凌晨两点，扫描安全我的扫描安全手机屏幕突然亮起——一条推送：“您已成功登录XXX网盘”。我盯着那行字，扫描安全后背发凉。扫描安全那账号我三个月没碰过，扫描安全密码是扫描安全大学时设的，连我自己都忘了。扫描安全黑客没忘。扫描安全

扫描二维码这件事，扫描安全我们每天都在做。扫描安全餐厅点餐，扫描安全扫；共享单车，扫描安全扫；加个好友，扫描安全扫。扫描安全手指一划，扫描安全摄像头咔嚓一声，一个黑色方块里藏着的世界就被唤醒了。可谁想过，那方块背后是什么？

上周我做了个实验。拿自己手机扫了个路边贴的“扫码领鸡蛋”二维码——当然，用的是备用机。结果三分钟内，那台手机收到七条验证码短信，全是各类APP的注册请求。我没输任何信息，只是扫了一下。就这么一下。

二维码的本质是个网址。它不像短信或电话，会先响一声提醒你“有人在联系你”。它安静得像张纸，但指尖触碰的瞬间，你等于主动打开了门。门后是商场还是暗巷，完全取决于发码的人。有人把门通向免费WiFi，有人把门通向钓鱼网站，还有人把门通向一个能读取你相册、通讯录、甚至支付密码的深渊。

我有个朋友在信息安全公司上班。他跟我说过一句话，我记到现在：“黑客不是攻破你的手机，是等你主动把门打开。”二维码就是那把最顺手的钥匙。你扫码时，手机权限弹窗跳出来——“是否允许访问相机？”大多数人直接点允许，因为不点就扫不了。可扫完之后呢？那个网页可能正在后台调用你的摄像头，或者读取你的剪贴板——你刚复制过的银行卡号，就躺在那儿。

更隐蔽的是“嵌套跳转”。你扫的码指向一个正规页面，但页面里藏着一段代码，能悄悄再跳转一次。第一次跳转你可能没注意，第二次跳转，你已经到了伪装的登录页面。界面做得和真的一模一样，你输入账号密码，页面显示“登录超时，请重试”。你骂了一句，重新操作，成功了。可你第一次输的密码，已经被记录在某个服务器的日志里。整个过程不到二十秒，你甚至以为自己只是网络卡了一下。

别误会，我不是劝你从此不扫码。那不可能，也不现实。我的意思是——扫之前停一秒。看看那个码是印在哪儿：是餐厅桌角的贴纸，还是路边电线杆上的小广告？前者大概率安全，后者你得掂量。扫完后弹出的页面，如果是要求输入隐私信息的，先退出去，用浏览器手动输入官方网址看看，是不是同一个东西。这多花你十秒钟，但可能省下后面几个月的麻烦。

我那个备用机的实验，最后以刷机收场。七条验证码短信里，有一条来自某支付平台——如果再晚发现半小时，绑定的那张空卡可能就要被用来洗钱了。空卡没损失，但麻烦。这年头，麻烦比损失更折磨人——你得花半天时间打电话、提交申诉材料、证明“我是我”。

二维码本身无罪，它只是个工具。但工具越便利，就越容易被坏人捡起来砸人。别把扫描当成本能，把它当成一个动作——一个需要你抬眼看看周围、低头想想后果的动作。毕竟，你的手机里装着你大半个人生，而那个黑色方块，可能是通往它的一扇门，也可能是一道闸。