二维码已成为人们日常支付、浏览菜单和连接数字服务的工具。但网络犯罪分子也利用了这种普及性，为网络诈骗活动注入了新的活力。安全公司 ESET 检测到“二维码钓鱼”（quishing）案件显著增加。这种钓鱼方式利用二维码将用户引导至恶意网站，而用户却无法读取目标网址。
最新数据足以说明问题：ESET 2026 年上半年威胁报告显示，恶意二维码出现在 11% 的网络钓鱼邮件中，平均每月检测到超过 10 万次。事实上，西班牙此类攻击的数量位居世界第二，仅次于美国。
什么是 quishing？它为何如此火爆？
钓鱼诈骗本质上是传统钓鱼的一种变体，但它多了一个特点：恶意链接隐藏在二维码中。用户扫描二维码后，就会进入一个欺诈网站，该网站可以窃取用户的银行密码、登录凭证，甚至在其设备上安装恶意软件。
它之所以成功，原因之一在于链接的目标地址并非一目了然。在可疑邮件中，你可以看到非法的域名；而在这里，所有信息都被压缩成一个像素方块。此外，这些代码以附件图片或PDF的形式嵌入邮件中，绕过了许多电子邮件安全过滤器。更妙的是，它将通信从工作电脑转移到了手机上，而手机的安全防护通常不如电脑。
社会工程学也扮演着重要角色。犯罪分子会利用知名品牌（例如 DocuSign 或 Microsoft）的形象，并利用紧急情况，例如，警告用户如果未通过身份验证，账户将被暂停。结果，邮件出现在收件箱中，而员工由于链接中没有任何文本内容，因此无法发现任何常见的钓鱼特征。
西班牙的Quishing，一个持续不断的警报
西班牙已成为此类诈骗的重灾区。ESET 估计，全球 17% 的网络钓鱼攻击都集中在该国，这证实了该技术已在西班牙找到了滋生的土壤。其中一个最具代表性的案例得益于国家网络安全研究所 (INCIBE) 的介入而得以解决。一位餐厅顾客扫描了菜单上被篡改的二维码，在不知情的情况下订阅了一项付费服务。
西班牙消费者组织 (OCU) 也强调了不法分子在汽车上粘贴伪造二维码以模拟交通罚款的问题。当受害者扫描二维码支付罚款时，他们的银行卡信息会被泄露给一个欺诈网站。此类骗局远不止于此：有人发现，带有伪造二维码的贴纸会覆盖停车计时器和共享单车的原始二维码。攻击者会用指向其自身网站的打印二维码覆盖原有二维码。
ESET 实验室指出，2026 年 4 月是检测数量的峰值，尽管时间序列数据此前已开始呈现稳步增长的趋势。移动安全和企业电子邮件是主要的防护屏障，但用户松懈的安全习惯才是造成漏洞的罪魁祸首。
二维码欺诈的另一面
这不仅仅是针对餐厅顾客的大规模诈骗。美国国税局 (IRS) 还发现了一些诈骗活动，骗子会寄送伪装成税务通知的纸质信件，信中包含一个二维码，声称可以提供账户验证或加密货币持有者的相关文件。扫描二维码后，受害者会被引导至一个网站，该网站会要求受害者提供助记词或私钥——这些是控制数字资金的关键要素。
国家也参与了这些陷阱的设置。美国联邦调查局 (FBI) 在 2026 年 1 月的一份咨询报告中提到，据称与朝鲜有关联的 Kimsuky 组织应对二维码网络间谍攻击负责，他们利用政府文件或表格等借口入侵研究机构。换句话说，这种技术也已被高级持续性威胁 (APT) 组织所利用，其目的是入侵高价值网络。
如何保护自己免受“噤声”攻击
防范此类诈骗的主要方法其实很简单，就是学会保持怀疑态度。INCIBE建议在扫描任何张贴在公共场所的二维码之前都应三思。如果贴纸出现剥落、有被篡改的痕迹，或者直接覆盖在其他二维码之上，则不应使用。对于电子邮件，请警惕任何主动催促您扫描二维码的信息，尤其是那些带有过分紧迫感的信息。
检查二维码指向的网址也是个好主意。如果你的手机提供链接预览，请检查是否存在拼写错误、域名缩短或熟悉网站的奇怪变体。在 iOS 和 Android 系统上，禁用扫描二维码时自动打开链接也是一项有效的安全措施。切勿在未通过其他渠道验证请求合法性的情况下提供支付信息、凭证或钱包详细信息。
对于企业而言，ESET 专家建议将反钓鱼攻击纳入安全意识培训和钓鱼模拟演练中。技术是另一个关键要素：能够提取和分析文件中二维码的电子邮件过滤器、企业移动设备保护以及针对高权限帐户的防钓鱼身份验证。遵循最小权限原则并保持软件更新是防止恶意扫描演变为严重网络攻击的额外措施。
二维码的流行由来已久，但其带来的威胁也同样如此。网络钓鱼（Quishing）已成为一种通过屏幕和二进制代码传输数据的常见威胁，而针对文本钓鱼的有效防范措施，只要运用得当，同样适用于网络钓鱼。西班牙已成为网络钓鱼的重点目标，能否避免成为受害者，关键在于养成在扫描前检查目标网站是否为诈骗网站的习惯。