先確認自己處於哪一種狀態
你沒預期會收到的包裹上出現 QR Code——可能是來路不明的寄件人、標著「退貨」或「重新配送」的標籤，或一張要求你確認地址的紙條——這是你並未要求的連結。真正有用的問題不是「這個包裹是真的嗎？」，而是「這個 QR Code 已經深入到我的帳號到什麼程度？」
動手處理前，先用下表找出你目前的狀態。
| 狀態 | 發生了什麼事 | 首先該做什麼 |
|---|---|---|
| A. 尚未掃描 | 你手上有包裹或標籤，但還沒掃描 QR Code | 不要為了「看看是什麼」而掃描。保留包裝，記下寄件人文字、日期與貨運標記 |
| B. 僅掃描 | QR Code 開啟了網頁或應用程式提示，但你沒有輸入密碼、驗證碼或卡號 | 關閉頁面。不要輸入任何資料。透過該網頁聲稱代表的服務的官方應用程式，或你原本就有的書籤，檢查該帳號 |
| C. 已輸入憑證 | 掃描後你輸入了密碼、一次性驗證碼、卡號或其他登入資料 | 將該帳號視為已暴露，並進行下方的復原步驟 |
不要為了測試而掃描 QR Code，即使是用備用手機也一樣。掃描正是載入該網頁的步驟。
狀態 A：QR Code 尚未掃描
你不需要辨識寄件人是誰就能保護自己。你要做的是避免使用包裹上印出的途徑。
- 不要掃描 QR Code，也不要開啟旁邊印出的任何短連結。
- 保留包裝與標籤。 拍下標籤、寄件人欄位與任何追蹤號碼。這是為你自己留存紀錄，不是寄件人合法的證明。
- 確認你確實有訂購這筆配送。 使用貨運業者或零售商的應用程式，或你自己輸入網址前往的網站，不要使用標籤上的電話號碼或連結。
- 如果包裹確實出乎意料，且你無法對應到任何訂單，就把它當作未經索取的物品。 你能怎麼處理取決於你居住的地方；本文不提供任何國家的法律建議。
- 如果你想通報，就通報。 在美國，FTC 發布了關於詐騙簡訊與包裹的消費者指引。通報管道因國家而異，請使用你當地的消費者保護機關，不要假設美國的程序適用。
沒有對應訂單卻送達的包裹不一定是犯罪，QR Code 也不一定就是惡意。重點是光看標籤你無法分辨，因此你不需要冒險去查明。
FTC 警告，不明包裹上的 QR Code 可能導向竊取登入或付款資訊的網路釣魚網站，或導致惡意程式感染。來源
狀態 B：已掃描，但未輸入任何資料
如果 QR Code 開啟了網頁，而你在輸入任何內容前就停下來，你的主要任務是透過你能掌控的途徑，確認真實的帳號狀態。
- 關閉該網頁或應用程式提示。 不要在 QR Code 開啟的頁面上「登入以取消」或「確認配送」。
- 開啟該服務的官方應用程式，或在新的瀏覽器分頁自行輸入其網址。 不要重複使用掃描所得的連結。
- 確認頁面聲稱的事件是否真的存在。 如果頁面說包裹被扣留，請在貨運業者或零售商自己的帳號專區尋找相同的通知。如果那裡什麼都沒有，該頁面就不是真實通知。
- 不要安裝頁面提供的任何東西。 包裹 QR Code 出現的應用程式安裝提示，不是你能查證的配送要求。
- 寫下頁面要求了哪些資料——密碼、卡號、一次性驗證碼、配送費——以便你在通報時能準確描述。
光是掃描並不證明你的帳號已被存取。這個狀態的風險在於你接下來做了什麼，因此安全的下一步是停止使用包裹上印出的途徑。
狀態 C：已輸入憑證
這是需要採取行動的狀態，而且順序很重要。
如果在掃描這類 QR Code 後輸入了帳號憑證，FTC 建議變更密碼並啟用雙因素驗證。來源
請使用該帳號自己的應用程式，或你自己輸入網址前往的頁面，依序完成以下步驟：
