内容摘要：一个朋友上周给我看了个东西，差点没把我气笑。有人在群里发了个二维码，写着“内部资源，扫码进群免费领”。他扫了，手机直接黑屏三秒，然后自动下载了个不知名的APK。等他反应过来，银行卡里的零钱已经被转走两

一个朋友上周给我看了个东西，扫码差点没把我气笑。进群有人在群里发了个二维码，暗雷写着“内部资源，源码扫码进群免费领”。扫码他扫了，进群手机直接黑屏三秒，暗雷然后自动下载了个不知名的源码APK。等他反应过来，扫码银行卡里的进群零钱已经被转走两笔，一笔188，暗雷一笔520，源码备注还写着“自愿打赏”。扫码这就是进群典型的扫码进群暗雷。

这种玩意儿的暗雷技术核心不复杂，就是利用二维码跳转漏洞，把链接伪装成普通群邀请。你扫的时候，表面上是个微信群二维码，实际上背后挂着的是个恶意脚本，专门针对安卓的WebView组件。脚本会在你点击“同意进群”的那一瞬间，静默执行一串JS命令，调起系统级的支付接口。最狠的是，它根本不弹窗，直接走小额免密通道。你没输密码，没按指纹，钱就没了。

我拆过一份样本，里面的代码写得挺糙的，但思路极其刁钻。它不是直接黑你手机，而是利用微信内置浏览器的授权机制，先骗你授权手机号，再顺着这个授权链，偷偷发起一笔预授权交易。整个过程不超过0.8秒，比你眨眼还快。等你看到扣款短信，脚本早把自己删了，连个日志都不留。

更恶心的是，这种暗雷还分“湿雷”和“干雷”。湿雷就是你扫码后，手机直接中招，钱被划走；干雷则是先让你进一个假群，群里全是托儿，发各种“到账截图”诱导你下载他们的APP。那个APP才是真正的雷，你一装上，通讯录、短信、相册全部被扒光。他们拿这些数据干嘛？你以为只是敲诈？不，他们打包卖给黑产，一套通讯录加短信，市场价能卖到800块。

有人可能觉得，我不扫陌生码不就完了。但现实里，很多暗雷链接是冒充快递员、社区团购、甚至物业通知的。上个月有个案例，骗子把二维码贴在小区电梯里，写着“业主群升级，扫码重新认证”。一个五十多岁的大姐扫了，没进群，反而被开通了某平台的免密支付，三天内刷掉一万二。

技术层面，这种攻击之所以能活到现在，是因为微信和支付宝的“小额免密”和“预授权”接口本身有设计缺陷。他们太注重用户体验，忽略了支付确认的强制性。你改不了这个逻辑，只能自己加一道防线。我现在所有支付软件都关了小额免密，哪怕买瓶水都要输密码。麻烦是麻烦点，但总比被人0.8秒划走钱强。

另外，安卓手机用户尤其要小心。苹果的iOS系统对WebView权限控制得比较死，暗雷成功率低得多。但安卓因为开源，各种定制ROM的权限管理又参差不齐，给了这帮人可乘之机。如果你用的是老款安卓机，系统不更新，那基本就是裸奔状态。

最后说个扎心的事实：这种码的制作者，大多数是二十出头的小年轻，买一套源码只要几百块，租服务器一个月几十块，然后散到各种宝妈群、兼职群、棋牌群里。他们根本不挑对象，广撒网，一天能骗几百人。你报警，警察也查，但服务器在境外，收款账户是买来的四件套，追查成本比涉案金额还高。

所以，别高估自己的判断力，也别低估人性的贪念。那种“扫码进群领福利”的，十个里面九个雷，剩下一个是钓鱼。你觉得自己聪明，不会中招，但人家就是靠概率吃饭的。你唯一能做的，就是把手机里的免密支付全关掉，把微信的“通过二维码转账”功能也设置成需要验证。这不是怂，是保命。