扫码安全：假码覆盖、收款码调包与钓鱼跳转怎么防
结论先说：二维码本身没有防伪能力——它只是一段可以被任意复制、重新生成的图形。风险不在于”码是不是真的”，而在于这张纸上的码是不是被人换过、扫完跳去了哪里。
对商家，要防的是自己的码被覆盖；对消费者，要防的是扫到别人的码。两件事的防线完全不同。
一、常见的五种假码形式
| 形式 | 手法概述 | 谁受损 |
|---|---|---|
| 贴纸覆盖 | 在真实码上贴一层同尺寸假码 | 商家（收款进他人账户）、品牌方（流量被截） |
| 收款码调包 | 替换摊位、门店的静态收款码 | 商家 |
| 快递/罚单类假码 | 面单、通知单上印非官方码，诱导扫码缴费或填信息 | 消费者 |
| 共享设备贴码 | 充电宝、售货机、按摩椅表面被贴假码 | 消费者 |
| 跳转钓鱼页 | 码指向仿冒的登录页、客服页、退款页 | 消费者 |
共同点：假码在物理层面和真码几乎无差别，靠肉眼分辨不了；唯一可靠的判断在扫码之后看到了什么。
二、商家侧：四道防线
- 静态码换成动态码：收款场景使用服务商提供的动态码，码图定期更换，贴纸覆盖立刻失效
- 开启到账语音/实时提醒：没有语音播报的摊位，是被调包的重灾区
- 每日开班核验：检查码贴是否有翘边、覆贴、双层痕迹，位置是否被移动
- 码与主体绑定核对：收款页显示的商户名称必须是自己的全称或已登记简称
判断口诀：能被一张贴纸替换的收款方式，都不安全。静态个人收款码尤其如此。
三、消费者侧：扫码后的三个判断点
| 判断点 | 正常表现 | 风险信号 |
|---|---|---|
| 域名 | 品牌官方域名、平台官方域名 | 一串随机字母数字、含”vip””kf””tui”等诱导词 |
| 页面要求 | 展示信息、领券、跳小程序 | 要求输入银行卡、验证码、支付密码、身份证 |
| 跳转链路 | 一次跳转到官方页 | 连续多次跳转、要求下载不明 App |
核心原则：扫码之后凡是要求”输入支付信息”的，一律退出。正规缴费、退款不会通过扫码页索要密码或验证码。
四、品牌方侧：把码当成资产管
- 自有码要有归属记录：哪个码印在哪批包装、由哪家印厂制作，见 条码台账
- 投放位置避开可覆盖面：门店物料、桌贴、灯箱上的码，优先选择不可整片覆贴的结构
- 防伪码与普通码分开：营销码被复制无所谓，防伪码必须一物一码并记录查询，见 溯源与防伪
- 定期巡查投放点：连锁门店、加盟商的码贴是覆盖高发区
五、五个易错认知
- “我的码是我生成的，别人换不了”：图形可复制，物理可覆盖
- “扫码能跳到我网站就是真的”：钓鱼页可以做得一模一样
- “静态收款码省手续费”：省下的是费率，赔上的是被调包的风险
- “有防伪码就不用管了”：防伪码需要后台核验与物理防伪配合，单靠码不行
- “投诉平台就能追回”：资金一旦进入他人账户，追回难度极高，防线要前移
六、常见问题
Q：怎么快速判断码贴有没有被换过？
看边缘是否翘起、是否有两层、尺寸与位置是否与原始投放一致；有条件时记录投放时的照片留档比对。
Q：个人收款码需要换成商户码吗？
有固定经营场所、日均多笔收款的，建议用商户码并开启语音播报，风险明显更低。
Q：扫到假码已经付了钱怎么办？
立即保留截图与交易记录，向支付平台投诉并报警，同时固定假码实物证据。
Q：二维码能加密防伪吗？
可以做到”码值不可推测 + 后台核验”，但不能阻止图形被复制，必须配合物理防伪与查询行为分析。
Q：门店物料上的码被覆盖，品牌方有责任吗？
投放方通常负有管理义务，加盟体系建议在合同中约定巡查与整改责任。
七、相关页面
本页内容供风险防范参考，具体案件处理以公安机关与支付机构规则为准。