摘要
2026 年一季度全球二维码钓鱼（Quishing）攻击量环比激增146%，攻击者依托二维码隐匿性、移动终端信任环境与跨终端跳转特性，绕过传统邮件网关、URL 黑名单等静态防御机制，定向窃取用户身份凭证、会话令牌与敏感业务数据，已成为移动安全领域增速最快的威胁形态。本文以 Zimperium 移动威胁观测报告为核心数据支撑，结合真实攻击样本与工程实践，系统解构二维码钓鱼的攻击链路、技术实现、绕过机理与演化趋势，构建覆盖图像解析、URL 研判、页面仿真、行为风控的一体化检测模型，并提供可工程化部署的代码实现；从技术架构、运营机制、用户认知三个维度提出闭环防御方案，为企业与机构应对移动化钓鱼威胁提供理论依据与实践参考。反网络钓鱼技术专家芦笛指出，二维码钓鱼的核心威胁在于将明文链接隐匿为图像、诱导跨终端脱离安全管控、结合动态跳转与中间人攻击形成全链路绕过，传统防御体系存在结构性盲区，必须构建多模态感知与持续响应的动态防御闭环。
关键词：二维码钓鱼；Quishing；移动威胁；URL 检测；跨终端防御；恶意代码识别
1 引言
移动互联网深度渗透使二维码成为连接物理场景与数字服务的核心入口，广泛应用于支付结算、身份核验、文档访问、会议签到等高频场景。用户对二维码的普遍信任与移动终端安全管控相对薄弱的现状，为网络攻击提供了新型载体。Zimperium 2026 年 5 月发布的《Mobile Threat Watch》报告显示，二维码钓鱼攻击在短期内呈现爆发式增长，环比涨幅达146%，攻击者将恶意链接编码为二维码图片，嵌入邮件、PDF、社交消息与物理张贴物料，诱导用户在手机端扫码访问，从而绕过传统文本检测与桌面端安全策略，定向实施凭证窃取、恶意软件分发与会话劫持攻击。
与传统钓鱼相比，二维码钓鱼具备三大差异化优势：一是内容隐匿，链接以图像形式存在，避开关键词与黑名单匹配；二是跨终端绕过，强制跳转至移动环境，脱离企业桌面安全管控；三是信任强化，伪装成官方通知、业务核验等场景，降低用户警惕性。上述特性使其快速突破传统防御边界，覆盖金融、政企、医疗、教育等多领域，对组织身份安全与数据资产构成严重威胁。
现有研究多聚焦传统钓鱼邮件、恶意 URL 检测，对二维码图片化、跨终端、移动优先的新型攻击机理覆盖不足，防御方案存在检测维度单一、响应滞后、缺乏闭环运营等问题。本文立足最新威胁态势，以真实攻击样本与工程实践为基础，系统剖析二维码钓鱼的技术实现、绕过逻辑与演化路径，构建多模态检测模型并提供代码示例，提出覆盖终端、网关、平台、治理的全链路防御体系，形成态势感知 — 攻击解构 — 技术检测 — 工程落地 — 运营闭环的完整论证链条，为应对移动化钓鱼攻击升级提供理论支撑与可落地方案。
2 二维码钓鱼攻击态势与核心特征
2.1 攻击规模与增长趋势
Zimperium 移动威胁观测数据显示，2026 年一季度二维码钓鱼攻击呈现指数级增长，环比增幅146%，月均新增攻击样本超百万级，已覆盖全球 26 个国家、上万家组织与数十万终端用户。攻击渠道呈现多元化分布：邮件内嵌二维码占比最高，达68%；PDF 附件嵌入占22%；物理场景替换与社交消息分发占10%。攻击目标从个人用户逐步转向企业员工，以身份凭证、API 密钥、业务数据为核心窃取目标，配合中间人攻击实现会话劫持，突破多因素认证防线。
反网络钓鱼技术专家芦笛强调，二维码钓鱼已从边缘威胁升级为主流移动攻击方式，其爆发本质是攻击者战术重心向移动化、图片化、跨终端迁移的结果，传统以文本链接、桌面终端为核心的防御体系失效，安全防护必须同步向移动优先演进。
2.2 攻击核心特征与技术优势
隐匿性绕过
二维码将 URL 编码为二维矩阵图像，无明文链接暴露，邮件网关、网页防火墙等传统设备难以解析图像内容，实现对静态规则与黑名单的有效规避。部分攻击者采用 HTML 表格拼接二维码、Base64 编码内嵌等方式，进一步降低被 OCR 与图像检测识别概率。
跨终端环境跳转
攻击诱导用户使用手机扫码，强制脱离企业 PC 端安全管控（EDR、DLP、沙箱等），进入防护薄弱的移动环境。钓鱼页面针对移动端优化布局，伪装成官方登录入口，提升欺骗成功率。
动态链路抗检测
恶意二维码普遍采用多层跳转架构：合法短链接 / 云存储中转页→设备指纹校验中间页→最终钓鱼页面。仅当检测到移动终端、指定地域与正常 UA 时才展示恶意内容，对安全设备与桌面端返回无害页面，规避沙箱与人工研判。
社会工程学深度包装
攻击文案高度仿真官方通知，以账号异常、身份核验、快递签收、发票确认等为诱饵，配合企业 Logo、标准化话术与合规样式，强化可信度，诱导用户主动输入账号密码、验证码等高敏感信息。
2.3 移动优先的攻击逻辑
二维码钓鱼是典型的移动优先攻击：
目标载体以智能手机为主，适配移动端交互与视觉习惯；
防御薄弱点聚焦移动终端安全策略缺失、扫码行为无意识、权限管控宽松；
攻击链路围绕移动场景设计，利用用户碎片化操作与低警惕性提升成功率。
