众的营销噱头,变成了真正无处不在的东西——菜单、停车缴费、活动签到、包裹追踪。正是这种无处不在,让它成了一种好用的钓鱼工具:贴在真实二维码上面的恶意贴纸,在你的手机打开它之前,看起来和真的一模一样。

'二维码钓鱼'(quishing)长什么样

• 贴在停车计费器上真实二维码上面的贴纸,会引导到一个虚假的付款页面。
• 邮件里的二维码,通过一个短链接跳转到一个窃取账号密码的网站。
• 传单或海报上声称能解锁折扣的二维码,实际上却在安装一些你并不想要的东西。

打开之前先预览

Filenary 的二维码扫描工具会从你上传的照片中读取二维码,直接显示原始内容——通常是一个网址——而不会自动在你的浏览器中打开它。扫描和点击之间的这个间隙,正好留给你机会去看看这个域名,判断它是不是你预期的那个。

关于浏览器支持的说明

这个工具使用的是基于 Chromium 的浏览器(Chrome、Edge)内置的原生 BarcodeDetector API。Firefox 和 Safari 目前还没有实现这个 API,所以扫描功能目前只能在 Chromium 浏览器中使用——如果你的浏览器不受支持,工具会明确告诉你,而不是悄悄失败。

真正该检查什么

看到解码出来的网址之后,用你审视一封可疑邮件的方式去审视这个域名:它是否和你预期的商家一致,还是一个仿冒的相似域名、一个裸 IP 地址,或是一个不相关的短链接服务?