要在旅行时避开假二维码，关键是把二维码当作尚未核实的链接，而不是停车场、餐厅、交通运营商或景点的身份证明。先检查实体标识，再预览目标域名；涉及登录、付款或安装时，应从已知官网或官方 App 独立进入。

关键要点：

贴纸整齐、页面有 HTTPS，并不能证明经营者身份。

不因二维码页面要求就提交密码、银行卡或证件。

不从落地页安装 App、描述文件、证书或“更新”。

已经操作时，按实际暴露内容处理，不把每次扫描都等同于设备失陷。

本文可配合国际旅行准备指南和旅行预订诈骗防范使用，但不能替代经核实的商户、交通机构、银行或当地执法部门指引。

1. 先检查实体标识，在旅行时避开假二维码

二维码覆盖贴纸骗局常把新代码贴在真实代码上。打开相机前，先看完整的停车计费器、菜单、售票机、行李柜、充电站、租车柜台或景点标牌。

检查是否有翘边、双层贴纸、被遮住的文字、不同材质或不合常理的位置。比较附近同类标牌的代码和收费说明。不一致值得警惕，但破损不等于诈骗，专业印刷也不代表真实。

判断二维码宣称执行的动作是否合理。菜单通常展示信息，停车付款可能要求地点编号和金额；一上来索要邮箱密码、护照、加密货币、礼品卡、远程控制或设备管理权限，则与这些任务不相称。

有工作人员时，询问官方 App、域名或付款方式。不要拨打同一可疑贴纸上的电话，因为号码也可能一并被替换。

2. 打开前检查二维码覆盖贴纸骗局并预览域名

使用手机提供的链接预览。从主机名末端读取注册域名，不要只看开头熟悉的词。多余的单词、调换的字母、误导性子域名、短网址、裸 IP 地址或无关域名，都是停止的理由。

例如，一个较长的陌生主机名里夹着与交通品牌相似的名称，并不是该品牌的官方域名。HTTPS 保护的是你与所到达网站之间的传输，不能证明网站属于标牌上印着的商户。FTC 同样建议打开二维码链接前检查网址是否有拼写错误或调换的字母。［1］

不要让紧迫感取代核实。“两分钟后拖车”“车票马上失效”“退款必须立即确认”这类说法，目的就是减少你的核对。先离开车流或人群，再冷静核实。

如果预览被隐藏或长得难以看懂，就取消。你不需要打开目标页面才能调查它。

3. 从独立渠道进入官方服务

从设备里已有的官方 App 或经核实的应用商店页面打开服务。也可以手动输入以前就知道的地址、使用可信书签，或通过场所或政府的官方信息找到运营方。把域名、地点编号、公布的价格和说明与现场实物对照。

停车和交通场景，可寻找实体机器、有人值守的柜台、非接触式银行卡或现金选项。餐厅可索取纸质菜单，或手动输入经独立核实的餐厅网址。住宿场景应回到预订平台，或使用已确认预订中的联系方式，而不是房间里留下的代码。

即使二维码页面看起来很精致，这条独立路径也很重要。Logo、颜色、评论、倒计时和付款表单都可以复制。页面知道你的位置编号也可能是欺诈，因为位置编号任何人都看得到。

如果官方 App 确实提供扫码流程，尽量在 App 内启动。这能缩小情境范围，但仍不足以成为批准意外权限或付款的理由。

4. 保护旅行二维码付款安全，不在未经核实的落地页操作

FBI 提醒，恶意二维码可能把人带到窃取登录或付款信息的页面，也可能诱导下载恶意内容。［2］遇到敏感操作应守住以下边界：

不输入邮箱、社交、银行、政府或预订账户密码。
不提交银行卡、转账、钱包恢复短语或一次性验证码。
不上传护照、签证、驾照、自拍或订单文件。
不下载 APK、配置描述文件、证书、浏览器扩展或更新包。
不授予通知、辅助功能、设备管理、共享屏幕或远程控制权限。
不拨打只出现在该页面上的“客服”号码。

某些官方身份或票务流程确实会请求相机权限，但权限弹窗本身不能证明页面真实。离开页面，从已知服务商重新开始。

5. 扫描恶意二维码后怎么办：按暴露程度响应

判断扫描恶意二维码后怎么办时，应先确认自己做到了哪一步。可安全记录可疑网址、地点和时间，但不要为取证再次打开页面。

只扫描或打开页面，没有提交内容

关闭页面，不接受下载、通知或权限。检查浏览器下载记录，删除未打开的意外文件，并从系统设置正常更新浏览器和操作系统。仅打开页面不等于密码、资金或整个设备控制权已经丢失。