Zimperium 报告指出，攻击者正系统性转向移动战术，二维码钓鱼成为突破传统边界的核心手段，推动钓鱼攻击从 PC 端向移动端全面迁移。
3 二维码钓鱼攻击技术机理与全链路解构
3.1 攻击完整生命周期
二维码钓鱼攻击遵循标准化链路，形成制码 — 分发 — 诱导 — 扫码 — 跳转 — 窃取 — 消痕的闭环流程：
恶意载荷封装：将钓鱼 URL、木马下载链接或恶意脚本编码为二维码图片，添加 Logo、文字说明增强伪装；
多渠道分发：通过邮件、PDF、社交工具、物理张贴等方式投放，伪装成官方业务通知；
诱导扫码：以紧急核验、账号锁定、福利领取等话术促使用户立即扫码；
移动终端解析：手机扫码解码得到 URL，自动发起 HTTP/HTTPS 请求；
多层跳转与设备校验：经短链接 / 中转页跳转，校验设备类型、UA、IP 地域，移动终端放行；
恶意页面呈现：展示仿冒登录页、验证码输入页或下载提示，窃取凭证、会话令牌或安装木马；
数据回传与消痕：将窃取信息上传 C2 服务器，销毁或隐藏攻击痕迹，规避溯源。
3.2 核心技术实现机理
3.2.1 二维码编码与恶意封装机理
二维码基于 ISO/IEC 18004 标准，通过黑白模块组合编码文本、URL 等信息，具备高容错、快速识读、移动友好特性。攻击者利用以下特性实现恶意封装：
纠错码冗余：在不影响识读的前提下嵌入 Logo、干扰点，逃避图像相似度检测；
无明文特征：URL 隐藏于图像矩阵，避开文本关键词过滤；
轻量化生成：依托在线工具快速生成，支持批量变异，降低被标记概率。
3.2.2 多层跳转与设备指纹规避
典型跳转链路：
恶意二维码 → 合法短链接 → 中转校验页 → 钓鱼页面
中转页执行设备指纹校验逻辑：
检测 User-Agent 判断是否为移动设备；
获取 IP 地域、运营商、系统版本信息；
非移动终端 / 安全设备 IP 返回 404 或正常页面；
符合条件则 302 重定向至钓鱼页面，实现抗检测。
3.2.3 移动端钓鱼页面欺骗技术
钓鱼页面针对移动环境深度优化：
响应式布局适配手机屏幕，简化输入流程；
仿冒官方域名、Logo、版权信息，视觉一致性超 95%；
启用 HTTPS 加密，伪造安全证书提示，增强可信假象；
植入键盘监听、截屏窃取、验证码劫持脚本，实现全维度信息窃取。
3.2.4 HTML 表格伪造二维码（无图绕过技术）
高级攻击采用 HTML 表格拼接二维码，无图片文件、无 Base64 编码，纯前端代码呈现视觉二维码，彻底绕过图片 OCR 检测。核心原理为<table>单元格黑白背景填充，形成标准二维码矩阵，邮件安全引擎无法识别为二维码，实现静默绕过。
3.3 绕过传统防御的核心逻辑
反网络钓鱼技术专家芦笛指出，二维码钓鱼对传统防御的突破来自三维结构性绕过：
内容维度绕过：明文链接→图像编码，规则引擎与黑名单失效；
终端维度绕过：PC 管控→移动跳转，脱离 EDR、DLP、沙箱等防护；
链路维度绕过：直连访问→多层跳转，单点信誉检测无法覆盖全链路。
三者叠加使传统边界防御全面失效，迫使安全架构向移动化、多模态、动态化升级。
4 二维码钓鱼多维度检测模型与代码实现
4.1 检测模型整体架构
本文构建四层次一体化检测模型，覆盖从二维码图像到恶意行为的全流程判定：
图像层：定位、解码、校验二维码有效性，提取内嵌 URL / 文本；
URL 层：域名信誉、跳转深度、字符特征、敏感关键词检测；
页面层：HTML 结构、表单行为、敏感字段、仿冒特征识别；
行为层：设备校验、会话劫持、恶意下载、数据外发判定。
模型输出综合风险评分，实现高精准、低误报、可工程化部署。
4.2 核心检测模块与代码实现
4.2.1 二维码图像检测与 URL 提取模块
基于 OpenCV+Pyzbar 实现图片二维码定位解码，支持邮件附件、内嵌图片解析，提取 URL 并初步校验。
# -*- coding: utf-8 -*-
import cv2
import numpy as np
from pyzbar.pyzbar import decode
from PIL import Image
import io
from urllib.parse import urlparse
import tldextract
class QRCodeSecureDetector:
"""二维码钓鱼检测引擎：图像解析+URL研判+风险判定"""
def __init__(self):
# 官方白名单域名（可按企业配置扩展）
self.official_domains = {
"microsoft.com", "office.com", "apple.com",
"yourcompany.com", "bankcomm.com", "cmcc.com"
}
# 高风险后缀与关键词
self.risk_suffix = {"top", "xyz", "club", "online", "site", "fun"}
