我把这个“入口”打开后发生了什么？我把这种“二维码海报”的链路追完了：最容易中招的是“只想看看”的人
那天在地铁站口，我被一张海报吸引住了：色彩鲜艳、奖励诱人，二维码底下写着“扫码抽奖，万元好礼等你拿”。我本来只是“只想看看”，顺手用手机一一扫，结果一连串的页面、跳转、权限请求和社交拉人流程把我的注意力一点点吞没了。把这条链路彻底追完后，我把发现写成了这篇文章，想让更多人了解——很多陷阱，是靠“好奇心”和“懒于核查”来收割的。
我打开的链路长什么样（真实步骤，还原）
第一站：扫码——相对可信的落地页外观 海报的二维码直接跳到一个精心设计的落地页，域名看上去像个活动页（短域名或者带有品牌词的二级域名），页面有轮播海报、奖品图和倒计时。页面会有醒目的“马上领取”按钮和看似合法的隐私承诺文字，营造合法可信的氛围。
第二站：跳转与短链、统计参数 点击后会经过一串短链接/重定向（常见的是 t.cn、bit.ly、短域名服务或平台代理），越来越深地进入流量统计和分发系统。每次跳转都会带上utm参数、来源ID等，目的在于记录你来自哪张海报、哪个城市、哪个时间段。
第三站：社交拆分享或邀请门槛 为了拿到所谓大奖或优惠，页面会弹出“分享至朋友圈/群，邀请3位好友领取”的要求。这一步把用户变成传播者，让活动迅速扩散。
第四站：登录/授权/填写手机号 如果不分享，页面会改用“先登录/绑定手机号/授权微信/支付宝”的套路。登录按钮不是直接走官方OAuth，而是伪装的第三方页面，诱导输入手机号和验证码，或主动发送短信以绑定“权益”。一旦输入验证码，一些服务会悄悄把你加入付费订阅或将手机号卖给数据商。
第五站：下载或主动授权（更危险） 在某些流程里，页面会提示“安装小程序/APP以激活”，引导到非官方页面下载APK或跳转到微信小程序的灰色页面。安装后请求过多权限（读取短信、读写存储、联系人等），恶意软件便可开始窃取信息或订阅高额短信服务。
第六站：流量变现与后台操作 最终，你的行为被计为一次有价值的转化（如完成注册、分享、安装），广告主或黑产方按CPA（按动作付费）拿钱。你的数据、手机号或被诱导订阅的高额服务成为直接或间接的收益来源。
为什么“只想看看”的人最容易中招
攻击方怎么赚钱（揭秘变现路径）
遇到可疑二维码或海报，能做的快速判断清单（扫码前）
如果不小心中招了，先按这个顺序处理（越早越好） 1) 立即停下交互：关闭网页、断开网络，避免更多数据传出。 2) 不要再输入验证码或支付信息：若已经输入，马上联系对应银行或运营商说明情况。 3) 检查手机安装的应用：删除不认识或刚安装的可疑应用，注意看是否有安装管理权限被授予。 4) 撤销授权与第三方登录：去微信/支付宝/Apple/Google账号的授权管理里撤销可疑授权。 5) 更改重要账户密码，并开启二步验证（非短信验证为佳），避免账号被异地登录。 6) 联系运营商询问是否存在订阅服务或异常扣费；必要时要求停止增值服务并申诉退款。 7) 报警与投诉：如果涉及资金损失或个人信息被滥用，向警方报案并保存证据截图；同时向平台（微信/支付宝/社交平台）举报该海报/链接。 8) 设备安全检测：用正规安全软件扫描手机，如有必要备份重要数据并恢复出厂设置。
日常防护习惯（不复杂，但有效）
常见的五个醒目红旗（看到其中任何一项先停手）
结语（给“只想看看”的你） 好奇心是好东西，它让我们发现新鲜事、参与社区活动。但现代营销和诈骗技术也在利用这种好奇，把“随手一扫一扫”变成针对性极强的诱导链路。多一层观察、少一次冲动，能把风险挡在门外。如果你认为这类内容值得转发给朋友或团队，可以把这篇帖到你的小圈子——让更多人学会在扫码时先看一眼背后的链路，而不是只看眼前的奖品。
