气得我睡不着：越是标榜“免费”的这种“二维码海报”，越可能悄悄读取通讯录；把支付渠道先冻结

气得我睡不着：越是标榜“免费”的这种“二维码海报”，越可能悄悄读取通讯录；把支付渠道先冻结

前几天在地铁口看到一张写着“扫码免费领礼品”的海报，我一看就火大——这种东西别以为只是小广告，背后隐藏的风险远比你想象的要高。越是豪气喊“免费”的二维码，越可能是个陷阱：把你引到要安装应用、授权通讯录或绑定支付的页面，悄无声息地采集联系人、发送诈骗信息，或者在你不知情的情况下发起小额扣款。下面把常见套路、识别方法、应对步骤和长远防护整理出来，能用就用，别再被忽悠了。

一、常见套路一览（越简单越危险）

• 海报+二维码+“免费”“抽奖”“领取福利”：先引流到一个短链或伪装页面。
• 页面诱导安装APP：通过“领取必须安装”或“验证手机号”让你安装未知来源或伪造的官方App，APP申请通讯录、短信、电话等权限。
• 网页授权请求：直接在浏览器内弹窗请求“允许访问通讯录/读取短信”，或诱导微信/支付宝授权支付。
• 手工扫码×贴纸替换：正规海报被不法分子在其上贴一层伪造二维码，外行根本看不出差别。
• 伪造支付确认：发起小额验证扣款或绑卡步骤，趁机保存支付凭证或获取支付授权。

二、技术上它们怎么“拿”到通讯录和钱

• 社工诱导安装恶意应用：应用声明需要通讯录权限，用户允许后就能读取所有联系人并向他们发送带木马的短信或社交媒体链接。
• 网页利用浏览器漏洞或权限请求：虽然浏览器不能直接读取系统通讯录，但会诱导用户用“立即下载APP”来完成权限越界。
• 利用第三方支付SDK漏洞或伪装支付页：伪造支付界面获取卡号或劝你输入一次性验证码。
• 通过用户授权获得长期访问权限：很多人习惯一律“允许”，这给攻击者长期通道。

三、被盯上或中招后的典型征兆（出现下面状况，优先怀疑）

• 你或你联系人收到你发出的陌生推广短信/链接。
• 支付账户出现异地登录、异常小额扣款或绑定了陌生设备。
• 手机突然大量耗电、后台数据激增、有奇怪的应用自己安装。
• 打开联系人时出现未经授权的新增联系人或联系方式被篡改。

四、发现可疑后先做这几件事（优先级从高到低） 1) 立刻断网：关闭Wi‑Fi和移动数据，避免更多数据外泄或后台操作继续发生。 2) 冻结/限制支付渠道：打开银行/支付APP的安全设置，临时冻结或取消绑定的银行卡、关闭快捷支付；若不确定操作权限，直接联系客服热线申请临时挂失或冻结。 3) 改关键密码并开启多因素认证（MFA）：支付平台、邮箱、社交账号的登录密码与验证码策略都要检查和加固。 4) 扫描并卸载可疑应用：用可信的安全软件全盘扫描；手动检查最近安装的应用并卸载陌生程序；在设置里撤销它们的权限（通讯录、短信、后台访问）。 5) 通知联系人：如果有证据显示你的账号被用来群发诈骗，尽快发一条简短说明给可能受影响的联系人，提示不要点击陌生链接或输入验证码。下面有模板可直接复制使用。 6) 向平台/公安报案并保留证据：保存海报照片、可疑链接、支付流水与短信截图，向警方或者相关平台（银行、App商店、社交平台）举报。

五、如何在日常尽可能避免被坑（可付诸实践的做法）

• 不随意扫码：遇到陌生海报、路边“免费领取”或者朋友圈里不明来源的二维码先别扫。
• 用相机预览URL再决定打开：手机摄像头一般会显示链接，仔细看是否是正规域名或包含奇怪短链。
• 不用来路不明的“扫码APP”：避免使用未经验证的二维码扫描工具，尽量用系统相机或安全厂商的工具。
• 授权按需最小化：当页面或应用请求通讯录/短信/电话权限时，选择“拒绝”或“仅在使用时允许”；绝不轻易授予长期访问。
• 关闭未知来源安装：Android用户保持“安装未知来源”为关闭状态，iPhone用户只从App Store下载。
• 定期检查支付绑定与授权：在支付宝/微信/Google Pay/Apple Pay中查看已授权的商家与设备，定期撤销不再使用的授权。
• 设置交易通知与限额：为银行卡和支付APP打开交易短信、推送提醒，并为线上交易设低额阈值或额外确认步骤。
• 物理辨别海报真伪：留意有没有被二次贴膜、贴纸覆盖的痕迹，正规海报印刷质量通常更好、二维码与周围文字一致。

六、如果你的通讯录被泄露，下一步怎么做（更细化的补救）

• 通知可能受影响的人：建议他们留意可疑短信/来电，不要回复或点击链接。
• 向手机运营商/邮箱服务申请防骚扰/锁定部分功能（如短信拦截）。
• 监控银行流水与信用记录：注意异常支付并尽早申请仲裁或退款。
• 在社交平台发布短声明：说明你的账号可能被滥用，避免造成连锁骗术。

七、给商家、场地与监管的建议（公众空间也要负责）

• 商家不要用来路不明的二维码推广，建议采用可验证的官方二维码或使用带验证标识的平台。
• 公共场所定期检查海报是否被覆盖或更换，使用防篡改贴纸。
• 平台和支付机构应加强对入驻商家的资质审查，并提供一键冻结/撤销授权的便捷手段。
• 呼吁监管推动二维码营销的标识制度，例如“可信二维码”认证，便于用户区分。

八、常用模板（遇到传播风险时可直接发给联系人）

• 简短警示（私信/群发）： “抱歉打扰，刚刚发现我的账号/手机可能被滥用向你发送了可疑链接，请不要点击或输入验证码。如已点击请及时断网并联系我。——XXX”
• 给银行/客服的说明（作参考）： “我疑似因扫码未知二维码导致账户或设备被滥用，请帮我临时冻结我的支付渠道并协助排查异常交易，下面是可疑交易/链接的截图与时间。”

结语（生气也要聪明） 看到“免费”两字就冲上去是人的天性，但这波“免费”很可能代价不小——通讯录被偷走、支付被套上隐形扣费，甚至让你的亲友成为下一个受害者。遇事先冷静，先断网、先冻结支付渠道、先别随意授权和安装。气我睡不着是因为这种手法太低劣，也太容易让人上当；把这些套路知道了，心里有数了，下一次别人再秀“免费”，你就能淡定地绕开陷阱。