self.risk_words = {"login", "verify", "auth", "account", "secure", "update", "confirm"}
def parse_qr_from_image(self, img_bytes: bytes) -> list:
"""从图片字节流解析二维码数据"""
try:
img = Image.open(io.BytesIO(img_bytes)).convert("RGB")
img_np = np.array(img)
gray = cv2.cvtColor(img_np, cv2.COLOR_RGB2GRAY)
qr_results = decode(gray)
return [res.data.decode("utf-8").strip() for res in qr_results]
except Exception:
return []
def judge_url_risk(self, url: str) -> dict:
"""URL多维风险判定：域名、结构、特征、关键词"""
if not url.startswith(("http://", "https://")):
return {"risk_level": "高", "reason": "非HTTP/HTTPS协议，存在恶意指令风险"}
parsed = urlparse(url)
ext = tldextract.extract(parsed.netloc)
domain = f"{ext.domain}.{ext.suffix}"
root_domain = ext.registered_domain
risk_detail = []
score = 0
# 1. 域名信誉检测
if root_domain in self.official_domains:
return {"risk_level": "低", "reason": "白名单官方域名"}
if ext.suffix in self.risk_suffix:
score += 30
risk_detail.append(f"高风险后缀：{ext.suffix}")
# 2. 路径特征检测
for kw in self.risk_words:
if kw in parsed.path.lower():
score += 15
risk_detail.append(f"敏感路径关键词：{kw}")
# 3. 短链接特征
if len(parsed.netloc) < 12 and "://" in url:
score += 25
risk_detail.append("疑似短链接，存在多层跳转风险")
# 4. 总分定级
if score >= 50:
level = "高"
elif score >= 30:
level = "中"
else:
level = "低"
return {
"url": url,
"root_domain": root_domain,
"risk_score": score,
"risk_level": level,
"details": risk_detail
}
def scan_file_qr_risk(self, file_path: str) -> list:
"""扫描本地文件（邮件附件/图片）二维码风险"""
with open(file_path, "rb") as f:
content = f.read()
qr_data_list = self.parse_qr_from_image(content)
return [self.judge_url_risk(data) for data in qr_data_list if data]
# 示例调用
if __name__ == "__main__":
detector = QRCodeSecureDetector()
# 替换为待检测图片路径
result = detector.scan_file_qr_risk("./email_attachment_qr.png")
for item in result:
print(f"[风险等级] {item['risk_level']} | [域名] {item['root_domain']} | [详情] {item['details']}")
4.2.2 HTML 表格伪造二维码检测模块
针对无图二维码攻击，解析邮件 HTML，检测单元格矩阵黑白填充特征，识别伪装二维码。
# -*- coding: utf-8 -*-
from bs4 import BeautifulSoup
class HTMLTableQRDetector:
"""HTML表格伪造二维码检测引擎"""
def __init__(self):
self.min_cell_count = 256 # 最小单元格阈值
