扫码漏洞

小区门口那家水果店，扫码漏洞老板把收款码贴在玻璃上，扫码漏洞用透明胶带缠了三圈。扫码漏洞我扫完钱正要走，扫码漏洞他叫住我，扫码漏洞指了指旁边一张新打印的扫码漏洞纸——上面是另一个二维码，黑白分明，扫码漏洞边角还翘着。扫码漏洞“以后扫这个，扫码漏洞”他说，扫码漏洞“之前那个是扫码漏洞儿子的，钱都进他口袋了。扫码漏洞”

我盯着那两张码看了好几秒。扫码漏洞同样大小的扫码漏洞方块，同样密密麻麻的扫码漏洞迷宫，肉眼根本分辨不出区别。可就是这玩意儿，让老张头三个月的水果钱全变成了儿子的游戏充值记录。他苦笑：“要不是儿媳妇查账，我到现在还蒙在鼓里。”

这不是孤例。楼下便利店换过三次码，每次都是因为“家里人搞错了”。隔壁快递站更绝，贴了张打印的假码，扫进去是个人收款账户，名字叫“顺丰速运”。要不是我多看了两眼，那二十块运费就喂了骗子。

二维码这东西，本质上就是个网址的图形化。它能装进一串字符，自然也能装进恶意链接。问题是——我们没人会去读那串字符。眼睛看着码，心里默念“扫一下就行”，手指已经按下了确认键。这就是漏洞所在：我们信任的不是那个码，是“扫码”这个动作本身。

有一次我在地铁口等人，看见一个姑娘对着墙上的共享单车码扫了半天，手机愣是没反应。走近才发现，那码上面贴了层半透明的贴纸，底下才是真码。贴纸做得很精细，边缘裁得整整齐齐，不凑近根本看不出接缝。她扫的是假码，打开的页面是“单车已锁定，请支付一元解锁”。你说这一块钱，谁会去计较？可一天下来，这种码能骗走几百人。

骗子们现在也学会了“精细化运营”。他们专挑人流量大、扫码频率高的地方下手——菜市场、公交站、医院挂号处。医院那事儿最缺德，有人在挂号二维码上覆盖了自己的收款码，来看病的老头老太太，扫完直接转账，还以为挂上了号。等发现不对劲回去找，贴纸早被撕了，谁说得清是真是假？

我自己也栽过。上个月在夜市买烤冷面，摊主说扫码付款，我扫完看了一眼金额——六块，没错。可手机弹出的是“向个人用户转账”，我犹豫了一下，摊主催：“快点快点，后面排队呢。”就这么一催，我按了指纹。后来翻账单才发现，收款方是个陌生名字，跟“烤冷面”三个字八竿子打不着。

问题出在哪儿？出在我们默认“扫码=付款给眼前这个人”。可二维码本身就是个链接，它不认人，只认地址。你扫的那个码，到底指向哪里，取决于贴码的人是谁——而不是你以为的那个谁。这中间的信任链条，脆弱得跟纸一样。

我后来学乖了。凡是个人摊位，扫完码先看收款方名字跟摊主对得上对不上。对不上，就问一句“老板你叫啥”。大部分人都很坦然，但也有那么一两个，眼神飘忽，嘴里嘟囔“那个是我老婆的号”。行，老婆的号也行，但你倒是提前说一声啊。

最让我后怕的是那次在停车场。出口闸机上的码，扫完显示“欢迎使用本停车场”，然后要输车牌号。我差点就输了——可那个页面做得太粗糙，字体歪歪扭扭，按钮位置也不对。我退出去重新扫，才发现闸机侧面还有个官方码，上面印着停车公司的logo。两个码挨着，真假难辨。

说到底，扫码这个动作已经变成了肌肉记忆。我们像条件反射一样解锁手机、打开相机、对准方块、按下确认。整个过程不超过三秒，大脑根本来不及处理“这个码是真的吗”这个问题。而骗子们赌的就是这三秒。

现在我再看到码，会先摸一下边角——贴纸和打印的质感不一样。会看周围有没有被覆盖的痕迹——新贴的码往往比旧码白得刺眼。还会留意付款页面——正规商户的收款界面，跟个人转账界面区别很大。这招不一定管用，但至少能让我在按指纹前多喘一口气。

那家水果店的老张头，现在把码焊在了台面上，用有机玻璃压着，周围还画了圈红边。他说：“这样总没人能换了。”我笑了笑，没告诉他——真要换，玻璃也能撬开。只是希望撬的人，别盯上他这摊水果就好。

本文地址：http://www.79wt.cn/news/135a1299852.html