什么是 Quishing？二维码钓鱼的攻击链与分级应对方法

什么是 Quishing？它是通过二维码实施的钓鱼。二维码本身并不天然危险，它只是存储目标地址或指令的紧凑方式。攻击始于犯罪分子利用这种便利，藏起误导性的链接、收款地址、App 下载或登录页，再催促别人照做。

被隐藏的目标正是关键区别。普通链接在点击前至少能看到部分域名；二维码图像则要等相机或扫码器解码后才显示目标，弹出的提示也可能只显示缩短或截断的地址。FTC 警告，骗子会把自己的二维码贴在合法二维码上，并通过邮件或短信发送意外的二维码来制造紧迫感。［1］

关键要点

• 二维码只是载体；欺诈发生在目标页面，或它要求你做的动作上。
• 对待意外的二维码要像对待意外的链接，尤其是提到快递、账号问题、付款、退款或紧急验证时。
• 预览目标地址，检查实物贴纸，并独立打开已知的官方 App 或网站。
• 应对方式取决于扫码之后发生了什么：只看了页面，与输入凭据、付款或安装软件不同。

什么是 Quishing，Quishing 攻击怎样运作？

大多数攻击遵循一条短链。攻击者先搭建服务于欺诈目的的目标：可能仿冒银行登录页、以小额运费为名索要银行卡资料、打开加密货币付款页、要求登录工作账号，或提供文件、手机描述文件。然后把目标编码成二维码图像。最后，把图像放进可信的情境，并配上必须尽快行动的理由。

情境可以是线上的，也可以是线下的。在邮件中，二维码图像可能绕过只关注可点击文字链接的习惯和过滤器；在短信中，它可能伪装成包裹更新或账号检查；在 PDF、发票、海报、停车咪表、餐桌、活动标牌或邮寄信件上，它看起来就像日常流程的一部分。鱼叉式钓鱼还会针对特定机构或个人定制内容；FBI 记录过在定向邮件攻击中使用恶意二维码的案例。［2］

扫码并不能证明发送者正当，它只是把图像转换成数据。决定性的步骤在后面：打开解码出的 URL、信任该页面、批准浏览器或 App 提示、输入机密、授权付款或安装内容。

阶段	攻击者依赖什么	你可以检查什么
投放	熟悉的场景或看似可信的消息	这个二维码是你预期中的吗？是否有贴纸盖住了另一个码？
扫码提示	目标地址比纯文本更难看清	展开预览，查看完整域名
落地页面	品牌元素、紧迫感和看似合理的任务	另行打开官方 App 或网站进行对比
要求的动作	习惯和时间压力	要求密码、验证码、付款或安装时就停下
后续	受害者以为任务已完成	独立核实账号、付款和设备活动

恶意二维码通常出现在哪里？

邮件和文档很常见，因为二维码会把点击转移到手机上。消息可能声称公司政策要求手机验证、员工必须查看共享文件，或邮箱密码即将过期。手机上打开的页面随后会仿冒熟悉的云服务。这仍然是钓鱼，二维码只是改变了受害者到达网站的方式。

短信和聊天消息可能使用与短信钓鱼相同的快递、过路费、退款或安全警报说辞。消息里的二维码并不比写出来的网址更安全。发送者出乎意料时，请通过你已知的号码、App 或网站核实，而不是回复或扫码。

实物投放还带来另一个问题：攻击者无需控制企业的网站或邮件系统。一张印刷贴纸就能盖住真实的停车或付款码，假码也可能被加到传单、账单、桌卡或公告上。检查标签是否凸起、歪斜、颜色不同，或贴在另一个图像上面。这些迹象有用，但印得干净并不能证明是真的。

Quishing 与普通钓鱼、旅行中的假二维码有什么区别？

普通钓鱼泛指通过冒充来窃取信息或诱导不安全操作的企图。Quishing 指的是投递机制：欺骗路径被编码在二维码里。短信钓鱼则指明消息渠道是短信。一次事件可以同时符合多个标签，例如一条含恶意二维码的短信既是短信钓鱼，也是 Quishing。

旅行中遇到的假二维码，是同一机制在特定场景下的表现。停车咪表、交通公告、菜单、票务和公共 Wi-Fi 说明，都会制造看似合理的扫码理由。本文聚焦跨邮件、短信、文档、信件、工作场所和公共空间的通用攻击模型，而不是逐个目的地的旅行清单。

区分这些主要是为了预防。只针对邮件链接的培训，在链接变成图像时可能不起作用；只检查实物，在二维码来自可信之人被入侵的邮箱时也无济于事。持久的习惯是：无论二维码出现在哪里，都核实目标地址和要求的动作。

打开二维码目标前应检查什么？

先从预期开始。你是否发起过通常会用到二维码的付款、登录、退货或账号注册？如果没有，先暂停。紧迫感不是证据。声称服务将停止、包裹将被退回或罚款将增加的消息，目的就是缩短你的核查时间。

使用相机的预览，但不打开页面。以最后一个点为界从右向左读出注册域名，而不只看开头像品牌名的词。留意拼写错误、多余的子域名、无关的短链接服务、不寻常的国际字符，以及不安全的 http 地址。HTTPS 只保护通往所选网站的传输，并不能证明网站属于该品牌。