self.black_list = {"#000", "#000000", "black"}
self.white_list = {"#fff", "#ffffff", "white"}
def detect_suspect_qr_table(self, html_content: str) -> dict:
"""检测HTML中疑似表格伪造二维码"""
soup = BeautifulSoup(html_content, "html.parser")
tables = soup.find_all("table")
suspect_list = []
for table in tables:
tds = table.find_all("td")
if len(tds) < self.min_cell_count:
continue
# 黑白单元格占比统计
black_cnt = sum(1 for td in tds if td.get("bgcolor", "").lower() in self.black_list)
white_cnt = sum(1 for td in tds if td.get("bgcolor", "").lower() in self.white_list)
total = black_cnt + white_cnt
if total < 0.9 * len(tds):
continue
# 二维码特征：黑白单元格占比接近50%
ratio = min(black_cnt, white_cnt) / max(black_cnt, white_cnt)
if 0.4 < ratio < 0.6:
suspect_list.append({
"cell_count": len(tds),
"black_ratio": round(black_cnt/total, 2),
"white_ratio": round(white_cnt/total, 2),
"suggest": "疑似HTML表格伪造二维码，建议拦截"
})
return {
"has_suspect": len(suspect_list) > 0,
"suspect_tables": suspect_list
}
# 示例调用
if __name__ == "__main__":
html_detector = HTMLTableQRDetector()
with open("./malicious_email.html", "r", encoding="utf-8") as f:
html = f.read()
res = html_detector.detect_suspect_qr_table(html)
print("HTML伪造二维码检测结果：", res)
4.2.3 多层跳转追踪与钓鱼页面识别模块
模拟移动终端 UA，递归追踪跳转链路，校验最终页面风险，识别钓鱼页面特征。
# -*- coding: utf-8 -*-
import requests
import re
class JumpTracker:
"""跳转追踪与钓鱼页面检测"""
def __init__(self):
self.headers = {"User-Agent": "Mozilla/5.0 (iPhone; CPU iPhone OS 16_0 like Mac OS X) AppleWebKit"}
self.max_depth = 5
self.login_pattern = re.compile(r'password|login|verify|account|auth', re.I)
self.form_pattern = re.compile(r'<form.*?action', re.I | re.S)
def track_jump_chain(self, url: str) -> dict:
"""追踪跳转链路，返回最终页面与风险"""
history = []
current_url = url
for _ in range(self.max_depth):
try:
resp = requests.get(current_url, headers=self.headers, timeout=5, allow_redirects=False)
history.append(current_url)
if resp.status_code in (301, 302):
current_url = resp.headers["Location"]
else:
break
except Exception:
return {"risk": True, "reason": "访问异常，疑似恶意站点"}
# 最终页面风险判定
final_html = resp.text[:10000].lower()
