我把常见骗局做成了对照表，我把这种“二维码海报”的链路追完了：你以为删了APP就安全，其实账号还在被试
前言 最近在地铁、商场、社交群里看到一种“二维码海报”特别多：扫码领取优惠、填写手机号领返现、扫码安装某款“神器”等。表面看起来方便快捷，但我把常见骗局做了对照，重点追查了一起通过二维码引入的链路，发现很多人删了可疑 APP 后仍然被持续利用——账号并未真正“干净”。下面把对照表、实测链路和清理建议都写清楚，供大家参考并转发扩散。
一、常见骗局对照（简明版）
-
钓鱼短信 / 钓鱼网站
-
做法：伪装成银行、快递或平台短信，诱导点链接输入账号密码或验证码。
-
骗取内容：账号密码、验证码、银行卡信息。
-
识别要点：来源号可疑、链接不是官方域名、有紧急催促语气。
-
速救措施：不要输入验证码，直接从官方渠道核实。
-
二维码海报（扫码下载 / 领券）
-
做法：海报二维码跳转到中间页，要求登录、安装 APP 或授权第三方服务。
-
骗取内容：短信验证码、OAuth 授权、设备绑定、安装后收集权限。
-
识别要点：二维码跳转页面无官方标识、要求粘贴验证码或授权异常权限。
-
速救措施：不要随意扫码或安装，手动在应用商店搜索官方 APP。
-
虚假客服 / 假冒官方公众号
-
做法：通过私信或朋友圈拉你进群，冒充平台客服要求操作。
-
骗取内容：验证码、转账、安装远程控制软件。
-
识别要点：官方客服不会要求转账或发验证码到对方手机号。
-
速救措施：直接通过官方客服渠道核实，停止沟通可疑账号。
-
恶意小程序 / 垃圾授权
-
做法：通过小程序或网页授权访问用户资料、通讯录或支付能力。
-
骗取内容：权限滥用、隐私数据、间接经济损失。
-
识别要点：授权页面域名可疑、权限申请超出必要范围。
-
速救措施：撤销小程序授权，删除小程序并清理缓存。
-
恶意 App / 山寨应用
-
做法：伪装成知名 APP 名称或图标，上架第三方市场或通过二维码安装包分发。
-
骗取内容：后台服务、持续控制、窃取凭证。
-
识别要点：来源非官方商店、过多权限、评论稀少或异常。
-
速救措施：卸载并只使用官方渠道下载安装。
二、我追查的“二维码海报”链路（概述） 我用受控环境复现并追踪了其中一种常见变体，大致流程如下（只是说明现象，不提供任何违规操作指南）：
1) 海报/群发二维码指向一个中转页面（非官方域名），页面声明“扫码验证领取/下载”。 2) 中转页面诱导输入手机号并发送验证码，或直接提供安装链接（APK）/跳转到应用商店假页面。 3) 若用户粘贴验证码或完成授权，后台会把该手机号或登录状态与攻击者的一套“中转账户”绑定；有时会触发 OAuth 类授权流程，让第三方应用获取长期访问令牌（access token/refresh token）。 4) APP 安装后请求大量权限（通讯录、短信、通知、可见窗口或无障碍权限），这些权限允许后台读取验证码、劫持短信、自动审批操作。 5) 即便用户随后卸载了那个 APP，已经生成的令牌/绑定信息并不会自动撤销。攻击者可以使用长期令牌通过平台 API 操作（转账、发单、重置绑定等），或继续用已窃取的手机号码做测试与攻击（例如模拟登录、密码找回）。 6) 用户发现异常时常以为“删了 APP 就没事”，但真正安全的做法应当是撤销授权、退出所有活跃会话、重置密码、核查银行与平台登录记录。
三、技术原因（通俗解释）
- 长期凭证：OAuth 型授权往往会发放可以刷新或长期有效的凭证，删除客户端并不等同于撤销这些凭证。
- 权限滥用：一些敏感权限（如读取短信、通知访问、无障碍服务）一旦授予，能被用来截取验证码或控制设备行为。
- 设备/账号绑定：攻击者通过绑定账号或替换绑定信息，能在后台保留对账号的控制权。
- SIM / 验证码风险：短信验证码如果被截取或手机号被指向其他设备（SIM 换卡），账户就极易被重置与接管。
四、如何自查：按步骤做（用户版）
- 立即检查账号活动
- 登录常用服务（微信、支付宝、银行、Google、Apple ID 等），查看“最近登录设备”或“安全活动”，强制退出可疑设备会话。
- 撤销第三方授权
- Google：myaccount.google.com -> 安全 -> 管理第三方访问权限。
- Apple ID：设置 -> [你的 Apple ID] -> 登录设备与应用访问。
- 第三方网站：在账户安全/授权管理中一一撤销不认识的应用或服务。
- 修改关键密码并启用双因素认证（2FA）
- 对重要账户（银行、电商、邮箱）改密码并开启 2FA（优先使用硬件或 TOTP）。
- 检查手机权限与管理应用
- Android：设置 -> 应用 -> 特殊权限（无障碍、通知访问、设备管理）逐项检查并收回异常权限；查看设备管理员列表并取消未知项。
- iOS：设置 -> 隐私、设置 -> 通用 -> 描述文件与设备管理，删除不明配置。
- 检查短信与转发规则
- 确认是否有短信转发或第三方能读取短信；查询运营商是否发生过 SIM 变更或异常申请。
- 联系金融机构与平台
- 如有资金异常或可疑登录，主动联系客服冻结或设置额外验证。
- 最终手段：恢复出厂或重刷系统
- 若怀疑设备被深度控制，可考虑备份数据后恢复出厂设置；确保重装来源为官方商店。
五、给普通用户的实用识别法则（简短）
- 扫码前先看海报来源与域名，不熟悉就别扫。
- 若扫码页面要求粘贴短信验证码给第三方，直接停止。
- 安装 APP 优先用官方应用商店，不从网页直接下载安装包。
- 能拒绝权限就拒绝，特别是“读取短信”“无障碍服务”“屏幕取录”等。
- 发现异常立刻更换密码并撤销授权。
结语 扫码方便，但那条看不见的链路里可能藏着长期控制的“后门”。删掉一个可疑 APP 是一个动作，但并非全部防护措施。建议按上面步骤自检并把这篇文章转给身边容易上当的亲友——多一个人知道，就少一例后续被持续利用的受害。