涉及付款或账号操作时，关闭提示，打开已知的官方 App、输入书签中的地址，或使用对账单、卡片上的联系方式。如果公共场所的二维码看起来被损坏或覆盖，请告知场所或运营方。FBI 也建议不要扫随处发现的二维码，对邮件或短信收到的二维码向发送者确认，并对扫码后出现的登录请求保持怀疑。［3］

扫描可疑二维码后该怎么办？

按实际发生的最高暴露级别处理。不要以为只扫了码就等于完全被入侵，也不要轻视之后做过的任何操作。

暴露程度	立即应对	后续
只扫描或预览	关闭提示或页面；不授予任何权限	清除自动开始的下载，并留意异常的浏览器提示
输入了凭据或验证码	在已知设备上修改受影响的密码；撤销会话；必要时重置 MFA	检查恢复资料、转发规则、关联应用和近期登录
付了款或输入了银行卡/银行资料	立即用可信号码联系银行或支付服务商	按建议锁卡或冻结账户，保留记录，对符合条件的交易提出争议
安装了 App、描述文件、扩展或文件	让设备脱离敏感账号；删除陌生内容并运行可信的安全检查	用干净的设备保护账号；如可能存在驻留，考虑专业帮助或重置

如果输入过密码，请按点击钓鱼链接后的处置步骤处理。其他账号上重复使用的同一密码也要修改，先从邮箱开始。如果资金已经转出，速度比自己调查网站更重要。如果安装过软件，就不要继续在可能受影响的设备上登录重要账号。

保存原始消息、发送者、二维码图像、解码出的 URL、付款记录和大致时间。向被仿冒的机构、投递消息的平台，以及你所在国家相关的诈骗或网络犯罪举报渠道报告冒充行为。不要为了收集更多证据而重新访问恶意页面。

怎样降低二维码钓鱼风险？

个人应把目标核查与账号防护结合起来。使用独有密码和 MFA，保持手机和浏览器更新，在可行时关闭自动下载。密码管理器可以提供有用的警示：它通常不会在仿冒域名上自动填充凭据。这是停下来的信号，而不是需要绕过的问题。

机构应让合法的二维码流程可预期。告诉用户二维码会在何时出现、打开哪个域名，以及页面绝不会索取哪些信息。不要把二维码作为进入敏感任务的唯一途径。提供书面的官方地址或 App 内路径，并给员工一个举报可疑图像的简单渠道。

防御方可以检查邮件图像和解码后的目标，但控制措施总会漏掉一些攻击。付款网站、短链接、新注册的域名和被入侵的正规服务，都会改变风险判断。因此，培训应该教一条独立核实的途径，而不是教“某些颜色、版式或扫码 App 总是安全的”。更全面的网络安全指南说明了这一习惯如何与账号、设备、网络和恢复控制配合。

常见问题

所有陌生二维码都有危险吗？

不是。陌生的二维码只是来路不明，并不自动等于恶意。预览它的目标，考虑情境是否说得通；涉及付款、登录或个人信息时，走独立的官方途径。

只扫描二维码会让手机被黑吗？

更大的风险通常来自打开目标并进一步操作。浏览器或操作系统可能存在漏洞，所以要保持设备更新，但应根据实际加载、下载或批准了什么来应对。

预览显示 HTTPS 就安全吗？

不是。HTTPS 加密的是到该域名的连接，骗子也能为欺骗性网站申请 HTTPS。请核实注册域名以及任务本身。

二维码能直接偷走密码管理器里的密码吗？

二维码本身不会读取密码库。假页面可能试图截获你输入或批准的凭据。如果密码管理器认不出这个域名，不要手动粘贴密码。

须安装专门的扫码 App 吗？

不一定。系统自带的相机通常会预览目标地址。扫码 App 的信誉和权限很重要，而且没有任何扫码器能判断每个看似正规的商业请求是否诚实。

二维码来自认识的人怎么办？

对方的账号或文档可能已被入侵。请通过另一渠道确认，尤其是二维码要求登录、付款、下载或紧急操作时。

Quishing 一定会打开网站吗？

不一定。二维码可以编码付款信息、联系人信息、Wi-Fi 配置、应用商店路径或其他指令。接受之前，先查看设备显示的动作。

恶意二维码应该向哪里举报？

向被冒充的机构、邮件或聊天平台、实体场所的所有者，以及相应的国家诈骗或网络犯罪举报服务报告。如果涉及付款资料或资金，另行联系银行。

安全指南无法判断某台设备或某个账号是否已被入侵。如果可能涉及敏感工作数据、大额付款或持续驻留的恶意软件，请联系负责的安全团队或合格的事件响应专业人员。

来源

1. FTC — Scammers hide harmful links in QR codes to steal your information — https://consumer.ftc.gov/consumer-alerts/2023/12/scammers-hide-harmful-links-qr-codes-steal-your-information
2. FBI — North Korean Kimsuky actors leverage malicious QR codes in spearphishing campaigns — https://www.fbi.gov/file-repository/cyber-alerts/north-korean-kimsuky-actors-leverage-malicious-qr-codes-in-spearphishing-campaigns-targeting-u-s-entities.pdf/view
3. FBI — Building a Digital Defense Against QR Code Scams — https://www.fbi.gov/contact-us/field-offices/elpaso/news/fbi-tech-tuesday-building-a-digital-defense-against-qr-code-scams

Sources checked 2026 年 8 月 28 日。