餐厅里的 QR code，未必是你以为的那样。

贴纸手法

手法简单得令人吃惊。犯罪分子走进一家餐厅，盯上桌上或门口摆放的 QR code 立牌，然后往上一贴一张刚打印好的覆盖贴纸，上面是他们自己的 QR code。整套操作，每张桌子花不到三十秒。

打开的假页面几乎是点餐或支付页面的完美翻版：logo 正确、品牌配色正确，有时连餐厅名字都一模一样。顾客确信自己在看当天的菜单，于是在一个诈骗网站上输入了银行卡信息。

这种手法并不限于餐厅：法国政府的网络犯罪受害者援助平台 Cybermalveillance.gouv.fr 也提醒，有人把假 QR code 贴在停车缴费机和电动汽车充电桩上。

那些改用电子菜单、却没有做物理防护（镌刻式 QR code、带锁的立牌架）的餐厅，是首要目标。用普通纸自行打印立牌的小店，则最为脆弱。

如何识破

扫码前，先动手检查一下 QR code。假冒贴纸往往会略微贴歪，边缘出现重叠，或者印刷质量与餐厅的其他物料明显不同。

使用会在打开链接前显示完整 URL 的扫码工具。iOS 原生相机应用和 Android 内置的扫码器通常都会显示 URL 花点时间读一读。攻击者会玩仿冒域名（typosquatting）的把戏：用「carte-restaurant-lyon.com」冒充餐厅的官方网站。

如果打开的页面仅仅为了看菜单就索要银行卡信息，要格外警惕。没有哪家正规餐厅会把查看菜单设成必须先付款。

如有疑问，直接请服务员出示纸质菜单，或让他们在后台管理界面里展示 QR code 而不是桌上立牌上的那个。

Trasimene 能做什么

Trasimene 内置 QR code 扫描器。用它读取的每一个链接，都会在打开之前由我们的服务器检查：比对 Trasimene 维护的钓鱼网站和恶意软件网站名单、Google Safe Browsing，以及可能存在的重定向的最终目的地。

如果链接被判定为危险，它不会被打开：屏幕上会显示警报，是否仍要打开由你自己决定。域名的注册日期（如可获取）会一并显示，帮助你判断，但不计入判定结果。

这项检查通过应用内的扫描器进行：请先打开扫描器，再对准 QR code。用手机相机读取的 QR code 不会经过检查。如果开启了 Trasimene 的可选 VPN，它会在事后识别出你访问了已列入我们名单的网站，并在应用中提醒你。VPN 本身不会拦截该页面：只有 VPN 所委托进行域名解析的瑞士服务 Quad9，会在其一侧拦截它已知的恶意域名。

如有疑问，请餐厅在后台管理界面或正式单据上出示 QR code 而不是桌上的立牌。

警惕，始终是第一道防线。扫码前多看一眼、输入前先读一读 URL、有疑问时多问一句这些简单的习惯，就足以挫败绝大多数 QR code 攻击。而借助一款合适的安全应用，你完全没有理由不把这些动作交给它自动完成。

资料来源

Trasimene：移动安全

抵御 QR code 钓鱼攻击

下载 Trasimene →