BlackJack3D/ iStock / Getty Images Plus 通过Getty Images 关注ZDNET：将我们添加为Google上的首选来源。ZDNET的关键要点 您电子邮件或附件中的二维码可能是一个骗局。二维码钓鱼绕过多因素认证（MFA），导致数据被窃取。钓鱼攻击如何运作，以及您可以采取什么措施来保持安全。 您是否曾收到一个二维码在您的收件箱中，出于好奇而让您心动？当我们想到钓鱼和诈骗时，许多最古老的把戏依然存在于日常生活中——声称我们有失散已久的亲戚留下的遗产的电子邮件；‘Facebook’警告我们的账户将被冻结，除非我们立即回复；虚假的彩票中奖消息；以及那些所谓的投资者希望转账给我们数百万美元的无用请求。此外：移动钓鱼现在比电子邮件更具威胁。然而，时代正在变化。招聘诈骗变得足够复杂，使求职者信以为真；人工智能被用于人性化和改进钓鱼尝试，甚至自动化整个攻击链；而现在，一个新的攻击向量正在出现，利用二维码来绕过多因素认证（MFA），窃取我们的数据，并劫持我们的账户。 钓鱼：二维码欺诈上升 钓鱼，或基于二维码的钓鱼，在二维码中嵌入恶意链接，以绕过传统的钓鱼过滤器，并滑过安全网。诱饵是相同的：制造紧迫感，迎合我们的贪婪，激发恐惧和恐慌，或承诺扫码二维码并点击嵌入链接访问在线页面或平台的奖励。此外：微软在新的基于AI的Windows安全策略上全力投入。 一个二维码钓鱼方案可能有多种形式。来自银行的虚假信息，恭喜您赢得彩票的电子邮件，或来自社交媒体提供者的紧急信息。一旦您扫描了二维码并点击了链接，您可能会进入一个旨在窃取您的数据或危害您拥有的账户的域名。根据Hoxhunt的2026年钓鱼趋势报告，基本的二维码钓鱼电子邮件在下降，但它们作为隐藏在诈骗电子邮件附件中的攻击向量重新出现，例如恶意的PDF。总体来看，二维码钓鱼攻击同比增长了25%。这也不仅仅是数字空间，报告还显示，二维码也在实体空间中被发现，嵌入在海报中或印在假名片上。 攻击者如何躲避MFA防御 Hothunt的研究得到了谷歌信任与安全团队6月发布通知的支持，警告传统的电子邮件攻击向量正在被中间人攻击（AITM）和钓鱼攻击取代。钓鱼与AITM配对，通过以难以阅读或被安全过滤器检测到的格式伪装恶意链接。根据谷歌和微软的说法，其运作方式如下：您收到一封钓鱼电子邮件，好奇心使您扫描二维码。您随后被引导至一个克隆网站，似乎是一个值得信赖的服务域，如银行、金融服务提供商或甚至是工作平台。此外：如何免费制作二维码。 接着，您提交您的凭据，使攻击者能够绕过现有的多因素认证（MFA）保护，因为您相信您正在登录一个可信的网站。然后他们可以捕获您的密码和会话令牌，导致数据被窃取、账户被妥协等。而这种战术比传统钓鱼更加危险，尤其是对于企业，因为受害者使用手机扫描二维码，绕过基于网络的安全和安全网，例如钓鱼检测。微软Defender团队观察到，基于二维码的网络犯罪活动在最近几个月中，从所有钓鱼活动的10%增长到30%。 如何避免落入二维码钓鱼陷阱 由于二维码在图像格式中隐藏了目的地、链接和内容，我们无法轻易看到它们的内容或验证其来源——这就是为什么盲目扫描和跟随二维码是有风险的。二维码，特别是那些您没有预期的，应该像对待电子邮件链接或附件那样被视为可疑。仅仅因为格式不同，钓鱼的手法保持不变：胁迫或利用受害者的好奇心，引诱他们点击并访问一个恶意的在线资源。这里唯一的区别是投递机制——受害者使用相机进行扫描，而不是直接的链接或文件。此外：最佳的恶意软件移除软件：专家测试和评估。 此处最佳建议是保持谨慎。如果您收到的电子邮件中包含一个看似来自您银行的二维码，请在一个新标签中访问您银行的官方网站，或打开您银行的移动应用程序。即使信息看起来合理，为了安全起见，除非您完全确定来源是可信的，信息内容是安全的，否则不应点击链接、打开附件或扫描二维码。请记住，二维码威胁并不是单一的。