二维码钓鱼攻击已成为网络钓鱼领域增长最快的威胁之一。其原理很简单：看似无害的二维码隐藏着欺诈地址。微软已对这种增长进行了量化：2016 年 3 月，微软检测到此类攻击1870万起，而 1 月份仅为 760 万起，短短三个月内增长了 146%。
问题在于那些已成为我们日常生活一部分的行为。浏览餐厅菜单、支付停车费、下载电子票或查找旅游信息都已司空见惯。网络犯罪分子正是利用了这种习以为常。Logicalis Spain 网络安全部门 Áudea 的专家强调，网址在链接打开之前始终处于隐藏状态，因此用户很难在第一时间发现任何预警信号。
为什么二维码能够隐藏欺骗行为并从电脑跳转到手机
与文本链接不同，二维码在扫描前不会显示网址。Áudea 网络安全文化顾问 Andrés Cartes Guilarte 指出，这种不透明性是攻击者最大的优势之一。用户无法验证目标网址是否合法，而且在很多情况下，扫描操作是通过手机完成的，这使得交互过程脱离了公司电脑和安全控制。
一旦链接被打开，受害者可能会进入模仿企业服务、银行平台或身份验证页面的网页。其目的取决于诈骗类型，但通常涉及获取凭证、个人数据或财务信息。当信息出现在熟悉的语境中时，例如看似内部通知或来自用户常用机构的通知，这种冒充行为更具迷惑性。
微软还发现，同期通过电子邮件传播的网络钓鱼威胁约有 8.300 亿条。该公司称，在此期间，网络钓鱼攻击是增长最快的攻击手段，这一趋势与二维码在各种环境中的广泛应用相吻合。
PDF、电子邮件和 Microsoft 365 文档：首选渠道
梭子鱼公司发布的《2026年电子邮件威胁报告》揭示了几项令人震惊的发现。在分析的恶意PDF文件中，70%包含指向钓鱼页面的二维码。换句话说，这些文档起到伪装作用，诱使受害者信任文件本身，而忽略其中的二维码。
同一份报告详细指出，56%的恶意Microsoft 365文档包含网络钓鱼代码。此外，2026年3月，直接嵌入电子邮件正文的代码数量增加了336%。攻击者不仅限于使用附件，他们还将二维码直接嵌入邮件正文中，以增加被扫描的可能性。
ESET发布的《2026年上半年威胁报告》指出，今年上半年高达11%的网络钓鱼攻击采用了“Quishing”攻击手法。该公司警告称，这些攻击手法正变得越来越复杂：一些攻击活动旨在获取多因素身份验证令牌、安装恶意软件、诱骗受害者下载恶意应用程序，或利用合法的手机应用程序进行诈骗。
ESET西班牙研究与安全意识主管Josep Albors解释说，攻击者还可以通过将二维码嵌入PDF、JPEG图像或其他文档中，或者使用URL缩短服务生成二维码来进一步伪装二维码。同时，二维码附带的信息可以包含极少的文本，从而消除拼写错误、可见链接或不寻常域名等经典线索。
从餐厅菜单到停车场：人身风险与防御措施
危险不仅限于你的邮箱。餐厅、商店、公共交通、停车场和旅游服务场所的二维码也存在同样的问题：你无法在扫描前查看它们会显示哪个页面。此外，在公共场所，二维码可能已被篡改或替换为伪造的二维码。
8月份，INCIBE记录了一个真实案例，完美地诠释了这种风险。一位用户扫描了餐厅菜单上的二维码，点击链接并接受弹出窗口后，无意中激活了一个未经请求的付费订阅服务。同一家餐厅的其他顾客也遇到了类似的情况，这表明该问题并非个别事件。
这项技术的普及解释了部分现象。根据QR TIGER汇编的数据，全球约75%的餐厅已经使用二维码来方便顾客访问电子菜单。2021年至2023年间，二维码在营销和广告领域的应用增长了323%，这一数字有助于解释为什么犯罪分子会将其作为重点目标。
ESET建议企业在安全意识培训和模拟演练中加入二维码识别技术，以便员工学会识别可疑二维码。此外，ESET还建议不要扫描未经请求的电子邮件中的二维码，并建议举报任何可疑邮件。
当员工认为某封邮件来自可靠来源时，建议通过独立渠道进行核实，使用的联系方式应与邮件本身无关。这种核实方式可以避免信息来源被潜在攻击者所利用。
技术防护也至关重要。上述措施包括电子邮件安全解决方案、移动安全工具、通过移动设备管理 (MDM) 进行设备管理、防钓鱼的多因素身份验证、最小权限原则、即时访问、定期更新以及异常行为监控。此外，测试事件响应计划也至关重要，以确保在攻击发生时能够迅速做出反应。
- 电子邮件和移动安全 阻止恶意链接和代码。
- MDM 设备管理 执行最低限度政策。
- 防网络钓鱼的 MFA 以及最小特权原则。
- 更新，即时访问 以及持续监督。
所有这些数据揭示的模式很清晰：二维码之所以能在日常生活中找到一席之地，是因为它们便捷、快速且无处不在。正是这种无处不在的特性，使得它成为一种难以察觉的威胁。关键在于要警惕意外情况，扫描前先检查上下文，并实施贯穿用户从电子邮件到移动设备（包括文档和实体空间）的安全措施。
