法治在线丨公共二维码变涉黄码、诈骗码 该如何防范和管理

　　拿起手机扫一扫身边的二维码早已是我们生活中习以为常的动作。但一段时间来，多地网民反映，自己在扫一些公共二维码时，手机页面竟跳转至涉黄和电诈网站。小小的“二维码”为何变成了“涉黄码”甚至“诈骗码”的入口？我们该如何加以防范和管理？记者就此展开了调查。

　　网友扫描公共二维码

　　竟跳转至涉黄网站

　　今年3月30日，有网友发帖反映，自己在苏州上方山森林公园游玩时，扫码了园区接驳车上的一个二维码，没想到页面竟弹出不堪入目的涉黄内容。从网友配发的图片上可以看到，涉事二维码就贴在接驳车前挡风玻璃的左下角，车身上方还贴有“工作用车”字样。记者随即联系了公园管理方。

　　上方山森林公园工作人员：那个接驳车是我们内部的工作用车，已经买了很久了，二维码很久没用，失效了，然后被黄色网站盗用了。现在二维码已经全部清除掉了。

　　工作人员表示，涉事车辆上的二维码是“失效后被盗用”。

　　无独有偶，今年2月底，北京也有网友截图反映，自己在扫描街边一个公共设施上的二维码时，页面跳转到了涉黄网站。

　　记者后来对网友反映的公共设施上的二维码进行了实地扫描，手机屏幕上并没有发生页面跳转至涉黄网站的现象，只显示“无法打开页面”。不过屏幕上方显示出的固定域名“city.cygfss.com”，与此前网友提供的涉黄网站截图里的域名完全一致。

　　记者通过域名查询工具搜索发现，该域名曾通过北京的ICP备案，不过记者注意到，它的备案有效期截止到今年2月27日。而就在这个日期之后，有网友反映出现了扫码跳转至涉黄网站的情况。

　　记者注意到，该域名的备案主体为北京金风智观科技有限公司。为了了解二维码失效跳转的相关情况，记者电话联系了该公司。

　　在听到记者身份后，工作人员没有作出任何解释便挂断了电话。此后记者多次拨打，均无人接听。记者又按照公司的2个工商注册地址逐一探访，发现其中一个地址位于朝阳区一栋写字楼的共享办公场所，工作人员称从未听说过该公司。

　　位于某工业园区的另一个注册地址，记者到访时大门紧闭，人去楼空。墙上的企业名单里也并没有找到该公司的名字。

　　工业园区管理人员：它可能是云享客的客户，原来我们在4层有一个众创空间 ，相当于是租工位的一个客户，但是已经到期，不在这里了。

　　联络该公司无果后，记者通过北京12345平台，反映二维码失效和跳转涉黄网站等相关问题，几天后得到朝阳区城市管理委员会的电话回复。

　　朝阳区城市管理委员会工作人员：网络跳转涉黄网站的问题已经被阻断了，但是详细信息因为涉及案件侦办，所以这边没办法第一时间给您提供，我们现在还在处置当中，处置完成后，后续会抓紧恢复相关设备设施的使用功能的。

　　记者梳理发现，近段时间以来，多地网友都曾反映扫描二维码跳转非法网站的情况。不仅仅是公共设施上的二维码，包括儿童识字卡、玩具包装盒，甚至是小学美术练习本封底上的二维码，都出现过网页被恶意篡改，并跳转到涉黄或电诈网站的情况。

　　二维码“跳转”背后的技术真相

　　从景区到城市街头，从玩具包装到公共设施，这些看似普通的二维码究竟是如何变成非法网站的“入口”？这背后到底存在怎样的技术漏洞？一起来看网络安全专家的解析。

　　专家指出，二维码之所以会“失效”，根源并不在二维码本身，而在于它背后所指向的域名。

　　奇安信网络安全专家 裴智勇：二维码本质上是一个图形化的数字，我们扫码的时候，实际上就是通过一个专业的解码器把黑白点翻译成一串字符，字符和网址是一样的，它就可以打开网址，我们用浏览器打开一个网站时，上面的网址就称为一个域名。

　　专家介绍，由于二维码本身不具备安全防护功能，真正被攻击的其实也是它背后的域名。

　　目前，国内个人或商业机构想要注册网站，都需要向正规的域名注册商申请域名采购。一次性申购域名的价格，根据域名的字母组合是否简洁好记而价格不同，但通常都在几千元到上万元不等。

