亚洲二维码支付诈骗：六个市场给网店卖家的启示

在亚洲，二维码已经成为即时付款的默认方式，也因此成为诈骗分子最青睐的目标之一。2019 年至 2026 年间，新加坡、马来西亚、泰国、菲律宾、香港和印度的警方与监管机构反复描述了同样四种手法：替换或覆盖原有二维码、假支付页面、让以为自己在“收款”的人反而付款，以及用来迅速转移资金的过账账户。对在这些市场做网店的商家来说，结论很直接：最薄弱的环节，是买家看到二维码并确认付款的那一刻，而这一刻就发生在商家自己的页面上。

为什么即时支付二维码会成为目标

新加坡的 PayNow 与 SGQR、马来西亚的 DuitNow、泰国的 PromptPay、菲律宾的 QR Ph、香港的 FPS（转数快）和印度的 UPI，与巴西的即时支付系统 Pix 逻辑相同：付款人扫码，在银行或电子钱包 App 中核对金额，然后授权转账。钱即时到账，中间没有刷卡机、卡组织，也没有简单的退单机制。

这种简便正是这些系统的优势，也是诈骗分子利用的地方。谁控制了二维码，谁就决定了钱的去向。而且由于转账是付款人自己授权的，被转走的款项在银行看来只是一笔正常交易。

反复出现的四种手法

1. 替换或覆盖二维码：这是被提及最多的手法。2023 年 5 月，新加坡网络安全局（CSA）与新加坡警察部队（SPF）联合提醒：商家的付款二维码可能被篡改，使款项流向骗子，并呼吁公众留意贴在原码上的二维码。据菲律宾媒体报道，菲律宾央行（BSP）官员在 2026 年 4 月再次发出类似提醒，特别提到覆盖在商家二维码上的贴纸。2026 年 7 月，菲律宾国家警察（PNP）把视线从实体柜台延伸到网上：描述了卖家收款二维码被替换的情况，并宣布与信息通信技术部（DICT）和贸易工业部（DTI）合作，追查散布假二维码的人，尤其是在网购平台上。

2. 假支付页面：二维码也可能把人带到冒充银行、商店或支付网关的网站。2026 年 9 月，马来西亚警方商业犯罪调查部主任 Rusdi Mohd Isa 列出的现行手法中，就包括假支付网关，以及把款项转入犯罪集团账户的假付款二维码。菲律宾央行建议：打开链接前先预览网址，不要在扫码进入的网页上输入金融资料。

3. 说是“收款”，其实是付款：这种手法针对的是卖家。骗子假扮买家，说要付款，然后发来二维码或链接让卖家“收款”。卖家一扫码、一授权，付钱的反而是自己。马来西亚警方正是这样描述针对网店卖家的骗局，并强调使用 DuitNow QR 收款时，收款人只需出示自己的二维码。印度储备银行（RBI）在 2022 年提醒：收款从不需要扫码或输入 PIN，骗子会滥用 UPI 的“收款请求”功能，发送要求输入 PIN 才能“收款”的信息。在泰国，泰国公共电视台（Thai PBS）根据警方建议总结得很简单：谁扫码，谁付钱。

4. 过账账户（人头账户）：没有一个用来收钱并迅速转走的账户，这些骗局都无法得逞。因此各市场都在加强付款前的查询机制。马来西亚警方设有 SemakMule 平台，可查询银行账户、电话号码和公司名称。香港金融管理局（HKMA）于 2023 年 11 月推出基于警方“防骗视伏器”（Scameter）的转数快可疑账户提示：44 家银行和储值支付工具营运商会在收款人的识别代号（电话、电邮或 FPS 识别码）被列为高风险时提醒用户。

当局的共同建议

各地建议集中在几点：

• 确认前核对收款人姓名和金额（新加坡、香港、泰国）。
• 对通过信息、社交媒体或来历不明的二维码保持警惕（新加坡、马来西亚、菲律宾）。
• 收款时绝不扫码，也不输入 PIN、密码或一次性验证码（马来西亚、印度、泰国）。
• 检查实体二维码，看是否有贴纸覆盖原码（新加坡、菲律宾）。
• 机构层面，香港早在 2019 年回复立法会时就指出，银行和储值支付工具应核实二维码是否真实有效，并在付款前显示收款人名称。

可以看到，几乎所有建议都依赖买家自己去核对。这有帮助，但当替换做得足够逼真时，就不够了。

与巴西 Pix 的对照：替换发生在结账页

在巴西，同样的思路已经从贴纸转移到了网站上。2026 年 9 月，卡巴斯基（Kaspersky）披露了一场攻击活动：当顾客在正规网店的结账页选择 Pix 付款时，恶意代码会替换 Pix 二维码和“复制粘贴”付款码。研究人员发现 90 家中小网店受影响，共同点是使用缺乏维护的 Magento 平台；该活动自 2025 年 6 月起持续。商家后台显示订单被放弃或待付款，顾客往往几天后才发现，而钱早已经过人头账户转走，使通过巴西央行特别退款机制（MED）追回变得更难。可参阅 Pix 结账保护 页面了解这种攻击。

同样的代码完全可以用来替换 PayNow、DuitNow 或 UPI 的二维码，菲律宾警方已经提到网店卖家的二维码被替换。区别在于，网店里没人能去“找贴纸”：假二维码就在页面上生成，金额正确，外观一模一样。

在这些市场销售的商家自查清单

1. 每笔订单生成动态二维码，带金额和订单参考号，不要重复使用固定二维码。
2. 在页面上显示买家 App 中会出现的正式收款名称，并提醒买家确认前核对。
3. 自动对账，把每笔付款与订单匹配，并对长时间“待付款”的订单设置提醒。
4. 精简结账页：减少插件和第三方脚本，及时更新平台和扩展，后台登录启用双重验证。
5. 监控线上真实的付款页面，以买家看到的样子为准，而不只是服务器上的代码。
6. 告知员工和顾客：商店绝不会要求任何人扫码或输入 PIN 来领取退款。
7. 善用当地查询与举报渠道，例如马来西亚的 SemakMule 和 997 热线、香港的防骗视伏器，并尽快报案。
8. 把“已付款但订单未确认”的投诉视为可能的替换信号，而不只是延迟。

在这些市场里，骗局都在同一刻得手：买家看到二维码并授权的那一刻。Proteside 在商家页面上守住这一刻：在买家浏览器中核对显示的二维码和复制的付款码（PayNow/SGQR、DuitNow、PromptPay、QR Ph、FPS、UPI 或 Pix）是否与商家发出的完全一致，在确认付款前拦截替换，并通知您。欢迎免费试用 14 天。