输入了密码或一次性验证码

从真实服务更改密码，在支持时退出其他会话，检查恢复方式和近期活动。重复使用的密码要在其他服务分别更换。若账户资料可能已被篡改，用已知渠道联系服务商，并参照钓鱼攻击应对指南。

输入付款信息或批准转账

用银行官方 App、实体卡背面或账单上的号码联系发卡机构或钱包服务。说明提交了哪些资料、是否授权付款，询问冻结、争议交易及监控措施。不要再向声称能追回资金的人付款。

安装了 App、描述文件、证书或远程工具

暂停敏感操作，按设备厂商官方说明检查 App、设备管理、证书、辅助功能及远程控制权限。安全识别后删除可疑项目，运行受支持的安全检查，并寻求可信技术支持。失陷可能性较高时，用另一台可信设备保护主要邮箱和金融账户。

上传了身份或旅行文件

通过独立核实的渠道通知签发机关或有关服务商，询问当地适用的换发、欺诈警示和监控措施。警惕后来利用证件信息进行的精准冒充。

6. 报告可疑代码，同时避免再次暴露

通知代码所在地的业主、交通机构、停车运营方、餐厅或场所，说明准确位置和时间。安全时可以从正常距离拍一张包含环境的照片，但不要撕下证物、质问疑似张贴者，也不要重新扫描。

涉及资金、身份资料或威胁时，向金融服务商报告欺诈付款，并按当地警方或消费者投诉程序处理。美国可向 FTC 举报欺诈，其他目的地有各自的渠道。平台和司法管辖区的流程各不相同。

提醒同行者时描述位置，不要转发仍然有效的恶意链接。如果代码出现在住宿或租赁房源内，通知经核实的房东或平台，让之后的住客也能受到保护。

7. 为余下行程建立固定核对习惯

每次扫描前停一下，问三个问题：谁放置了这个代码？它应该完成什么具体动作？我能否独立进入同一项服务？这个简短流程比凭视觉风格识别欺诈更可靠。

通过正常的应用商店更新官方交通、停车、银行和预订 App。使用不同的密码和账户保护，这样即使提交过一次凭据，影响范围也更小。离线保存银行和服务商的联系方式。

二维码只是装载链接的容器，既非天然安全，也非天然恶意。目标是把身份验证和敏感操作移到你能核实运营方的渠道上。

常见问题

扫描二维码会立即感染手机吗？

扫描通常只是解码文字或链接。打开恶意页面、软件未更新、授予权限、安装内容或提交资料会增加风险，应按真实操作采取措施。

HTTPS 能证明二维码付款页是真的吗？

不能。HTTPS 加密与某个域名的连接，诈骗者也能取得证书。仍须独立确认经营者和域名。

印在标牌上而不是贴纸上的二维码安全吗？

印刷方式不是身份验证。诈骗材料也可专业印刷，真实标签则可能因维护而更换。

应该安装第三方二维码扫描器吗？

现代手机通常可用内置相机预览链接。额外扫描器不能代替核对目标，还可能请求不必要的权限。

停车场只接受二维码付款怎么办？

从官方标牌确认运营方，再独立找其 App 或网站，并询问工作人员或业主。无法确认收款方时，应使用其他合法方式或换地点。

只打开可疑页面后要改所有密码吗？

不必自动全部更改。优先更改实际输入或有可靠证据已暴露的凭据；检查下载和权限，若安装了内容或出现异常再升级处置。

**免责声明：**本文提供一般数字安全信息。诈骗方式、设备行为、付款保护及举报渠道会因目的地和服务商而异。

来源

Federal Trade Commission, Scammers hide harmful links in QR codes to steal your information — https://consumer.ftc.gov/consumer-alerts/2023/12/scammers-hide-harmful-links-qr-codes-steal-your-information
Federal Bureau of Investigation, Building a Digital Defense Against QR Code Scams — https://www.fbi.gov/contact-us/field-offices/elpaso/news/fbi-tech-tuesday-building-a-digital-defense-against-qr-code-scams

Sources checked 2026 年 8 月 28 日。

旅行时避开假二维码：核实实体标识、链接目标与付款入口