掃描 QR Code 或短網址前怎麼驗證？避免誤入假網站的檢查步驟

QR Code 很方便：相機一掃就能開頁面，短網址也能讓訊息看起來乾淨。但兩者都只是把目的地藏在較短的形式裡，不能自己證明來源官方、內容安全或活動真實。當掃碼後直接跳出登入、輸入驗證碼、下載 App 或付款要求時，最重要的動作不是趕快完成，而是先停在資料送出之前，確認你到底被帶到了哪個網域。

這篇提供的是核對順序：先辨識來源，再看跳轉後的網址，最後才決定要不要做帳戶操作。它不會承諾看幾個欄位就能排除所有風險，也不會把陌生 QR Code 一律說成詐騙。好的判斷是知道何時資訊不足，然後回到自己已確認的官方入口重新開始。

QR Code 只是一段連結，不是一張官方證明

海報、聊天群組、社群貼文、朋友轉傳的截圖，都可能附上一個看起來精美的 QR Code。掃描前先問兩件事：這張碼是誰放的？我原本預期它會帶我去哪裡？例如你在官方網站首頁看到活動入口，再掃同一頁提供的碼，和在陌生私訊裡收到「帳戶異常請立即掃描」的情境完全不同。來源不明時，最簡單的替代路徑是不要掃，直接手動開啟自己已知的網站首頁尋找資訊。

短網址展開後，要看的是最終落地網域

短網址服務的設計，就是把很長的網址縮短，因此你在點擊前可能看不出它真正會導向何處。有些短連結會經過一次或多次跳轉，最後才到登入頁、下載頁或活動頁。重點不在於短網址本身是不是「壞的」，而是它不該取代網域核對。打開後先看瀏覽器最終顯示的完整網域，再比對是否為你平常使用的官方網址；若名稱只差一個字、附帶不熟悉字串，或頁面內容和原訊息宣稱不同，就不要輸入任何帳戶資料。

不要只看網頁上方的品牌 Logo。名稱、顏色和按鈕都能被模仿，真正應核對的是網址列和你原本認得的登入方式。手機螢幕較小時，可以點開網址列看完整內容；看不清楚時，先複製或記下網域，然後從另一個已知入口比較。無法比對不是你做錯，而是資訊不足，這時停止操作最合理。

出現這些要求時，先關掉頁面再回頭核對

掃碼或點短網址後，如果頁面立刻要求完整密碼、簡訊驗證碼、付款資料，或催促下載檔案，先不要因為畫面寫著「限時」就照做。關閉頁面後，打開你平常使用的官方網站或 App，從那裡查是否真的有相同活動、通知或登入需求。若官方入口找不到對應內容，不要用 QR Code 回頭再試；可以保存原訊息、掃碼時間和跳轉網址，必要時由正式客服管道詢問。

同樣地，任何要求你把驗證碼讀給客服、貼到聊天視窗或輸入到另一個網站的流程，都應停下來再確認。驗證碼通常用來證明你正在登入或變更某項設定，不適合由陌生人代為收取。各平台的驗證流程不盡相同，但「從自己啟動的官方入口完成」是一個可重複使用的原則。

已經掃了或點了，接下來不用猜測

只打開頁面、沒有輸入資料時，先關閉頁面並記錄看到的網域即可；不需要因為單次點擊就恐慌地重設所有帳戶。若你曾輸入帳號、密碼或驗證碼，則應改用可信任的裝置和連線，從已知官方入口查看帳戶安全提示或依服務說明處理。若頁面下載了檔案或要求安裝應用程式，不要繼續開啟檔案；保留檔名、網址和時間，並依裝置的安全檢查程序確認。

把官方入口保留在自己手上

最省時間的做法不是記住每一種假連結，而是建立一個你自己能重複使用的入口：官方首頁書籤、已確認的 App，或網站內既有的支援頁。看到活動、帳戶提醒或客服訊息時，先從這個入口查有沒有相同內容。若訊息真的是正式通知，通常能在帳戶內找到相對應資訊；若找不到，也至少避免你在陌生頁面交出資料。

從網址細節判斷時，不要只比對前半段

網域常見的誤導方式，不是把名稱完全換掉，而是在熟悉名稱前後多加字母、連字號、數字或另一層子網域。手機上只看到一小段網址時，更容易誤把前面出現的品牌字當成真正主網域。你不需要背所有網域規則，只要養成一個動作：在輸入帳密前把網址列展開，確認最主要的網域是否和自己平常使用的官方入口一致；看不懂就退出，不必硬做判斷。