　　奇安信网络安全专家 裴智勇：一个域名在有效期间，服务商会持续向域名注册商进行付费。当服务终止之后，为了减少成本，服务商不会继续向域名注册商付费。域名注册商就会回收这个域名，再投放到市场当中。这就给一些坏人留出了一些机会，他们会专门盯着某些比如政府、大企业曾经注册过的域名。

　　专家强调，扫描二维码却跳转至涉黄网站，最常见的原因就是域名的原注册个人或机构停止续费导致域名被回收后，又被非法网站恶意抢注。

　　不法分子利用公众对公共二维码的信任，将失效二维码篡改为非法网站的引流入口，涉黄网站只是其中一种表现形式；这些城市街头随处可见的二维码还可能成为电信诈骗和信息窃取的“入口”。

　　记者实地扫码测试

　　结果各有差异

　　公共设施上的二维码是各地推行城市智慧管理的一项便民举措。路灯、公交站牌、邮筒……这些街头设施贴上独立的二维码铭牌，原本是为了让市民随手一扫就能了解设施信息或快捷投诉报修。记者近期就对街头的二维码进行了一次实地扫码测试。

　　工作日的白天，记者随机走访了北京市内多条街道。位于通州区四员厅街的社区健身器械上，在“扫码报修”的字样旁贴有一个二维码，记者扫码后随即跳出了一键报修登记页面。

　　在通州区的西海子公园里，路旁种植的植物前立有一块解说铭牌，记者扫描铭牌上的二维码，弹出“生态科普”界面，里面详细介绍了这株观赏植物的相关知识，了解起来十分方便。

　　不过，记者在走访测试中也发现，并不是所有的二维码都完好有用，很多出现了扫码失效的情况。

　　在通州区北苑路，记者对这里路灯上的二维码进行扫码后，结果却显示“网络出错，无法显示该页面”。

　　类似的情况也出现在西城区阜成门外大街，记者扫码路灯电箱及公交站台的设施铭牌二维码后，均无法正常跳转。

　　在丰台区北京西站附近，记者扫描路边邮筒上的二维码，页面长时间卡顿无法跳转。位于朝阳区的金桐西路和三里屯等商业街区。记者沿途扫了当地二十多个公共设施上的二维码，结果依然是“无法打开网页”。更有部分二维码已模糊不清，被人为涂抹划伤，无法识别。

　　专家：莫让“数字烂尾”留下安全漏洞

　　对于记者扫码发现部分街头二维码失效的情况，有业内专家表示，公共服务设施二维码的失效背后，折射出城市精细化管理中存在急需补齐的安全短板。

　　专家表示，政府、企业等提供公共服务设施铭牌二维码扫码服务是城市公共服务创新之举，初衷是为了增强公共服务的便利性，值得鼓励推广。出现“扫码涉黄”问题的根源在于推进公共服务数字化过程中存在的“重建设，轻管理”问题。

　　工业和信息化部信息通信经济专家委员会委员 刘兴亮：简单的一个码可以理解为这是城市基础设施的一个入口，对很多城市来说，数字化进程很快，建设的时候愿意花大力气，但背后的管理没有那么重视，重建设、轻管理，重硬件、轻软件，重链接、轻安全。项目可能三年五年完了，但码没有再重新印刷，一直在那儿，后面就没人管了。如果跳转的最终网站被人修改、劫持，很容易出问题。

　　专家指出，政府单位或企业除了要考虑域名上线使用期间的安全性，还应在提供服务的初期就考虑到当服务停止以后的二维码和域名的回收问题。

　　奇安信网络安全专家 裴智勇：政府部门这个举措本身是便民的，但是从安全的角度来说，应该一开始要考虑它的软硬件回收问题。所有投放出去的二维码在一开始就要制定好它的回收销毁计划，我们叫全生命周期的安全管理规范，从研发阶段到投入阶段、运营阶段、回收阶段，都应该具备完备的安全防护措施。

　　工业和信息化部信息通信经济专家委员会委员 刘兴亮：总之，政府对于二维码这样的数字基础设施管理，它不是一次性的，它是长期的工作，要重视好后续的运营。

　　来源：央视新闻客户端