可疑二维码：提供数据前先核实目标地址

告示看起来官方，并不代表足够可信

假设你来到停车场，看到付款二维码。手机准备打开的页面有熟悉的标志和看似可信的表单。输入资料前先停下来：告示和网站的外观不能证明目标属于运营方。FTC 记录过用另一张二维码贴纸覆盖原二维码的情况，并说明它可能引向冒充网站。应用这项检查并不需要把某次事件归因于具体城市。

本指南区分三项核查：实体载体、扫描时显示的地址，以及目标与预期组织的关系。WikiURL 可以提供公开 URL 的响应和最终目标信息。但它不能确定贴纸归谁所有，也不能保证页面合法。如果链接已经可疑，无需为了付款而访问它；可以停止操作，通过独立途径进入服务。

阅读完整地址，而不只是熟悉名称

如果扫描器支持打开前显示 URL，请使用预览。留意被替换的字母和与预期不符的域名。MDN 说明，网络钓鱼可以在相似域名上模仿熟悉网站。虚构示例里的第二个主机名并不是第一个，即使开头文字相同。这些地址仅用于理解结构，不要打开，也不要把它们当成真实付款服务。

与通过其他渠道获得的官方地址比较，例如以前使用的书签，或已独立确认的运营方网站。parking、安全、付款等词语不是身份凭证。如果预览截短域名，不要猜剩余部分。也别只按后缀判断：看似常见的域名仍可能托管冒充网站。重点是核实它是否匹配预期服务，而不是名称是否令人信服。

https://parking.example.invalid/pago
https://parking.example.invalid.otro.invalid/pago

检查实体载体，寻找已知替代入口

看看是否有贴纸盖住其他印刷内容，或边缘翘起。这是停止并询问的信号，并非单独的确定证据，因为正规运营方也可能使用标签。如果有不一致，请工作人员确认流程，或使用已核实的应用或地址。不要仅用同一张可疑贴纸上的电话号码确认。

FTC 建议，收到意外请求时，应通过已知真实的号码或网站联系公司。把这个原则用于告示：第二条途径不能依赖受到怀疑的物件。在停车场，请运营方说明如何正确登记停车。本指南不认为所有二维码都欺诈，也不认为打开未知应用就能解决问题。替代入口同样必须属于真实服务。

WikiURL 能检查什么，又不能检查什么

如果有不含私人数据的公开 URL，可以复制到 WikiURL URL 检查器，查看 HTTP 状态和最终目标。域名变化可能是向运营方继续询问的理由。保存观察到的地址，与独立参考比较。不要把密码、私密管理链接、访问令牌或个人交易资料输入公开检查工具。

200 响应说明一次请求成功，并不是诚实证明。欺诈页面也可以响应。而且查询从 WikiURL 服务器发出，行为可能与手机不同。检查器不会决定你是否应付款，不能验证二维码印制者的身份，也不能替代欺诈或恶意软件分析。地址存疑时，优先选择独立途径；技术核查只是有限帮助，不是继续操作的许可。

HTTPS 和验证码不能解决身份问题

如 MDN 所述，HTTPS 保护连接免受某些传输途中攻击，但不会自动把网站变成你寻找的运营方。冒充页面也可能有加密连接。即使浏览器显示受保护连接，也要核查地址和流程。标志、专业外观以及没有 HTTP 错误，同样不能完成身份验证。

不要向身份未确认的页面提供密码或一次性验证码。MDN 描述过转发这些代码的攻击，因此要求第二因素并不证明合法。若二维码让你安装东西或突然催促紧急操作，应停止并通过已知渠道确认。按照 FTC 建议更新手机，但不要把更新当成防骗保证。

已经交互过，就使用真实渠道处理

区分实际发生的事情：看到地址，与输入密码、提供银行卡或安装文件不同。如果泄露登录凭据，请通过已知地址进入账户，修改凭据并检查安全选项。如果提供支付资料，应通过官方渠道联系服务提供方，说明发生的事情。不要回到可疑页面求助，也不要接受另一项声称能解决问题的意外请求。

尽可能保存 URL、日期和告示照片，不传播敏感数据，也不把二维码作为使用邀请转发。向运营方报告疑点，并寻求适合所在国家的官方帮助；INCIBE 提供网络钓鱼信息。不要根据链接检查承诺追回款项或宣称设备安全。实用标准很清楚：提供数据前独立确认；若已交互，保存有用证据。