近年来，随着移动互联网与智能手机的广泛普及， 二维码得到普遍应用，已成为移动互联网的“入口”。但近期曝光的共享单车二维码被不法分子“加料”事件反映出，“扫一扫”背后潜藏着一定的安全风险。2019年1月，中国银联发布了2018移动支付安全大调查分析报告统计，当前我国手机支付用户规模已达到了5.7亿，2018年消费者在移动支付中遭遇的诈骗发生率有所下降，但人均损失有所扩大，从2017年的1600元左右增加到1800元左右，其中扫描不明来源的二维码，是移动支付面临的主要风险之一，发生实际损失的比例高达95%。本文将向读者简要二维码的安全风险、隐患和防范妙招。
二维码攻击四种类型
木马植入。攻击者事先将恶意软件指令编入二维码之中，当用户在不知悉的情况下扫读该类二维码时，用户的智能手机等移动终端系统就会被悄然地植入木马或其他隐匿性程序。借此，攻击者即可在后台窃取扫码支付用户的支付账户、银行卡、交易记录等信息，从而达到不法侵占他人货币数据资金的目的。
恶意诱导。攻击者将钓鱼性质的恶意网址链接伪装成二维码图形。只要用户扫读该类二维码，就会诱导其登录预先植有木马的网站，进而获取用户输入的金融账户、密码、金融交易记录及用户个人的敏感信息等。
“偷梁换柱”。由于仅凭肉眼难以有效识别二维码之间的差别，而这也无形中给不法之徒达到秘密窃取他人财物提供了可乘之机，如“2016 年 11 月底，佛市公安局禅城分局接到曾某报案，称其店铺的微信收款二维码被人更换，导致其当天营业收入 6360 余元被窃”。犯罪方式的改变也激发了人们关于此罪或彼罪等的热议，如“该行为对买家构成诈骗罪，对店家则构成盗窃罪，但由于被侵害的法益事实上只有一个，不能被评价为想象竞合犯，因而陷入定性的困境”。
信息劫持。为了交易便利，在电子交易中，许多商家会提供在线扫码支付，网络支付平台会根据买家的订单生成支付二维码，以供用户扫码结算。由于交易信息在商家与买家之间传送时存在一定的时差，若攻击者利用网络技术拦截了该类信息，则其可以恶意地修改订单，如篡改收款金额、收货人与托运地址、联系电话等信息，从而给买卖双方带来交易风险。
二维码4大安全隐患
有专业人士即认为: “存在安全风险不是因为二维码编码技术本身存在问题，而是因为用不好。”那么与其说扫码支付有风险，倒不如说是人性恶才是风险的真正诱因。二维码与支付风险之间是一种源与流的关系。
1、二维码监管缺位
一方面，监管存在盲区。目前，制作者可以通过应用商店、社交论坛平台等交流方式制作和发布自己的二维码，国家目前还没有监管部门对二维码软件、制作和发布二维码进行监管。这样就导致了任何人或组织都可以借助某些免费软件肆意制作和发布软件，易被一些不法分子利用。另一方面，监管难度大，网上交流都出现了二维码信息载体形式，这些二维码承载的内容不能直接可见。由于二维码带有隐秘性，在
一定的程度上可以规避现行信息内容监控系统，就导致了对二维码的监控执行繁琐，监管的难度非常大。
2、成为新病毒传播渠道
专家称制码技术门槛几乎为零，*子骗**可轻易制“毒码”，并通过微博、网络论坛、媒体广告渠道大量发布二维码，不需要申请和安全审核，致使很难查找到制作源头。“二维码的制作生成没有任何门槛。一些不法分子将病毒、木马程序、扣费软件等的*载下**地址编入二维码，用户一旦扫描，手机就会被植入的病毒木马感染，身份证、银行卡号、支付密码等私人信息就会被*取盗**。”阿里安全部资深品牌经理沈杰说。新华社记者调查也发现，由于制码技术几乎零门槛，不法分子将病毒、木马程序、扣费软件等植入二维码，消费者扫码被盗刷现象时有发生。此前，南京市民刘先生在扫描摩拜单车二维码时，出现了本不该出现的转账提示，于是向警方报案。当地有些市民也发现，扫描摩拜单车上的二维码后，如果不注意很可能钱就被转走了。
3、 二维码缺乏安全检测能力
多数二维码扫描工具缺乏木马检测和恶意网站识别能力，导致病毒没有办法控制。例如一款名为“扫码巫毒”的手机病毒借助二维码生成器、二维码扫描工具进行疯狂传播，手机用户一旦安装这个工具就会自动连网*载下**并进行自动安装。*载下**软件消耗手机用户的流量，并利用移动互联网的热点传播功能瞬间感染大量手机用户。
4、 存在信息泄露风险
大多数二维码是使用明文编码，扫描软件均可以读取，这样就容易导致敏感信息泄露。如火车票在实行实名制初期，车票二维码就是采用了明文编码，一些不法分子利用这个漏洞收集身份证信息，扰乱购票系统，危害国家利益，后来经过了特殊编码和加密处理，才遏制弊端。现在市场上依然有大量的二维码名片采用的明文编码，这就存在很大的隐患。
防范危险的妙招
•用户要做到，①要从源头判断二维码的安全性，选择知名的安全认证的二维码扫描软件；②要从二维码的内容判断安全性，避免打开陌生和奇怪的网址。二维码内容链接网站是程序代码的宿主，比较简单有效办法是直接在电脑打开这个网址，网站有备案的一般可以信任。③要安装专业的扫码软件和防护软件。打开“安全扫码” 标志，对准任意想扫描的二维码，如果存在危险，防护软件就会立刻拦截，并给出危险提醒。防护软件在一定程度上能提示用户当前连接是否安全，降低中毒风险。
•扫码软件厂商。在提供基于二维码的新应用时，要安全的设计和实现二维码识别后内容的解析引擎，对网址的识别可以集成第三方安全厂商提供的URL黑名单询服务，对已知恶意网址提前向扫码用户告警，并取消点击交互行为的支持。
•安全厂商，集成的恶意网址识别引擎或提供云扫码，二维码里的数据，先在云端看看，不良内容先消毒。