二维码里装的只是一串字符，扫码之前看不到它指向哪里。有人专门把钓鱼网址做成二维码贴出去，这一类骗法叫二维码钓鱼。

第 142 期讲过，二维码本身只是文本的容器，1994 年由日本一家做汽车零件的公司发明，编码时留了纠错数据，所以缺了一角也能读出来。它不携带任何关于目标网站的信息，这就是问题所在。

扫码之前，目标地址不可见；扫完之后，多数手机会直接跳转，地址栏一闪而过。把伪造的缴费页、登录页做成二维码，贴在停车缴费单、餐厅桌牌或者活动海报上，是常见做法。

覆盖是另一种做法：在原有的二维码上贴一张新的，外观几乎没有差别，指向却完全不同。二维码本身没有防伪特征，先贴的和后贴的很难分辨。

这类手法已经从骗个人扩展到攻击机构。美国联邦调查局在 2026 年 1 月警告过一起案例：有黑客组织把二维码嵌进邮件，诱使收件人用手机扫码，从而绕开电脑上的多因素认证——因为扫码发生在手机上，而防护措施装在那台电脑上。

二维码不会消失，它解决了输入长地址的麻烦。能改变的是习惯：扫之前看一眼二维码有没有被覆盖，扫之后先看清跳出来的地址，再决定要不要继续。