QR Code 安全與否，要睇佢帶你去邊，同埋要求你做啲乜。掃碼後先核對完整網址；如果只係想睇資料，畫面卻要求登入、交出驗證碼或者連結裝置，就應該停低，另外確認來源。
餐牌、海報、電郵以至朋友傳來嘅圖片，都可能放咗二維碼。方便之處係唔使逐個字輸入網址；麻煩之處亦一樣——未睇清楚目的地，就好容易順手撳落去。呢篇由預覽網址、辨認登入要求，到已經掃咗之後點處理，逐步講清楚。
掃碼之前，先留一個核對步驟
先睇二維碼係由邊度來。公開海報上有冇另一張貼紙蓋住原碼？收到嘅圖片有冇附帶不明來歷嘅催促訊息？單憑熟悉嘅 Logo，唔足以確認來源。
掃描器如果提供「自動開啟網站」選項，可以關閉，改為先顯示網址再確認。唔同手機及應用程式功能有分別；冇呢個選項，就喺網址預覽或開啟後嘅網址列停一停，未核對前唔好輸入資料。香港資訊安全網亦建議先確認來源及目的網域。［1］
- 睇來源由自己已確認嘅渠道開始，唔單靠轉發圖片或陌生訊息。
- 睇目的地展開完整網址，留意跳轉後有冇轉去另一個網域。
- 睇要求將原本目的同畫面要求比較：睇資料，點解變咗登入或裝軟件？
網址有熟悉名稱，就代表真網站？
唔一定。品牌名稱可以出現喺路徑，亦可以擺喺另一個網域之前。睇網址時，要分清楚主機名稱同第一個斜線後面嘅路徑；唔好只搜尋到熟悉幾個字，就當已經核實。
網址閱讀示意 · 非真實服務
https://accounts.example.com/help主機名稱係 accounts.example.com。
https://accounts.example.com.review.invalid/help第二個例子嘅主機係另一個名稱，唔屬於 example.com。前面加咗熟悉字眼，亦唔會變成原來網站。
例子使用保留示例名稱，供比較結構，不設可點擊連結。實際網域後綴有不同長度，唔好用「只睇最後兩段」作通用判斷。最穩妥嘅做法係同你原先確認過嘅完整網址比較，或者關閉該頁，自己打開已保存嘅網站或應用程式。唔確定就先唔繼續，毋須為咗核實一個可疑網站而先登入佢。
有 HTTPS，同埋冇警告，夠唔夠？
HTTPS 主要保護你同網站之間嘅連線，唔係對網站身分、內容或承諾嘅全面保證。Google Chrome 說明亦提醒，即使連線安全，仍要確認網址列中嘅網站名稱。［2］
資料傳送有冇加密？
HTTPS 解答嘅係連線問題。
係咪你本來要去嘅網站？
仍要核對完整網址、來源同要求。
如果瀏覽器已經顯示危險或不安全警告，唔好為咗繼續操作而略過。反過來，冇彈警告亦唔代表可以放心交出密碼。
「掃碼驗證」可能其實係連結裝置
有啲二維碼唔係一般網頁入口，而係登入或配對流程。你以為只係完成一項驗證，實際上可能正批准另一部裝置連接帳戶。HKCERT 曾發出偽冒「WhatsApp 安全中心」警報，提醒用戶提防利用連結裝置流程騎劫帳戶。［3］
如果操作並非由你主動開始，就唔好跟陌生人指示開啟「已連結裝置」、掃描驗證碼，或者輸入對方提供嘅配對代碼。帳戶驗證只應喺自己確認嘅官方流程進行；有不明裝置或異常登入，應向相關服務查詢，並登出可疑裝置。［4］
已經掃咗，先分清楚做過邊一步
| 你做過嘅事 | 下一步 |
|---|---|
| 只見到網址預覽 | 唔再開啟；另外核對來源。單憑出現預覽，不能判定帳戶已被盜用。 |
| 已開網頁，未提交資料 | 關閉可疑頁，留意有冇下載檔案或出現權限要求；唔好自行安裝來歷不明嘅檔案。 |
| 已交出密碼或驗證資料 | 由已確認嘅官方入口檢查帳戶、更改受影響密碼，並跟該服務嘅帳戶復原指引處理。 |
| 已批准連結裝置 | 查看已連結裝置及登入紀錄，移除不明連線，向服務提供者求助。 |
上表係分流思路，唔係裝置檢測結果。若有異常操作、軟件安裝或帳戶失控，應按相關服務嘅最新安全指引跟進。需要交截圖說明時，先參考截圖私隱保護：點樣遮蓋敏感資料，同時保留未公開嘅原始紀錄。
幾個常見疑問
朋友傳來嘅 QR Code 可以直接信？
熟人轉發唔等於已核實。可以用另一個已知聯絡方法問清楚用途，尤其係突然要求登入或連結裝置嘅訊息。
二維碼圖案靚啲，或者印咗 Logo，就可靠啲？
外觀唔係驗證。要核對嘅仍然係來源、目的網址同實際操作要求。
手機內置相機已經掃到，仲要另外裝掃碼 App？
如果現有相機能完成所需功能，就毋須因為一個陌生二維碼提示而安裝另一款軟件。消委會指出，一般智能裝置相機已可掃描 QR Code；是否使用額外工具，應按需要及可靠性判斷。［4］
資料來源與核對範圍
資料核對：2026年10月23日。本文整理一般網絡安全做法，沒有聲稱任何品牌帳戶支援特定保安功能；示意網址及配圖不代表實測畫面。
- 香港資訊安全網：小心使用二維碼——來源、網址預覽及網域核對。
- Google Chrome：檢查網站連線是否安全——加密連線與網站名稱核對。
- HKCERT：提防偽冒 WhatsApp 安全中心網頁騎劫帳戶——裝置連結風險。
- 香港消費者委員會：QR Code 使用貼士——驗證來源、登入紀錄及掃碼工具。
