先判斷自己處於三種狀態中的哪一種
你沒有預期的包裹上出現二維碼——神秘寄件人、「退貨」或「重新派遞」標籤、要求你確認地址的字條——這是你沒有要求的連結。有用的問題不是「這個包裹是真的嗎？」，而是「這個二維碼已深入到我的帳戶到甚麼程度？」
在做任何事之前，先用下表找出你的狀態。
| 狀態 | 發生了甚麼 | 首先應做甚麼 |
|---|---|---|
| A. 未開啟 | 你持有包裹或標籤，但尚未掃描二維碼 | 不要為了「看看是甚麼」而掃描。保留包裝，記下寄件人文字、日期和承運商標記 |
| B. 僅掃描 | 二維碼開啟了頁面或應用程式提示，但你沒有輸入密碼、驗證碼或卡號 | 關閉頁面。不要輸入任何資料。透過官方應用程式或你已有的書籤，核對該頁面聲稱代表的帳戶 |
| C. 已輸入憑證 | 掃描後你輸入了密碼、一次性驗證碼、卡號或其他登入資料 | 將該帳戶視為已外洩，並轉到下方的補救步驟 |
不要以測試為由掃描二維碼，即使使用備用裝置也不行。掃描正是載入頁面的那一步。
狀態 A：二維碼仍未掃描
你不需要識別寄件人來保護自己。你需要避免使用印刷的途徑。
- 不要掃描二維碼，也不要開啟旁邊印有的任何短連結。
- 保留包裝和標籤。 拍攝標籤、寄件人欄和任何追蹤編號。這是供你自己記錄，不是寄件人合法的證明。
- 核對你確實訂購的派遞。 使用承運商或零售商的應用程式，或你自己導航到的網站，而不是標籤上的電話號碼或連結。
- 如果包裹確實出乎意料且無法對應任何訂單，應視為未經索取。 你可以如何處理取決於你居住的地方；本文不提供任何國家的法律意見。
- 如你願意，可作出舉報。 在美國，FTC 發布有關詐騙短訊和包裹的消費者指引。舉報途徑因國家而異，因此應使用你當地的消費者機構，而不是假設美國程序適用。
沒有對應訂單的包裹不一定是犯罪，二維碼也不一定惡意。重點是你無法單憑標籤判斷，因此你不需要冒險去查明。
FTC 警告，不明包裹上的二維碼可能引向竊取登入或付款資料的網絡釣魚網站，或引向惡意軟件。來源
狀態 B：已掃描，但未輸入任何資料
如果二維碼開啟了頁面，而你在輸入任何東西之前停下來，你的主要工作是透過你控制的途徑確認真實帳戶狀態。
- 關閉頁面或應用程式提示。 不要在二維碼開啟的頁面上「登入以取消」或「確認派遞」。
- 開啟服務的官方應用程式，或在新瀏覽器分頁自行輸入其地址。 不要重複使用掃描得來的連結。
- 核對聲稱的事件是否存在。 如果頁面說包裹被扣留，請在承運商或零售商自己的帳戶區域尋找相同通知。如果那裡沒有，該頁面就不是真實通知。
- 不要安裝頁面提供的任何東西。 包裹二維碼彈出的應用程式安裝提示，不是你可核實的派遞要求。
- 記下頁面要求甚麼——密碼、卡號、一次性驗證碼、派遞費——以便你舉報時能準確描述。
僅掃描並不證明你的帳戶已被存取。此狀態的風險在於你接下來做甚麼，因此安全的下一步是停止使用印刷的途徑。
狀態 C：已輸入憑證
這是需要採取行動的狀態，而次序很重要。
如果在掃描這類二維碼後輸入了帳戶憑證，FTC 建議更改密碼並啟用雙重驗證。來源
使用帳戶自己的應用程式或你自己導航到的頁面，按次序完成以下步驟：
- 從官方應用程式或網站更改密碼，而不是從二維碼開啟的頁面。
