要在旅行時避開假二維碼，關鍵是把二維碼視為尚未核實的連結，而不是停車場、餐廳、交通營辦商或景點的身份證明。先檢查實體標示，再預覽目標域名；涉及登入、付款或安裝時，應從已知官網或官方應用程式獨立進入。

關鍵要點：

貼紙整齊、頁面有 HTTPS，並不能證明營辦者身份。

不因二維碼頁面要求便提交密碼、銀行卡或證件。

不從導向頁安裝應用程式、描述檔、憑證或「更新」。

已經操作時，按實際暴露內容處理，不把每次掃描都等同裝置失陷。

本文可配合國際旅行準備指南和旅行預訂騙案防範使用，但不能取代經核實的商戶、交通機構、銀行或當地執法部門指引。

1. 先檢查實體標示，在旅行時避開假二維碼

二維碼覆蓋貼紙騙局常把新代碼貼在真正代碼上。開啟相機前，先查看整部泊車咪錶、餐牌、售票機、行李櫃、充電站、租車櫃位或景點標牌。

檢查是否有翹起邊角、雙層貼紙、被遮蓋文字、不同材質或不合理位置。比較附近同類標牌的代碼和收費說明。不一致值得留意，但損壞不等於騙案，專業印刷亦不代表真確。

判斷二維碼聲稱執行的動作是否合理。餐牌通常展示資料，泊車付款可能要求地點編號和金額；一開始便索取電郵密碼、護照、加密貨幣、禮品卡、遙距控制或裝置管理權限，則與一般用途不相稱。

有職員時，查問官方應用程式、域名或付款方式。不要致電同一張可疑貼紙上的電話，因為號碼也可能一併被更換。

2. 開啟前檢查二維碼覆蓋貼紙騙局並預覽域名

使用手機提供的連結預覽。從主機名稱末端讀取註冊域名，不要只看開頭熟悉的字詞。多餘的字詞、調換的字母、誤導性子域名、短網址、裸 IP 位址或無關域名，都是停止的理由。

例如，一個較長的陌生主機名稱中夾着與交通品牌相似的名稱，並不是該品牌的官方域名。HTTPS 保護的是你與所到達網站之間的傳輸，不能證明網站屬於標示上印着的商戶。FTC 同樣建議開啟二維碼連結前，檢查網址有否拼寫錯誤或調換字母。［1］

不要讓緊迫感取代核實。「兩分鐘後拖車」「車票即將失效」「退款必須立即確認」這類說法，目的就是減少你的核對。先離開車流或人群，再冷靜核實。

如預覽被隱藏或長得難以看懂，就取消。你不需要開啟目標頁面才能調查它。

3. 從獨立渠道進入官方服務

從裝置內已有的官方應用程式或經核實的應用程式商店頁面開啟服務。亦可手動輸入以往已知的網址、使用可信書籤，或透過場地或政府的官方資料找到營運方。把域名、地點編號、公布的價格和說明與現場實物對照。

泊車和交通場景，可尋找實體機器、有職員當值的櫃位、非接觸式銀行卡或現金選項。餐廳可索取紙本餐牌，或手動輸入經獨立核實的餐廳網址。住宿場景應返回預訂平台，或使用已確認預訂中的聯絡方式，而不是房間內留下的代碼。

即使二維碼頁面看來很精緻，這條獨立途徑也很重要。標誌、顏色、評論、倒數計時和付款表格都可以複製。頁面知道你的位置編號也可能是詐騙，因為位置編號任何人都看得到。

如官方應用程式確實提供掃碼流程，盡量在應用程式內啟動。這可收窄情境，但仍不足以成為批准意外權限或付款的理由。

4. 保護旅行二維碼付款安全，不在未核實的導向頁操作

FBI 提醒，惡意二維碼可能把人帶到竊取登入或付款資料的頁面，也可能誘導下載惡意內容。［2］遇到敏感操作應守住以下界線：

不輸入電郵、社交、銀行、政府或預訂帳戶密碼。
不提交銀行卡、轉帳、錢包復原詞組或一次性驗證碼。
不上載護照、簽證、駕駛執照、自拍照或訂單文件。
不下載 APK、設定描述檔、憑證、瀏覽器擴充功能或更新套件。
不授予通知、輔助使用、裝置管理、螢幕分享或遙距控制權限。
不致電只在該頁面出現的「客服」號碼。

部分官方身份或票務流程確會要求相機權限，但權限提示本身不能證明頁面真確。離開頁面，從已知服務商重新開始。

5. 掃描惡意二維碼後怎樣做：按暴露程度回應

判斷掃描惡意二維碼後怎樣做時，先確認自己做過哪一步。可在安全情況記錄可疑網址、地點和時間，但不要為取證再次開啟頁面。

只掃描或開啟頁面，沒有提交內容

關閉頁面，不接受下載、通知或權限。檢查瀏覽器下載紀錄，刪除未開啟的意外檔案，並從系統設定正常更新瀏覽器和作業系統。僅開啟頁面不等於密碼、金錢或整部裝置控制權已經失去。