有些 QR Code 會先開啟內建瀏覽器，例如社群 App、通訊軟體或購物 App 裡的視窗。這類視窗的網址顯示可能較簡略，下載、登入或跳轉的提示也和你平常使用的瀏覽器不同。遇到帳戶操作時，可以先關掉內建視窗，再用自己的瀏覽器手動進入官方首頁。這不是因為所有內建瀏覽器都不可信，而是它能讓你更清楚看到自己實際進入哪個網站。

掃碼後若頁面要求允許通知、取得相機、讀取剪貼簿或開啟其他應用程式，也要把「頁面能要求」和「現在需要同意」分開。看不出權限和目前任務有什麼關係時，先拒絕或關閉，再回到官方網站找相同功能。必要權限會隨服務與功能不同，沒有人可以替你預先保證某個要求一定合理。

短網址有時會被用在正式行銷、簡訊或活動追蹤中，因此不能只因為網址很短就認定有問題。差別在於，你是否能從另一條獨立來源確認它的目的地。例如官方首頁公告同時列出同一活動、已登入帳戶內有相同通知、或你可由正式客服核對到活動名稱。只有短連結本身而沒有第二個可驗證的來源時，別把它當作帳戶登入的起點。

若你需要向客服詢問某個 QR Code 或連結，描述時請提供來源位置、收到日期、跳轉後網址與看到的頁面文字，不要只傳一張模糊的碼。客服能否確認會依當時活動和支援範圍而異，但完整的上下文比「這個能不能掃」更有助於對方判讀。同時，回覆仍應在你主動找到的正式通道內進行。

紙本 QR Code 還有一個特別的限制：你看不出它是否曾被人用貼紙覆蓋。看到邊緣翹起、印刷不一致、旁邊又多了催促性文字時，不需要當場拆除或判定真偽，只要不要掃描，改以場所公告、品牌官網或服務台能提供的正式資訊為準。把可疑實體碼拍下來，應留給場所管理者處理。

有些短網址會在分享後失效、改變目的地或根據裝置導向不同頁面，所以你昨天確認過的連結，不代表今天仍應直接使用。要登入或更改帳戶資料時，別把舊聊天紀錄裡的連結當長期入口；重新由官方首頁進入，多花的時間通常比處理錯誤跳轉少得多。

看到網址中出現一串追蹤參數時，不必只因為字很長就判定有問題。參數可能用於活動辨識、語言或來源記錄，真正先要看的仍是主網域是否正確。反過來說，網址看起來很短很乾淨，也不能免除核對。把主網域、來源與頁面要求一起看，比只憑網址長短做結論更可靠。

使用電腦掃桌上的 QR Code 時，還要留意掃碼工具是否會自動開啟連結。有些工具能先顯示文字內容或讓你複製目的地，這能增加一個確認網址的停點；若工具直接跳轉，也可以先關閉頁面，再在一般瀏覽器中手動確認官方入口，而不是在跳轉頁繼續操作。

如果 QR Code 宣稱是領取優惠、補件或客服專用入口，應先到官方網站找該活動的完整條件與適用範圍。真正存在的活動也可能有時間、帳戶資格或地區限制，找不到對應公告時不要自行推論。以原頁的規則為準，比掃描後的促銷文字更能說明你是否需要採取行動。

養成先看網域再操作的順序，能讓每一次掃碼都多一個停下來核對的機會。

連結再方便，也不應取代你親自確認入口的習慣。

常見問題

相機預覽顯示 https 網址，是否就能直接登入？

https 代表連線有加密，不能單獨證明網域就是你要找的服務。仍要核對完整網址、來源和頁面要求，尤其不要因為看見鎖頭圖示就略過帳密與驗證碼的保護。

短網址是朋友傳的，應該可以放心點嗎？

朋友轉傳不等於他確認過原始連結，帳號也可能遭到冒用。先問清楚連結來源，並把它和你平常使用的官方入口比對；涉及登入或個資時，不要把熟人轉傳當成唯一依據。

掃到可疑碼後，刪除聊天紀錄就好嗎？

先保留能幫助核對的資訊，例如帳號名稱、訊息時間、網域與頁面截圖；處理完再刪除不需要的內容。若你已送出資料，這些線索也能讓正式支援較快理解你遇到的情況。

延伸閱讀

• 線上娛樂常見詐騙情境與停損原則
• 假 App 與假客服：辨識入口與對話要求
• 帳密與裝置安全的基本檢查表