- 如果雙重驗證尚未開啟，請開啟。 如帳戶提供，優先使用驗證器應用程式或硬件金鑰，而非短訊。
- 在任何重複使用同一密碼的地方更改該密碼。 輸入到網絡釣魚頁面的密碼應視為已被人知悉。
- 如果你輸入了卡或銀行資料，請使用卡上號碼或其官方應用程式聯絡發卡機構或銀行。 不要使用包裹或掃描頁面上的號碼或連結。本文不保證付款可以逆轉。
- 在完成之前，保持對恢復方法的存取。 在密碼更改和雙重驗證設定確認有效之前，不要移除你的電郵、電話號碼或恢復碼，否則你可能會將自己鎖在外面。
- 在官方應用程式中查看近期帳戶活動：登入位置、已連接應用程式、轉寄規則和付款方式。撤銷任何你不認識的項目。
移除登入連接或編輯個人檔案不等同刪除已儲存的資料。如果你要完全關閉帳戶，請遵循供應商自己的關閉流程，並在關閉確認之前保持可用的恢復方法。
使用已知的帳戶途徑，而非印刷的二維碼
包裹標籤可以印上任何地址、電話號碼或二維碼。它無法證明誰擁有目的地。對於任何帳戶決定——重設密碼、確認派遞、付款、退款——從你已經信任的途徑開始：
| 任務 | 可信的起點 |
|---|---|
| 確認派遞 | 承運商或零售商的應用程式，或你自己輸入的地址 |
| 重設密碼 | 服務的官方應用程式或網站，或其記錄在案的帳戶恢復流程 |
| 檢查付款 | 你的銀行或發卡機構的應用程式，或卡上的號碼 |
| 舉報可疑訊息 | 你當地的消費者保護機構；在美國，FTC 發布的指引 |
如果訊息聲稱來自支援帳戶，並要求你將對話轉移到聊天應用程式或透過登入來「驗證」，同樣的規則適用：透過服務自己的應用程式確認。對於該獨立情況，請參閱核對虛假客戶支援社交帳戶。
公開用戶名稱匹配是線索，不是擁有權的證明。如果你試圖識別聯絡你的帳戶名稱背後是誰，像 TraceSeek 這樣的用戶名稱搜尋可以顯示某個帳戶名稱在 3,000+ 個平台上出現的位置，但它不會更改帳戶設定、發出恢復碼、取回金錢或核實真實身份。
不應得出的結論
- 並非每次掃描二維碼都會安裝惡意軟件。 FTC 將網絡釣魚和惡意軟件描述為可能結果；它沒有說每次掃描都會導致其中任何一種。
- 掃描到的頁面看起來真實，並不證明它是真實的。 在服務自己的應用程式內核對聲稱的事件。
- 沒有對應訂單的包裹不能識別寄件人。 不要將標籤上的姓名或退貨地址視為已核實。
- 未經索取貨品的規則因國家而異。 本文不將任何國家的規則延伸至其他市場。
- 更改密碼不保證恢復。 它減少暴露；帳戶或付款能否恢復取決於供應商。
可供複製的簡短工作表
在行動前填寫此表，以便日後不必重新建構：
- 狀態：A / B / C
- 掃描日期和時間（如有）：
- 頁面或提示聲稱是甚麼（承運商、零售商、銀行、其他）：
- 它要求甚麼（密碼 / 一次性驗證碼 / 卡號 / 費用 / 應用程式安裝）：
- 你輸入了甚麼（如有）：
- 受影響帳戶：
- 已更改密碼：是 / 否 — 從官方應用程式或網站：是 / 否
- 已啟用雙重驗證：是 / 否
- 恢復方法仍可存取：是 / 否
- 已聯絡發卡機構（如輸入了卡資料）：是 / 否
- 已向誰舉報（當地機構、承運商、零售商）：
完成後，有用的下一步是從每個受影響帳戶自己的應用程式確認：密碼已更改、雙重驗證已開啟、恢復方法有效，且沒有不認識的工作階段或已連接應用程式。