“扫描二维码，领取购物红包。”对于智能手机用户来说，实在是太平常的事。但新闻报说江苏的小廖因扫了不明二维码导致手机中了木马，支付宝账户被转走4000元。以后扫描二维码一定一定要注意了 。知力君特担心，扫个二维码会那么容易被盗吗？如何做才能保证扫二维码支付的安全性？不少银子呢！今天知力君特别跟信息安全方面的专家请教了几招，留着备用！
为啥一扫二维码，支付宝账户就被盗？
扫描二维码支付过程
二维码同一维条形码一样，也是一个信息承载的方式，就是在x轴和y轴都有存储信息的条形码。支付宝可以很便利地完成支付，比如我们到超市采用支付宝付款的时候直接提供一个二维码，店家用扫描枪扫一下顾客的二维码就可以完成支付行为。同样，我们在网上购物的时候也可以直接进行扫码支付，而不用二次验证。该过程的安全逻辑是操作支付宝账号的用户必须是合法账户，扫描二维码其实就是访问一个应用系统，扫一下二维码，就是访问一个链接，并且这个链接含有可以转帐的参数，当我们的支付宝账号和密码均泄露的话，基于支付宝自身的逻辑安全就失效了，这样帐户就被盗了。
满足条件才有被盗可能
当然一扫二维码，账号里金额就被盗，还需要前期再“泄露”些个人信息，比如身份证号，手机号码等等才能满足被盗的综合条件。在窃取余额的过程中，黑客需要重新绑定手机，用新的手机号做验证。满足被盗条件依托于个人的帐号、密码、手机号、身份证号、邮箱，甚至密码保护的问题和答案也有可能。
植入木马如何被盗
正常的二维码不会有额外的信息，若是黑客利用二维码承载信息的功能，可以将木马或者病毒的链接放入二维码中，用户就可能在不知情的情况下被植入木马，窃取终端的内部信息，甚至篡改支付链接。用户被误导扫描带有木马的二维码登陆到钓鱼页面，输入信息的同时被黑客远程获取，接下来黑客就可以用获取的信息，随意地操控转帐行为。当然，这里只是给大家一个简易的说明流程，具体的细节还是需要烧脑的，不是所有的黑客都是高手，大家也不要因为这个太恐慌，因噎废食。
这些习惯你有吗？真是要不得！
见二维码就扫
二维码具有信息存储功能，不能确定您扫描的二维码是否具有木马或者暗链接，若是扫描了具有木马的二维码和随意点击短信链接会产生一样的后果。见二维码就扫和见链接就点击是一样具有危害性的。
随意点击短信链接
随意点击短信链接是强烈不推荐的行为，现在大家经常能收到各种伪造银行官方发送的短信，比如提示您账号即将冻结，可以申请换积分等等。若是用户点击此类短信中的链接，轻则会造成自己的信息泄露，重则就会将自己银行账户的资产轻易送给黑客，这个从专业的角度来讲叫钓鱼攻击。
随意回复短信
紧急扩散！这是最新诈骗短信。图中短信的HK代表的是换卡、后面的数字代表的是新的sim卡卡号（临时号码）！新卡在骗子手里，用户的卡就不能用了，骗子可能就此转走你的银行卡，支付宝或者微信账户资金。后果不堪设想! （来自公安部微博）
应用程序退出不彻底
应用程序在不用的时候一定要及时关闭，比如大家经常看到的网络银行的key，在大家用完网银退出后，会有程序提示您要拔掉U盾，这也是避免被黑客利用的有效防范措施。若是大家手机正好丢了，丢的手机上支付软件没有完全退出，拿到手机的盗窃者完全可以以合法用户的方式将账户的钱转走！
不加辨别蹭免费网络
蹭网后，自己的网络数据流量都经过提供WiFi的路由器，而这个路由器若是黑客架设的话，您访问的网站，提供的用户名和密码有可能就会落入黑客的手中。
手机支付工具应该怎样安全地使用？
1. 个人信息不要轻易泄露，比如身份证号，信用卡卡背面的三位数字，所有这些信息都可能会给黑客增加攻破支付系统的便利性。
2. 在个人支付的时候，一定要确保你连接到的是合法的WiFi，不要贪图诱惑点击些来历不明的链接，或者扫一些来历不明的二维码。要能分清李逵和李鬼。
3. 学习每种支付工具自身的流程，要确保自己能够用好支付软件提供的安全功能，确保账号的安全性。
4. 一定要设置足够复杂的密码
很多人都习惯在所有的网站用同一个用户名，同一套密码，这样是极其不推荐的。一定不要将所有的账号都设置为同一个密码，否则只要泄露一个账号密码，其他的账号和密码都可以被轻而易举地获取到。
5. 不要随便跟人说自己的个人信息
保管好自己的账号和密码资产，很多电信诈骗就是从受害者口中直接问出来账号和密码，然后进行转账窃取操作。
（作者：杨德全 北京理工大学网络中心助理研究员，原创作品，转载请注明出自知识就是力量微信公众号）