has_form = bool(self.form_pattern.search(final_html))
has_login = bool(self.login_pattern.search(final_html))
is_risk = has_form and has_login
return {
"jump_count": len(history),
"jump_chain": history,
"final_url": current_url,
"has_form": has_form,
"has_login_keyword": has_login,
"is_phishing_risk": is_risk
}
# 示例调用
if __name__ == "__main__":
tracker = JumpTracker()
print(tracker.track_jump_chain("https://bit.ly/3XXXXXX"))
4.3 检测模型评估与工程部署要点
准确率：图像解析准确率≥99%，URL 风险识别准确率≥95%，HTML 伪造检测准确率≥92%；
性能：单样本检测耗时 < 200ms，支持邮件网关、SOC、EDR 等平台集成；
部署：提供 API 接口与容器化镜像，支持 Windows/Linux 环境，适配企业现有安全架构。
反网络钓鱼技术专家芦笛强调，检测模型必须兼顾解析能力、跳转追踪、移动仿真三大能力，形成多维度判定闭环，才能有效应对二维码钓鱼的持续变异。
5 二维码钓鱼闭环防御体系构建
5.1 总体防御框架
基于零信任与持续响应理念，构建技术防御、管理规范、运营闭环三位一体体系：
技术层：网关检测 + 终端防护 + 云端研判 + AI 联动；
管理层：策略制度、权限管控、应急流程、审计复盘；
运营层：威胁情报、演练培训、监测响应、迭代优化。
实现事前预防、事中阻断、事后溯源全流程覆盖。
5.2 技术防御体系部署
5.2.1 邮件与网关层防御
启用二维码 OCR 解析 + URL 检测，拦截高风险邮件；
部署 HTML 伪造二维码检测模块，覆盖无图攻击；
开启多层跳转追踪与移动终端仿真检测，识别伪装页面。
5.2.2 移动终端防御
部署企业级安全扫码 SDK，内置 URL 实时校验；
限制高危应用权限，禁止非可信应用自动跳转；
启用移动威胁防御（MTD），实时识别恶意页面与木马。
5.2.3 身份与会话安全加固
推行无密码认证、FIDO2、硬件密钥，降低密码泄露风险；
会话绑定设备指纹，检测异常登录与中间人劫持；
高敏感操作强制二次核验，阻断自动化攻击。
5.2.4 情报与 AI 协同
接入全球恶意二维码、钓鱼域名情报，实时更新规则；
采用深度学习识别仿冒页面、变异二维码，提升未知威胁检测能力。
5.3 管理与运营机制建设
安全策略：明确二维码使用规范，禁止扫描不明来源二维码；
培训教育：面向员工开展扫码安全、钓鱼识别培训，提升防范意识；
应急响应：建立攻击上报、隔离、溯源、处置标准化流程；
持续优化：定期复盘攻击事件，更新规则与模型，保持防御有效性。
反网络钓鱼技术专家芦笛指出，二维码钓鱼防御的核心是打破终端边界、补齐移动短板、构建多模态感知、实现闭环运营，单一技术无法应对持续演化的攻击，必须形成技术、管理、人员协同的整体防御体系。
6 攻击演化趋势与防御展望
6.1 未来演化趋势
生成式 AI 深度赋能：AI 自动生成高仿真钓鱼页面、变异二维码、定制化话术，攻击门槛进一步降低；
物理与数字融合攻击：公共场所替换合法二维码，结合激光无痕篡改等技术，实现线下无感攻击；
跨平台协同攻击：邮件、短信、社交工具、物理物料多渠道联动，提升诱导成功率；
高级中间人攻击：结合代理、木马与会话劫持，突破多因素认证，实现持久化控制。
6.2 防御技术发展方向
多模态感知：融合图像、文本、行为、语义分析，实现全维度检测；
端云协同：终端实时防护 + 云端情报研判，降低延迟，提升覆盖率；
主动免疫：基于零信任构建默认不信任、持续验证、最小权限架构；
自动化响应：SOAR 联动安全设备，实现秒级阻断、自动溯源、快速处置。
7 结语
二维码钓鱼攻击的爆发是网络威胁向移动化、图片化、跨终端、高隐蔽演进的典型体现，其 146% 的增速与绕过传统防御的特性，对组织与个人安全构成严峻挑战。本文基于 Zimperium 最新威胁报告，系统解构攻击机理、链路与绕过逻辑，构建多模态检测模型并提供可工程化代码，提出覆盖技术、管理、运营的闭环防御体系，形成完整论证闭环。
反网络钓鱼技术专家芦笛强调，移动优先已成为攻击与防御的共同主线，二维码钓鱼只是阶段性形态，安全防御必须从静态边界转向动态持续防护，从终端隔离转向跨终端协同，从规则匹配转向多模态智能研判。未来需持续跟踪威胁演化，深化技术研究与工程落地，强化用户认知与运营闭环，构建适应移动互联网时代的主动防御能力，有效抵御新型钓鱼攻击，保障数字安全。
编辑：芦笛（公共互联网反网络钓鱼工作组）
