二维码已成为快速支付、折扣、菜单、调查或促销的入口钥匙，但也成为了数字欺诈的后门。
QR钓鱼（Quishing）是指通过操纵二维码进行的网络钓鱼攻击。近几个月来，这一现象在零售和银行业等扫码已成为常态的领域急剧上升。从贴在真实海报上的贴纸，到通过电子邮件或PDF发送的二维码，攻击者利用用户信任将其重定向至欺诈网站、窃取凭据或安装恶意软件。这种威胁隐蔽高效且正在加剧，部分原因在于传统安全过滤器往往忽略了此类格式。
日益严峻的威胁令银行业担忧
2024年，已检测到的网络钓鱼活动中有22%使用了二维码。汇丰银行、桑坦德银行、摩根大通和西班牙对外银行等金融机构已发布专项警报并开展客户意识宣传，核心在于保护交易安全与巩固信任。应对措施主要包括：
- 动态二维码：每次操作都会变化，防止被复制或在非预期场景中使用。
- 早期检测：在解码前扫描二维码结构，利用视觉与语义分析工具寻找异常模式或可疑网址。
- 零信任架构：默认不信任任何访问（包括二维码），即使在可信环境中也实施持续验证。
零售业暴露程度日益加深
在实体零售中，橱窗、餐桌、自助终端或海报上的二维码无处不在。这些静态二维码缺乏保护机制且永不过期，极易被替换为欺诈性二维码而不易察觉。追求流畅数字化体验的店内交互因此成为安全薄弱环节。目前已发现停车场支付机被覆盖伪造二维码、商场促销海报被恶意代码替换以及餐厅菜单二维码遭攻击等案例。
领先零售商正积极采取应对措施：使用动态二维码用于促销、调查和支付，并集成到支持溯源的自有应用中；采用视觉验证技术，如定制设计、嵌入标志、识别边框或全息图等反欺诈手段；设置教育性标识牌，指导用户如何在扫描前验证二维码及处理可疑情况。
培训与教育：新的数字资产
银行和零售商均认识到仅靠技术是不够的，用户必须能够识别风险并做出正确判断。针对员工和客户的培训活动日益增多，旨在教授扫描注意事项、链接验证方法及可疑行为举报流程。
数字素养正成为品牌忠诚度的新支柱。教会客户自我保护既是建立品牌信任的方式，也是在NIS2指令等强化监管背景下的法律与声誉义务。与此同时，能在打开前显示目标地址、警告恶意链接或验证代码真实性的应用程序逐渐普及，基于AI的视觉验证工具和“防篡改二维码”等解决方案也正获得市场认可。
零信任，但拥有完整体验
在新背景下，安全不能与用户体验相悖。挑战在于创造流畅但受保护的交互，“零信任、全体验”理念因此被广泛提及：系统默认不假设信任关系，但不中断客户操作流程。
这意味着需围绕二维码重新设计整个体验，涵盖视觉设计、管理、可追溯性和沟通。二维码不再仅是简单渠道，而是转变为必须像网站或应用一样严谨审计的数字资产。实现更安全互动的关键在于整合技术、设计、教育学和透明度，同时建立共享标准以统一最佳实践并增强信任。