企业动态

    拿起手机扫一扫身边的二维码早已是我们生活中习以为常的动作。但一段时间来，多地网民反映，自己在扫一些公共二维码时，手机页面竟跳转至涉黄和电诈网站。小小的“二维码”为何变成了“涉黄码”甚至“诈骗码”的入口？我们该如何加以防范和管理？记者就此展开了调查。

    网友扫描公共二维码 竟跳转至涉黄网站

    今年3月30日，有网友发帖反映，自己在苏州上方山森林公园游玩时，扫码了园区接驳车上的一个二维码，没想到页面竟弹出不堪入目的涉黄内容。从网友配发的图片上可以看到，涉事二维码就贴在接驳车前挡风玻璃的左下角，车身上方还贴有“工作用车”字样。记者随即联系了公园管理方。工作人员表示，涉事车辆上的二维码是“失效后被盗用”。

    无独有偶，今年2月底，北京也有网友截图反映，自己在扫描街边一个公共设施上的二维码时，页面跳转到了涉黄网站。

    记者梳理发现，近段时间以来，多地网友都曾反映扫描二维码跳转非法网站的情况。不仅仅是公共设施上的二维码，包括儿童识字卡、玩具包装盒，甚至是小学美术练习本封底上的二维码，都出现过网页被恶意篡改，并跳转到涉黄或电诈网站的情况。

    二维码“跳转”背后的技术真相

    从景区到城市街头，从玩具包装到公共设施，这些看似普通的二维码究竟是如何变成非法网站的“入口”？这背后到底存在怎样的技术漏洞？一起来看网络安全专家的解析。

    奇安信安全专家指出，二维码之所以会“失效”，根源并不在二维码本身，而在于它背后所指向的域名。

    奇安信安全专家 裴智勇

    二维码本质上是一个图形化的数字，我们扫码的时候，实际上就是通过一个专业的解码器把黑白点翻译成一串字符，字符和网址是一样的，它就可以打开网址，我们用浏览器打开一个网站时，上面的网址就称为一个域名。

    专家介绍，由于二维码本身不具备安全防护功能，真正被攻击的其实也是它背后的域名。

    目前，国内个人或商业机构想要注册网站，都需要向正规的域名注册商申请域名采购。一次性申购域名的价格，根据域名的字母组合是否简洁好记而价格不同，但通常都在几千元到上万元不等。

    奇安信安全专家 裴智勇

    一个域名在有效期间，服务商会持续向域名注册商进行付费。当服务终止之后，为了减少成本，服务商不会继续向域名注册商付费。域名注册商就会回收这个域名，再投放到市场当中。这就给一些坏人留出了一些机会，他们会专门盯着某些比如政府、大企业曾经注册过的域名。

    专家强调，扫描二维码却跳转至涉黄网站，最常见的原因就是域名的原注册个人或机构停止续费导致域名被回收后，又被非法网站恶意抢注。

    不法分子利用公众对公共二维码的信任，将失效二维码篡改为非法网站的引流入口，涉黄网站只是其中一种表现形式；这些城市街头随处可见的二维码还可能成为电信诈骗和信息窃取的“入口”。

    记者实地扫码测试 结果各有差异

    公共设施上的二维码是各地推行城市智慧管理的一项便民举措。路灯、公交站牌、邮筒……这些街头设施贴上独立的二维码铭牌，原本是为了让市民随手一扫就能了解设施信息或快捷投诉报修。记者近期就对街头的二维码进行了一次实地扫码测试。

    工作日的白天，记者随机走访了北京市内多条街道。位于通州区四员厅街的社区健身器械上，在“扫码报修”的字样旁贴有一个二维码，记者扫码后随即跳出了一键报修登记页面。

    在通州区的西海子公园里，路旁种植的植物前立有一块解说铭牌，记者扫描铭牌上的二维码，弹出“生态科普”界面，里面详细介绍了这株观赏植物的相关知识，了解起来十分方便。

    不过，记者在走访测试中也发现，并不是所有的二维码都完好有用，很多出现了扫码失效的情况。

    对于记者扫码发现部分街头二维码失效的情况，有业内专家表示，公共服务设施二维码的失效背后，折射出城市精细化管理中存在急需补齐的安全短板。

    奇安信安全专家指出，政府单位或企业除了要考虑域名上线使用期间的安全性，还应在提供服务的初期就考虑到当服务停止以后的二维码和域名的回收问题。

    奇安信安全专家 裴智勇

    政府部门这个举措本身是便民的，但是从安全的角度来说，应该一开始要考虑它的软硬件回收问题。所有投放出去的二维码在一开始就要制定好它的回收销毁计划，我们叫全生命周期的安全管理规范，从研发阶段到投入阶段、运营阶段、回收阶段，都应该具备完备的安全防护措施。