先把自己归入三种状态之一
一个你并未预期的包裹上的二维码——陌生寄件人、“退货”或“重新投递”标签、要求你确认地址的便条——是你并未请求的链接。有用的问题不是“这个包裹是真的吗？”，而是“这个二维码已经深入到我的账号到什么程度？”
在做任何事之前，先用下表找到你的状态。
| 状态 | 发生了什么 | 首先该做什么 |
|---|---|---|
| A. 未打开 | 你拿到了包裹或标签，但尚未扫描二维码 | 不要为了“看看是什么”而扫描。保留包装，并记录寄件人文字、日期和承运商标记 |
| B. 仅扫描 | 二维码打开了页面或应用提示，但你没有输入密码、验证码或卡号 | 关闭页面。不要输入任何内容。通过官方应用或你已有的书签，检查该页面声称代表的账号 |
| C. 已输入凭据 | 扫描后你输入了密码、一次性验证码、卡号或其他登录信息 | 将该账号视为已暴露，并进入下方的恢复步骤 |
不要为了测试而扫描二维码，即使是在备用设备上。扫描正是加载页面的那一步。
状态 A：二维码尚未扫描
你不需要识别寄件人就能保护自己。你需要避免使用印刷的路径。
- 不要扫描二维码，也不要打开旁边印的任何短链接。
- 保留包装和标签。 拍摄标签、寄件人一行和任何追踪号。这是为你自己留记录，不是寄件人合法的证明。
- 检查你确实订购的配送。 使用承运商或零售商的应用程序，或你自己导航到的网站，而不是标签上的电话号码或链接。
- 如果包裹确实意外且无法与订单匹配，请将其视为未经请求的。 你可以如何处理它取决于你居住的地方；本文不提供任何国家的法律建议。
- 如果你想，可以举报。 在美国，FTC 发布了关于诈骗短信和包裹的消费者指南。举报途径因国家而异，因此请使用你当地的消费者机构，而不是假设美国流程适用。
没有匹配订单的包裹到达并不自动是犯罪，二维码也不自动是恶意的。关键在于你无法仅凭标签判断，因此你不需要冒险去弄清楚。
FTC 警告称，意外包裹上的二维码可能指向窃取登录或支付信息的钓鱼网站，或导致恶意软件。来源
状态 B：已扫描，但未输入任何内容
如果二维码打开了页面，而你在输入任何内容之前停下了，你的主要任务是通过你控制的途径确认真实账号状态。
- 关闭页面或应用提示。 不要在二维码打开的页面上“登录以取消”或“确认配送”。
- 打开服务的官方应用，或在新浏览器标签页中自己输入其地址。 不要重用扫描得到的链接。
- 检查声称的事件是否存在。 如果页面说包裹被扣留，请在承运商或零售商自己的账号区域中查找相同通知。如果那里什么都没有，该页面就不是真实通知。
- 不要安装页面提供的任何东西。 来自包裹二维码的应用安装提示不是你可以验证的配送要求。
- 写下页面要求的内容——密码、卡号、一次性验证码、配送费——以便你在举报时准确描述。
仅扫描并不证明你的账号被访问。此状态下的风险在于你接下来做什么，因此安全的下一步是停止使用印刷的路径。
状态 C：已输入凭据
这是需要采取行动的状态，而且顺序很重要。
如果在扫描此类二维码后输入了账号凭据，FTC 建议更改密码并启用双重验证。来源
使用账号自己的应用或你自己导航到的页面，按顺序执行以下步骤：
- 从官方应用或网站更改密码，而不是从二维码打开的页面。
- 如果尚未开启双重验证，请开启。 在账号提供的情况下，优先使用验证器应用或硬件密钥而非短信。
- 在任何重复使用过该密码的地方更改相同密码。 输入到钓鱼页面的密码应视为已被他人知晓。
- 如果你输入了卡或银行详细信息，请使用卡上的号码或其官方应用联系发卡机构或银行。 不要使用包裹或扫描页面上的号码或链接。本文不承诺付款可以撤回。
- 在完成之前，保持对恢复方式的访问。 在密码更改和双重验证设置确认有效之前，不要移除你的电子邮件、电话号码或恢复代码，否则你可能会把自己锁在外面。
- 在官方应用中查看最近的账号活动：登录位置、连接的应用程序、转发规则和支付方式。撤销任何你不认识的内容。
移除登录连接或编辑个人资料与删除存储数据不同。如果你要完全关闭账号，请遵循提供商自己的关闭流程，并在关闭确认之前保持可用的恢复方式。
使用已知的账号路径，而不是印刷的二维码
包裹标签可以印任何地址、电话号码或二维码。它不能证明谁拥有目的地。对于任何账号决策——密码重置、配送确认、付款、退款——从你已经信任的路径开始：
| 任务 | 可信的起点 |
|---|---|
| 确认配送 | 承运商或零售商的应用程序，或你自己输入的地址 |
| 重置密码 | 服务的官方应用或网站，或其文档化的账号恢复流程 |
| 检查付款 | 你的银行或发卡机构的应用程序，或卡上的号码 |
| 举报可疑消息 | 你当地的消费者保护机构；在美国，FTC 发布的指南 |
如果消息声称来自支持账号并要求你将对话转移到聊天应用或通过登录来“验证”，同样的规则适用：通过服务自己的应用确认。对于这种单独的情况，请参阅检查虚假客户支持社交账号。
公开用户名匹配是线索，不是所有权的证明。如果你试图识别联系你的某个用户名背后是谁，像 TraceSeek 这样的用户名查询可以显示某个用户名在 3,000+ 个平台上出现的位置，但它不会更改账号设置、发放恢复代码、追回钱款或验证真实身份。
不要得出这些结论
- 并非每次二维码扫描都会安装恶意软件。 FTC 将钓鱼和恶意软件描述为可能的结果；它并没有说每次扫描都会导致其中任何一种。
- 看起来真实的扫描页面并不证明它是真实的。 在服务自己的应用中检查声称的事件。
- 没有匹配订单的包裹不能识别寄件人。 不要将标签上的姓名或退货地址视为已验证。
- 未经请求商品的规定因国家而异。 本文不将任何国家规则扩展到其他市场。
- 更改密码不是恢复的保证。 它减少暴露；账号或付款是否恢复取决于提供商。
一个可以复制的工作表
在行动之前填写，这样你以后不必重建：
- 状态：A / B / C
- 扫描日期和时间（如果有）：
- 页面或提示声称是什么（承运商、零售商、银行、其他）：
- 它要求什么（密码 / 一次性验证码 / 卡号 / 费用 / 应用安装）：
- 你输入了什么（如果有）：
- 受影响的账号：
- 密码已更改：是 / 否 — 从官方应用或网站：是 / 否
- 双重验证已启用：是 / 否
- 恢复方式仍可访问：是 / 否
- 已联系发卡机构（如果输入了卡详细信息）：是 / 否
- 已向（当地机构、承运商、零售商）举报：
完成后，有用的下一步是从每个受影响账号自己的应用确认：密码已更改、双重验证已开启、恢复方式有效，并且没有未识别的会话或连接的应用程序。