支付宝扫描二维码被骗

那天下午，支付我差点把支付宝里的宝扫八千块转给一个“客服”。

对方电话里的描维码被声音不急不躁，说我上个月买的支付那件外套有质量问题，要给我双倍赔偿。宝扫准确报出了订单号、描维码被颜色、支付尺码，宝扫连我收货地址都能背出来。描维码被我信了八成。支付然后他说，宝扫赔偿款要打到支付宝，描维码被需要我打开“扫一扫”，支付扫他发来的宝扫一个二维码，进入理赔页面。描维码被

二维码是黑的，像一小块方形的深渊。我犹豫了不到三秒，扫了。

跳出来的页面和支付宝官方理赔页面几乎一模一样，蓝白色调，图标齐全，连底部备案号都有。我没细看网址——那是唯一的破绽，但没人教过我要看网址。页面提示输入银行卡号、身份证号、手机验证码。我输完了，点确认，页面转圈，然后显示“系统繁忙，请稍后重试”。

这时候手机短信响了，不是验证码，是银行扣款通知：八千三百零六块，被划走了。

我这才意识到，那个二维码根本不是理赔入口，是个恶意跳转的钓鱼链接。整个过程，支付宝App本身没提示任何风险——因为我是在App内扫码，但扫码后跳转的H5页面完全绕开了支付宝的风控。钱从绑定的银行卡直接划走，走的快捷支付通道，验证码我都亲手填了。

去派出所报案，民警说这类案子最近特别多。骗子专门挑用过支付宝、又不太懂技术的普通人下手。他们不直接发链接，改成发二维码，就是为了绕开微信和支付宝的域名拦截。扫出来的页面，只要长得像官方，很多人就放松警惕了。

事后我翻支付宝的安全中心，才发现官方理赔根本不会让你扫二维码去填银行卡。真正的退款流程，要么原路返回，要么在App内的“账单”里直接操作。但知道这个道理的时候，钱已经没了。

后来跟一个做安全的朋友聊，他给我看了后台数据，这种二维码钓鱼的投诉量，今年比去年同期翻了三倍。骗子专门挑晚上八点到十点打电话，因为那时候人最累，判断力最差。而且他们首选支付宝用户，因为支付宝绑卡率高，快捷支付额度大。

我现在养成了个习惯：凡是对方发来的二维码，扫之前先长按，看看弹出的网址域名是什么。凡是要我输银行卡号、密码、验证码的，一律退出。凡是自称客服主动说要退款的，挂了电话直接打官方客服核实。

二维码本身没错，错的是它背后藏着的那个链接。你扫的时候，看到的是黑白的方块，但点进去的那一瞬间，你的钱就不一定还是你的了。别觉得自己聪明，骗子就是吃准了“官方页面”这四个字带来的安全感。那种安全感，值八千三百零六块，学费挺贵的。