二维码漏洞

二维码扫一下，维码漏洞钱没了。维码漏洞这事发生在杭州，维码漏洞一位做服装批发的维码漏洞老板，收到客户发来的维码漏洞“付款成功”截图，二维码就印在截图上。维码漏洞他扫了，维码漏洞跳转到一个仿冒的维码漏洞收款页面，输入密码，维码漏洞账户里少了四万八。维码漏洞

问题不在二维码本身。维码漏洞二维码就是维码漏洞一串黑白格子，跟条形码一样，维码漏洞是维码漏洞信息的容器。它不负责安全，维码漏洞也不负责验证。真正的问题在于，我们默认它安全。

这个默认很要命。你去餐厅吃饭，桌角贴个二维码，扫了就能点菜。你去停车，出口栏杆上贴个二维码，扫了就能缴费。你加个微信群，群主发个二维码，扫了就能进群。整个过程里，二维码替代了原本需要人工核验的环节——服务员确认你点了什么、收费员确认你该付多少、群管理员确认你是谁。这些环节被跳过之后，二维码指向的那个页面，就成了唯一的“真相”。

可那个页面是谁做的？没人知道。

我试过一件事。把某个常用缴费二维码拍下来，用工具解码，发现里面就是一串URL。把URL里的参数改一位，页面照样打开，收款方名字变了，金额也变了。二维码本身没有防篡改机制。它不像银行卡有芯片、不像身份证有防伪线。它就是一张图，谁都能生成，谁都能替换。

更麻烦的是，手机摄像头扫二维码的时候，不会弹窗问“这个链接安全吗”。系统默认你信任这个码。你扫了，它就跳。跳到哪里，它不管。

有人会说，那我不扫陌生码不就行了。问题是，陌生和熟悉的边界在二维码这里特别模糊。你楼下便利店贴的码，可能是店员自己打印的，也可能是上周被人偷偷覆盖上去的。你扫之前不会去抠一抠，看看下面是不是还有一层。

去年有个案子，有人把共享单车的二维码撕掉，贴上自己的收款码。用户扫码开锁，钱付了，车没开。涉案金额不大，但手法极其简单——一张贴纸，一个二维码，就能截走所有人的付款。后来平台把二维码改成了动态刷新的，每几分钟变一次，才算堵上。

动态码是个办法。但大部分场景做不到。打印出来的桌贴、墙上的海报、传单上的方块，都是静态的。静态码一旦被替换，肉眼根本看不出来。两个二维码长得一模一样，扫出来的结果可能天差地别。

还有一层：二维码可以指向任何东西。不一定是网址，也可以是纯文本、名片、WiFi密码、甚至一段代码。有些恶意二维码扫完不会立刻跳转，而是在后台执行一段脚本，把你的通讯录或者短信读走。你什么都没点，它已经干完了。

那怎么办？我的做法是，扫任何二维码之前，先看它贴得正不正。歪的、有气泡的、边缘翘起来的，大概率被人动过。付款码扫完，别急着输密码，看一眼收款方名字对不对。名字不对，立刻退。陌生二维码，能用系统相机扫就别用微信扫，系统相机至少会显示完整链接，你能看到它到底要去哪。

最根本的一条：二维码不是安全凭证。它只是一张纸条，上面写了句话。你信这句话，是因为你信贴纸条的人。如果那个人你信不过，或者你根本不知道是谁，那就别扫。

技术没有漏洞。漏洞在人。