大多数成功的基于二维码的攻击并不是利用技术漏洞——而是利用了不知道该注意什么的人。通过二维码进行网络钓鱼（通常称为"二维码鱼叉式攻击"）大幅上升，因为它可以绕过电子邮件过滤器，并且看起来比可疑链接更可信。如果你经营小企业或管理一个处理印刷品、销售点设备或供应商通信的团队，那么一场三十分钟的培训课程是你能进行的最具成本效益的安全投资之一。
这是一个实用的六部分框架，你现在就可以带你的团队学习。
1. 解释二维码的实际作用
在教授威胁之前，确保每个人都理解其工作机制。二维码只是一条机器可读的指令——最常见的是URL，但有时也可以是Wi-Fi凭证、电话号码或支付请求。扫描一个二维码会将控制权交给代码指向的位置，这正是攻击者所利用的。
指导员工查阅我们关于二维码如何工作的完整指南，这样他们就有了基础知识。了解工具的人更难被它欺骗。
2. 养成"预览后再操作"的习惯
每个主流移动操作系统（iOS 16+、Android 13+）在使用原生相机应用扫描二维码时，都会在打开浏览器选项卡之前显示URL预览。培训你的团队：
- 在预览屏幕前停下来——千万不要立即点击。
- 读完整个域名，而不仅仅是URL的开头。攻击者使用诸如
yourbank.com.verify-login.net这样的子域，其中真实域是verify-login.net。 - 查找HTTPS，但要将其视为最低标准，而非保证。网络钓鱼网站经常拥有有效的TLS证书。
这个单一的习惯可以阻止大量机会主义的二维码钓鱼尝试。我们关于URL预览如何保护扫描者的专门文章有更多值得与你的团队分享的细节。
3. 物理二维码的危险信号清单
在零售、酒店或活动中工作的员工经常会看到来自第三方的印刷二维码——菜单、发票、会议资料、送货单。给他们一个具体的危险信号清单：
| 信号 | 为什么重要 |
|---|---|
| 贴纸覆盖在现有代码上 | 经典的篡改方法 |
| 代码印在无品牌纯白纸上 | 制作假代码的门槛低 |
URL预览导向IP地址（例如http://192.168.1.1/…） |
合法业务网站不会这样做 |
| 目标与承诺的操作不匹配 | "扫描查看发票"→进入登录页面 |
| 代码出现在未经请求的邮件或包裹上 | 高风险的送货向量 |
有关物理篡改的更深入了解，关于检测二维码篡改的指南是一个很好的配套读物。
4. 单独讲解支付和凭证二维码
支付二维码（用于发票、收银台、停车计时器）是高价值目标。凭证二维码——那种自动填充Wi-Fi密码或让某人登录应用的类型——是你的团队应该与营销扫描不同对待的第二类。
关键规则：**永远不要扫描来自未验证来源的支付二维码，除非通过单独的途径确认收款人身份。**如果供应商通过电子邮件发送含有支付二维码的发票，在扫描前先致电供应商的已知号码。这不是杞人忧天——通过二维码进行的发票欺诈已有充分的文件记录。
对于Wi-Fi二维码：在扫描你不控制的任何共享空间中的"访客Wi-Fi"代码之前，请咨询管理你网络的人。
5. 为你自己的材料制定内部二维码标准
内部方法混乱或不一致会增加员工的风险。如果你的业务在收据、包装或营销材料上使用二维码，请定义一个标准并传达它：
- 始终使用你的注册域名作为目标（例如
yourbusiness.com/…），永远不要使用原始缩短链接或没有品牌标识的第三方重定向。 - 告诉你的团队你的二维码看起来像什么——颜色、logo位置、它们解析到的域——这样他们就可以发现仿制品。
- 尽可能使用动态代码，这样你可以审计扫描日志并在不重新打印的情况下杀死受损URL。在决定之前值得理解静态和动态格式之间的权衡——这份静态与动态二维码的对比清晰地阐述了它们。
当员工确切知道你的合法代码应该是什么样子时，他们就能更好地发现假代码。
6. 进行一次简单的桌面演习
没有练习，知识会衰退。每个季度，打印两个或三个二维码——一个链接到你的真实网站，一个链接到明显的占位符（"这是测试"），一个看起来合理但链接到意外地点的代码。要求团队成员扫描每一个，并解释他们在继续之前会做什么。
你可以使用Super二维码生成器在十分钟内构建这个演习来创建测试代码。目标不是抓住人们——而是将预览和暂停的习惯融入肌肉记忆。
关键要点
- 二维码攻击针对人，而不是系统——培训是直接的对策。
- URL预览屏幕是你的团队最可靠的第一道防线；教每个人都会使用它。
- 物理篡改（贴纸覆盖合法代码）是最常见的面对面攻击向量。
- 支付和凭证二维码承载更高的风险，应该有单独的、更严格的协议。
- 定义并传达你自己合法二维码的样子，这样员工可以识别冒牌货。
- 季度性实践演习比一次性演讲更能强化习惯。