輸入了密碼或一次性驗證碼

從真正服務更改密碼，在支援時登出其他工作階段，檢查復原方法和近期活動。重用的密碼要在其他服務分別更換。若帳戶資料可能被更改，用已知渠道聯絡服務商，並參考釣魚攻擊應對指南。

輸入付款資料或批准轉帳

用銀行官方應用程式、實體卡背面或月結單上的號碼聯絡發卡機構或錢包服務。說明提交了甚麼資料、是否授權付款，查問凍結、爭議交易及監察措施。不要再向聲稱能追回款項的人付款。

安裝了應用程式、描述檔、憑證或遙距工具

暫停敏感操作，按裝置製造商官方說明檢查應用程式、裝置管理、憑證、輔助使用及遙距控制權限。安全識別後移除可疑項目，執行受支援的安全檢查並尋求可信技術支援。可能失陷時，用另一部可信裝置保護主要電郵和金融帳戶。

上載了身份或旅行文件

經獨立核實渠道通知簽發機關或相關服務商，查問當地適用的補領、詐騙警示和監察措施。提防其後利用證件資料作精準冒認。

6. 舉報可疑代碼，同時避免再次暴露

通知代碼所在地的業主、交通機構、泊車營運方、餐廳或場地，說明準確位置和時間。安全時可從正常距離拍一張包括環境的相片，但不要撕下證物、質問懷疑的張貼者，也不要重新掃描。

涉及金錢、身份資料或威脅時，向金融服務商報告詐騙付款，並按當地警方或消費者投訴程序處理。美國可向 FTC 舉報詐騙，其他目的地有各自的渠道。平台和司法管轄區的程序各有不同。

提醒同行者時描述位置，不要轉發仍然有效的惡意連結。如代碼出現在住宿或租賃房源內，通知經核實的房東或平台，讓之後的住客也受到保護。

7. 為餘下行程建立固定核對習慣

每次掃描前停一停，問三個問題：誰放置了這個代碼？它應該完成甚麼具體動作？我能否獨立進入同一項服務？這個簡短流程比憑視覺風格辨認詐騙更可靠。

透過正常的應用程式商店更新官方交通、泊車、銀行和預訂應用程式。使用不同的密碼和帳戶保護，即使曾提交一次憑證，影響範圍也會較小。離線保存銀行和服務商的聯絡資料。

二維碼只是承載連結的容器，既非天生安全，也非天生惡意。目標是把身份驗證和敏感操作移到你能核實營運方的渠道。

常見問題

掃描二維碼會立即感染手機嗎？

掃描通常只是解碼文字或連結。開啟惡意頁面、軟件未更新、授予權限、安裝內容或提交資料會增加風險，應按真正操作採取措施。

HTTPS 能證明二維碼付款頁是真的嗎？

不能。HTTPS 加密與某個域名的連線，騙徒也能取得憑證。仍須獨立確認營辦者和域名。

印在標牌而非貼紙上的二維碼安全嗎？

印刷方式不是身份驗證。詐騙物料亦可專業印刷，真正標籤則可能因維修而更換。

應安裝第三方二維碼掃描器嗎？

現代手機通常可用內置相機預覽連結。額外掃描器不能取代核對目標，還可能要求不必要權限。

停車場只接受二維碼付款怎麼辦？

從官方標牌確認營辦商，再獨立找其應用程式或網站，並詢問職員或業主。無法確認收款方時，應使用其他合法方式或轉換地點。

只開啟可疑頁面後要改所有密碼嗎？

不必自動全部更改。優先更改實際輸入或有可靠證據已暴露的憑據；檢查下載和權限，若安裝了內容或出現異常再升級處理。

**免責聲明：**本文提供一般數碼安全資料。騙案手法、裝置行為、付款保障及舉報渠道會因目的地和服務商而異。

來源

Federal Trade Commission, Scammers hide harmful links in QR codes to steal your information — https://consumer.ftc.gov/consumer-alerts/2023/12/scammers-hide-harmful-links-qr-codes-steal-your-information
Federal Bureau of Investigation, Building a Digital Defense Against QR Code Scams — https://www.fbi.gov/contact-us/field-offices/elpaso/news/fbi-tech-tuesday-building-a-digital-defense-against-qr-code-scams

Sources checked 2026 年 8 月 28 日。

旅行時避開假二維碼：核實實體標示、連結目標與付款入口