文字與日常工具·二維碼與條碼工具包

二維碼網路釣魚（quishing）：程式碼可以隱藏什麼以及如何檢查

2026年9月28日 · 為什麼它很重要

二維碼安全驗證

解釋了代碼貼紙和虛假支付詐騙是如何運作的、二維碼可以隱藏什麼、不能隱藏什麼，以及如何在打開目標之前讀取目標——對掃描器和出版商都很有用。

停車計時器貼紙 — 騙局如何透過以指向其他地方的代碼覆蓋合法代碼來進行詐騙

貼在合法停車或支付代碼上的貼紙會改變有效負載，但不會改變周圍的標誌。當掃描器信任物理上下文並遵循替換目標而不檢查它時，攻擊就會成功。

物理檢查是安全檢查的一部分，因為在符號被更改時編碼的位元組可以完全有效。尋找不匹配的層壓板、邊緣、不同的列印品質或覆蓋而不是與原件對齊的正方形。工作人員應透過可信管道報告位置。重複掃描可疑貼紙進行診斷可能會將更多人發送到攻擊者的站點，而無需確定是誰安裝了該站點。

矩陣未加密：解碼器可以恢復其文字。但是，相機應用程式在預覽目的地的清晰度以及是否自動開啟目的地方面有所不同，因此工作人員指南應描述受支援裝置上的控制項。

解碼器可以顯示文字，但人們在執行操作之前可能無法看到所有文字。某些相機介面會在載入後截斷長 URL、隱藏路徑或強調頁面標題。應為受支援的裝置群編寫安全指南，並絕不應承諾提供通用預覽版。如果可能，請在程式碼旁邊以普通印刷文字提供預期的網域，以便使用者進行獨立比較。

短連結和重定向鏈使第一個解碼的位址資訊量較少，而相似的領域則利用快速視覺檢查。只有當人們停下來仔細比較註冊的網域時，可讀的預覽才會有幫助。

縮短器透過縮短器的主機取代目標主機來刪除有用的上下文。然後，重定向可以在登陸之前穿過多個網域。該架構並不是自動惡意的，但它會阻止初始預覽確認最終網站。相似的網域保留了更多上下文，但依賴快速讀取錯誤。當發布者直接使用簡潔、可識別的網域時，這兩個問題都會減少。

在輸入憑證或付款詳細資料之前，請檢查預覽，避免使用不明原因的縮短劑，檢查是否有重疊的貼紙，並透過獨立路線確認目的地。二維碼掃描不應降低應用於電子郵件連結的標準。

付款和登入應該比休閒內容有更嚴格的規則。掃描後，將註冊網域名稱與可信任宣告進行比較，或瀏覽組織的正常應用程式。當密碼管理器拒絕在相似的主機上填寫憑證時，它們可以提供另一個訊號。 QR 是一種輸入方法，不能免除對電子郵件或訊息中的連結進行檢查。

發布者可以透過在受眾已識別的網域上編碼簡潔的 HTTPS 位址來提供協助。 ToolAcre 產生所提供的確切文字，並沒有內建重定向，因此預覽可以顯示該直接地址。

發布者應存檔確切的目的地並定期檢查實體標誌。直接 ToolAcre 程式碼沒有產生器新增的隱藏重定向，且 URL 產生器顯示正在編碼的有效負載。儘管如此，在不改變矩陣的情況下，受損的目的地也可能變得有害。監控站點，使用 HTTPS 並使預期主機在永久或支付相關代碼旁邊可讀。

建立兩個網域相差一個字元的無害代碼，然後使用支援的手機預覽來比較它們而無需開啟。本課程是對確切主機的視覺驗證；這並不是說每個攝影機都會發出相同的警告。

用於訓練，產生兩個無害的程式碼，其主機有一個字元不同，並讓工作人員預覽而不是打開它們。要求參與者識別方案和註冊域名，然後揭示差異。使練習離線或在受控測試域中進行。 ToolAcre 提供精確的靜態有效負載，而教訓是比較習慣 - 並不是特定的相機會在同一位置顯示每個 URL 組件。

本文不分析行動惡意軟體、應用程式商店濫用或裝置管理策略。這些需要特定於平台的控制和當前威脅情報，超越產生器的實施和儲存庫測試。

惡意軟體、行動裝置管理和應用程式商店濫用需要對此產生器以外的控制。 QR 可能會導致下載，但分析該檔案或執行安裝策略是在儲存庫之外。保持範圍明確，這樣成功的 URL 預覽練習就不會呈現為全面的移動防禦。透過組織既定的安全流程和針對受影響行動裝置的當前平台特定指南升級可疑代碼。

直接靜態有效負載只是發布者的一半防禦。將可識別的 URL 和防篡改標誌與掃描習慣相結合，在任何敏感操作之前檢查目的地。

出版商的防禦性貢獻是消除不必要的歧義：直接目的地、受控域、可見的預期主機和維護的標牌。掃描器的作用是在採取行動之前進行檢查。雙方都不能依賴糾錯或本地產生來建立信任；這些功能準確地保存和創建選定的有效負載，包括發布者故意或錯誤提供的有害負載。