- 從官方應用程式或網站變更密碼，不要從 QR Code 開啟的頁面操作。
- 如果尚未啟用雙因素驗證，請開啟。 若帳號提供，優先使用驗證器應用程式或硬體金鑰，而非簡訊。
- 在任何重複使用同一密碼的地方都變更該密碼。 輸入網路釣魚頁面的密碼，應視為已遭他人得知。
- 如果你輸入了卡片或銀行資料，請使用卡片上的電話號碼或其官方應用程式聯絡發卡機構或銀行。 不要使用包裹或掃描頁面上的電話號碼或連結。本文不保證付款一定能追回。
- 在完成之前，保持你的復原方式可用。 在密碼變更與雙因素設定確認可正常運作前，不要移除你的電子郵件、電話號碼或復原碼，否則你可能會把自己鎖在帳號外。
- 在官方應用程式中檢視最近的帳號活動：登入位置、已連結的應用程式、轉寄規則與付款方式。取消任何你不認得的項目。
移除登入連結或編輯個人檔案，不等於刪除已儲存的資料。如果你要完全關閉帳號，請遵循服務供應商自己的關閉流程，並在關閉確認完成前保持復原方式可用。
使用已知的帳號途徑，而非印出的 QR Code
包裹標籤可以印上任何地址、電話號碼或 QR Code。它無法證明目的地由誰擁有。任何帳號相關決定——重設密碼、確認配送、付款、退款——都請從你原本就信任的途徑開始：
| 任務 | 可信的起點 |
|---|---|
| 確認配送 | 貨運業者或零售商的應用程式，或你自己輸入的網址 |
| 重設密碼 | 該服務的官方應用程式或網站，或其有文件說明的帳號復原流程 |
| 檢查付款 | 你的銀行或發卡機構的應用程式，或卡片上的電話號碼 |
| 通報可疑訊息 | 你當地的消費者保護機關；在美國，是 FTC 發布的指引 |
如果訊息自稱來自客服帳號，並要求你把對話移到某個聊天應用程式，或透過登入來「驗證」，同樣的規則適用：透過該服務自己的應用程式確認。針對這個不同的情況，請參閱查核假冒客服的社群帳號。
公開使用者名稱的比對結果是線索，不是所有權的證明。如果你試圖辨識聯絡你的帳號背後是誰，像 TraceSeek 這樣的使用者名稱搜尋可以顯示某個帳號在 3,000+ 個平台上的出現位置，但它不會變更帳號設定、核發復原碼、追回金錢或驗證真實身分。
不要做出這些結論
- 不是每次掃描 QR Code 都會安裝惡意程式。 FTC 描述網路釣魚與惡意程式是可能結果；它並沒有說每次掃描都會導致其中任一結果。
- 掃描後看起來真實的頁面，不證明它是真的。 請在該服務自己的應用程式內確認聲稱的事件。
- 沒有對應訂單的包裹無法辨識寄件人。 不要將標籤上的姓名或退貨地址視為已查證。
- 未經索取物品的規定因國家而異。 本文不將任何國家的規定延伸到其他市場。
- 變更密碼不保證能復原。 它降低暴露風險；帳號或付款能否恢復取決於服務供應商。
可複製的簡短工作表
在行動前先填寫，以免之後還得回想：
- 狀態：A / B / C
- 掃描日期與時間（若有）：
- 頁面或提示聲稱代表什麼（貨運業者、零售商、銀行、其他）：
- 它要求了什麼（密碼 / 一次性驗證碼 / 卡號 / 費用 / 應用程式安裝）：
- 你輸入了什麼（若有）：
- 受影響的帳號：
- 已變更密碼：是 / 否 — 從官方應用程式或網站操作：是 / 否
- 已啟用雙因素驗證：是 / 否
- 復原方式仍可使用：是 / 否
- 已聯絡發卡機構（若輸入卡片資料）：是 / 否
- 已通報對象（當地機關、貨運業者、零售商）：
完成後，有用的下一步是從每個受影響帳號自己的應用程式確認：密碼已變更、雙因素驗證已開啟、復原方式可正常運作，且沒有不認得的工作階段或已連結的應用程式。