这种“二维码海报”到底想要什么？答案很直接：悄悄读取通讯录；我把自救步骤写清楚了

这种“二维码海报”到底想要什么？答案很直接：悄悄读取通讯录；我把自救步骤写清楚了

二维码方便、快捷，已经成了生活里不可或缺的一部分：付款、扫码入场、关注公众号、分享名片……但正因为它把操作简化到了“扫一扫”，有心的人就能把危险藏进看起来无害的海报里。最近常见的一类攻击，就是通过二维码引导用户用第三方扫码/打开页面，从而获取通讯录、发送钓鱼消息或进一步传播恶意链接。下面把原理、风险和可操作的自救步骤都讲清楚，照着做就能把损失降到最低。

为何二维码会“偷”通讯录？原理简单

• 二维码本身只是一个编码：可以是普通网址、vCard（联系人信息）、tel:、sms:等协议。
• 真正能“偷”数据的，是扫码后运行的程序或网页。
• 如果你用的是第三方扫码APP，这些APP可能要求“通讯录/短信/存储/无障碍”等权限，拿到后就能读取联系人并悄悄上传。
• 有的恶意网页会诱导你下载或授权（伪装成更新、插件、确认框等），一旦允许，就会泄露信息。
• 通过伪造的vCard二维码，还能直接往你的通讯录里添加恶意联系人或钓鱼号码，接着通过这些联系人发动进一步社工攻击。

识别危险二维码的几个信号

• 要你下载未知的APP或安装配置文件、证书。
• 链接被短链或域名很奇怪（一看就跟常用服务不一致）。
• 扫描后页面强制请求“允许访问通讯录/短信/无障碍”等权限。
• 扫描后立即触发拨号、发送短信或弹出大量授权请求。
• 扫描后你的手机通讯录里出现了不认识的联系人或条目被修改。

扫码前的安全习惯（先防为主）

1. 尽量用系统相机或官方工具扫一扫：系统相机通常只显示URL预览，不会自动执行危险操作；Google Lens、苹果相机（iOS）是较安全的选择。
2. 看到链接先看一看域名：若是短链，可先用在线短链解码服务或把链接复制到安全的URL预览工具上再打开。
3. 不随便安装第三方扫码APP：若必须装，优先选择知名厂商、评价高且权限少的应用。
4. 不给扫码APP授“通讯录”“短信”“无障碍”等敏感权限：这些权限通常与扫描二维码无关。
5. 若二维码自带vCard或拨号操作，慎重确认来源：不要直接选择“保存到通讯录/拨打”之类的快捷操作，先查看内容再决定。

如果已经扫描了，怀疑通讯录被读或泄露，按这个顺序自救 （把每一步都做一遍，能把风险降到最小）

第一步：断网与初步隔离

• 立刻关闭手机的Wi‑Fi与移动数据（快捷开关），防止疑似恶意APP继续上传数据或远程指令运行。
• 若手机被要求安装应用或配置描述文件，先别安装；若已安装，继续下一步。

第二步：查找并删除可疑应用与权限 Android

• 设置 → 应用 → 查看全部应用：按安装时间或最近使用排序，找出可疑或你不认识的应用，卸载它们。
• 设置 → 隐私或权限管理 → 权限管理（或应用权限）→ 通讯录：查看哪些应用有通讯录权限，逐一撤销不必要的权限。 iPhone (iOS)
• 设置 → 通用 → iPhone存储空间 / 设置 → 隐私与安全 → 通讯录：查看哪些应用有访问通讯录权限，关闭可疑的。
• 若有安装描述文件（设置 → 通用 → 描述文件与设备管理），删除可疑配置文件。

第三步：检查通讯录和消息

• 打开通讯录，查看有没有新增或被篡改的联系人；删除不认识或可疑的条目。
• 检查通话记录与短信：有无未知拨出、被窃取的验证码或陌生短信发送历史。

第四步：改变关键账号密码并检查登录活动

• 修改你的主邮箱、社交媒体、支付账号等重要账号密码，尽量从安全设备（比如另一部没受感染的手机或PC）操作。
• 开启两步验证/二次验证（2FA），把验证方式切换到独立的Authenticator或硬件密钥，而不是仅靠短信。
• 登录谷歌/苹果等账号的“设备活动与安全性”页面，查看是否有陌生设备登录，必要时登出所有设备。

第五步：通知可能受影响的人

• 给自己的亲朋好友或工作联系人发一条简短声明，告知你可能被泄露了联系人或账号，提醒他们不要点击来自你的可疑链接或消息。示例文本： “刚才我扫描了一个可疑二维码，怀疑通讯录或账号信息被滥用。如果你收到来自我方的异常链接或消息，请不要点击并直接删除，抱歉打扰。”
• 若有被用于传播钓鱼链接，及时在相关群组或组织内部提醒大家避免二次扩散。

第六步：深度清理与检测

• 用手机安全软件（比如信誉良好的防病毒工具）做一次全盘扫描并清理残留。
• 对于仍无法确认的情况，备份重要数据后进行完全恢复/恢复出厂设置（Factory Reset）。备份时注意不要带入可疑APP的数据，只备份通讯录或照片等必要内容。
• 恢复出厂后从官方应用市场重新安装必要应用，并在权限管理中严格控制敏感权限。

第七步：上报与保存证据

• 把可疑二维码的海报页、捕获的链接、已安装的恶意应用包名、短信记录等截图保存，必要时上报给平台（比如海报投放平台、微信公众号、广告主）或警方网络犯罪部门。
• 如果泄露导致财产损失，尽早联系银行、支付平台冻结账号并报案。

附：几个实用的小工具与操作技巧

• 先把二维码拍照，再在电脑上用可信的二维码解码器（例如 zxing 的在线解码器或开源软件）查看实际内容，避免直接在手机上打开陌生链接。
• 避免授予“无障碍服务（Accessibility）”给不熟悉的应用。恶意应用常用无障碍权限自动操作界面、读屏或截屏。
• 检查应用的流量使用情况：设置 → 网络与互联网 → 应用数据使用，找出异常流量大的应用，作为排查线索。
• 对企业或组织：在公共海报、会议、展会等场合使用二维码时，优先用自家域名/短域名并在链接中加上明确标识与验证页，降低仿冒风险。