扫一扫，钱包咋就被人“撬”
中国人民银行新规四月生效，主要约束静态条码的安全漏洞，这类支付方式风险防范不足。新规规定，客户单日通过银行或支付平台使用条码交易的总额不能超过五百元。二维码虽然方便了民众日常支付，但也引发了不少安全问题。大家常说的“扫一扫”支付，具体存在哪些隐患？
存安全隐患——
常见李鬼二维码
稍一疏忽易上当
扫码看似方便，稍不注意就会遇到问题。此外，二维码还可能被不法分子当作敛财工具。曾腾是广东江门一名学生，他在宿舍楼下用手机扫描了一辆共享单车的码，扫描后手机立即转到一个缴费界面，要求缴纳299元作为保证金。
那个是另一个支付账户，当时他比较匆忙，没有认真检查就点了支付确认。但付款完成后，他却打不开单车锁，单车应用也没有提示押金已经扣款。这时他才意识到，事情可能不对劲，于是重新审视刚才扫描的那个条形码，发现那其实是一张伪装的贴纸，遮挡了单车原本的条形码。
二维码技术原本只是用来识别访问的工具，并非为电子商务而设计，所以在交易环节中缺少一种能够评估和辨别二维码内容以保障消费者安全的措施。上海交通大学网络空间安全学院院长李建华指出，对于消费者来说，准确判断和核实二维码的可信度非常困难，因为每张二维码图形看起来都很平常，但实际上里面包含着复杂的数据，用户识别起来很不方便。
识别难度大——
制作准入门槛低
易携带恶意代码
一个看似平常的条形码图案，一般民众却很难识别出来，二维码支付方式存在哪些不安全因素？主要的危险环节都集中在哪些地方？
央行支付司负责人表示，扫码交易过程包含两个步骤，分别是交易要求的发起和执行。执行步骤与银行卡、常规网络支付的操作环节一致。扫码交易的主要风险存在于交易要求发起环节，具体涉及二维码的制作和扫描识别过程。
技术层面潜藏风险是导致安全问题的一个关键因素，清华大学数据科学研究院二维码安全中心副主任沈维这样表示，二维码的编码方式有国家层面的规范，当前我们普遍采用的QR码既遵循国际准则，也被我国采纳为国家标准，尽管技术规范已经确立，但二维码在实际使用过程中缺乏配套的指导方针公开的二维码缺乏有效监督，并且支付环节的二维码管理存在漏洞，之所以监管不到位，是因为缺少必要的技术支持。
王先生住在湖北武汉，他曾在地铁站看见一个扫码送湿巾的广告。他使用手机扫描二维码后，设备自动被导向一个软件下载界面，随后开始下载程序。当天晚上，他的手机收到一条银行短信，通知有一笔将近四千元的消费记录。经过调查，发现他所扫描的那个二维码中嵌入了恶意扣费程序。
沈维指出，QR码的形态没有限制，现阶段二维码生成的条件十分宽松，任何人均可便捷地完成制作。倘若有人制作了具有破坏性的二维码，当用户扫描时，便会被导向藏在码内虚假的网址或链接。通过这些伪造的站点，能够非法获取资金、窃取个人资料等。当前二维码领域缺乏有效的安全措施来管理手机扫描行为，QR码在实际使用中缺乏监管，相应的技术支持也没有及时跟上。
中国人民银行支付结算司有关人士说明，二维码支付存在四大安全隐患。首先是二维码的直观漏洞，犯罪分子能够借助手机病毒手段，截取用户付款界面或诱导用户泄露付款码，亦或是在公共场所张贴伪造的商家收款码，以此非法套取资金。其次是二维码易被植入恶意程序的问题。二维码能够实现支付功能，也能承载恶意软件代码、违法网址等信息，真假不容易分辨，这是第一个隐患。其次，信息交互仅限于单方面验证存在风险。二维码支付仅支持发起者或接受者的单向确认，如果有人窃取客户与商家之间、商家与服务器之间的通信线路，拦截并恶意篡改订单等交易数据，可能会使用户蒙受财产损失，这是第二个隐患。此外，扫码设备的安全防护能力较弱，也是一个风险点。二维码结算对探测装置的要求不高，并且这些装置通常不具备加密、防拆卸等安全性能，容易被不法之徒攻破。
维权有点难——
支付背后环节多
责任主体难明确
最近，有个私营公司的老板陈安，被一些不法之徒欺骗了，把自己的某个支付平台的付款条码告诉了他们，那些人让他把条码上的数字发过去，随后陈安的支付账户马上被扣了499块钱。陈安表示，他找客服反映情况后，支付平台只是说要等后台审核，如果对方账户有风险，就会冻结账户。“可是到现在几个月都过去了，对方账户不仅没有被冻结，被骗的钱也没能追回来。”
二维码作恶手法隐蔽，传播速度迅猛，但电子证据收集十分不易，相关法规不够完善，维权代价很大。制作与发布环节的执行方和责任归属方难以精确查明，加大了诉讼过程中的变数。京师律师事务所律师左胜高持此观点。
有网络安全领域的专业人士表示，近些年，利用二维码实施案件的情况屡见不鲜，诸如窃取民众个人资料、进行欺诈活动、盗用支付账户等行为都有发生。针对二维码这类新兴技术在各行各业中的普及，负责相关事务的监管部门尚未制定出足够完善的管理办法和监督体系。
北京大成律师事务所律师肖飒指出，用户在遇到二维码支付安全状况时，需要先弄清支付过程中具体哪个步骤出了差错，以便分清责任；接着，要找出造成漏洞环节的负责人或相关单位，向他们反映情况或提出指控，由有关部门进行专门应对；如果碰上“非法二维码”，因为无人负责，可以到相关机关报案或申诉，处理方式要依据对方行为对自己权益侵犯的轻重程度来决定。现阶段二维码支付的案件数量非常突出，然而对于一般民众而言，保障个人正当权利相当不容易。肖飒这样表示。（王 观 李若愚）