基于Microsoft Threat Intelligence、APWG全球监测数据、CrowdStrike威胁情报、Barracuda邮件威胁报告及CIC-Trap4Phish学术数据集，系统研究二维码钓鱼（Quishing）攻击的技术分类、生态工业化与威胁态势演化。2026年Q1，二维码钓鱼攻击量从760万次暴增至1,870万次，季度增幅146%，被微软界定为"增速最快的攻击向量"；Q2连续三个月回落，6月降至830万次、回落至2025年中期水位（Microsoft官方口径），威胁量级虽显著收敛，但载体轮换与渠道迁移仍在继续。
二维码钓鱼（Quishing，QR Code Phishing）是攻击者将恶意URL编码于二维码图像中，诱导受害者扫描后跳转至钓鱼页面或触发恶意操作的社会工程攻击形态。随着扫码支付、扫码点餐、扫码取件成为日常生活高频场景，攻击者正将这一"便捷入口"大规模武器化。
Microsoft Threat Intelligence于2026年4月30日发布的《Email Threat Landscape: Q1 2026 Trends and Insights》报告显示，2026年第一季度共检测到约83亿次邮件钓鱼威胁。其中，二维码钓鱼攻击量从1月的760万次暴增至3月的1,870万次，季度增幅达146%，被微软明确界定为"增速最快的攻击向量"（the fastest-growing attack vector）。PDF附件是二维码钓鱼的主要投递载体，占比从1月的65%上升至3月的70%；而直接嵌入邮件正文的二维码在3月单月激增336%（约占QR攻击总量的5%），标志着攻击者曾积极测试无需附件的纯文本-图像混合投递模式——但该模式未能延续：微软2026年7月23日发布的Q2报告显示，正文嵌入QR在Q2三个月内降至接近零，二维码钓鱼几乎完全回归"附件载体"形态。Mimecast在APWG Q3 2025报告中指出，2025年第三季度单季检测到716,306个独立恶意二维码（较Q2的635,672个增长约13%），涉及1,642个不同品牌的仿冒，Walmart与DHL连续位居被仿冒品牌前列。另据Mimecast收录于APWG Q1 2025报告的数据，2024年末至2025年初互联网上每天约有270万封携带二维码的邮件在流转；APWG与Mimecast联合统计显示，2025年约12%的钓鱼攻击包含二维码；而APWG 2025年度回顾（2026年2月23日发布）援引Mimecast数据指出，利用二维码投放钓鱼站点的活动在Q4较Q3有所下降，攻击者转而启用新的基础设施与目标——该威胁形态处于持续迁移之中。Barracuda《2026 Email Threats Report》进一步发现，70%的恶意PDF文件中嵌有二维码。
二维码钓鱼已从偶发性的社会工程尝试，演进为由PhaaS（Phishing-as-a-Service）平台支撑、具备完整工具链的工业化攻击向量。Barracuda《2026 Email Threats Report》数据显示，2025年在用的钓鱼工具包（PhaaS kits）数量翻倍，90%的高容量钓鱼活动依赖这些现成工具链；除Tycoon2FA外，Mamba 2FA、Cephas、Whisper 2FA、GhostFrame、Sneaky 2FA、CoGUI等平台亦加入竞争。二维码钓鱼的工业化特征包括：
二维码钓鱼之所以在2025—2026年间呈现爆发式增长，根本原因在于其精准利用了传统安全架构的结构性盲区：
根据Microsoft Threat Intelligence、CrowdStrike及学术文献的系统梳理，当前二维码钓鱼攻击已形成六大成熟技术体系，每一类均对应特定的投递渠道、社会工程话术与防御绕过策略。
攻击者在钓鱼邮件正文中直接嵌入二维码图像，或在PDF、DOCX、HTML附件中放置二维码。Microsoft Q1 2026数据显示，PDF附件投递占比达70%，而直接嵌入邮件正文的二维码在3月激增336%。常见话术包括"多因素认证（MFA）注册通知""语音邮件提醒""账户安全警报""待签署文档"等。二维码通常指向仿冒的Microsoft 365、企业VPN或云存储登录页。值得注意的是，正文嵌入QR的"零附件"模式在Q2迅速退潮——微软Q2数据显示该投递方式三个月内降至接近零。
PDF投递 70% · 正文嵌入 +336%后归零二维码扫描后的落地页前置伪造的CAPTCHA验证页面。该设计的核心战术价值在于：自动化安全扫描爬虫无法通过CAPTCHA挑战，因此无法触及背后的真实钓鱼页面，导致URL被误判为良性。CrowdStrike《2026年全球威胁报告》（2026年2月发布，统计2025全年数据）显示，伪CAPTCHA诱饵事件较2024年激增563%。Microsoft数据显示，2026年3月此类攻击达1,190万次，创过去一年新高。Tycoon2FA平台在2025年底曾占据超过75%的CAPTCHA-gated钓鱼基础设施，到2026年3月其份额降至41%，表明该技术已被更多威胁参与者独立采纳。
CAPTCHA诱饵 +563% · 3月峰值 1,190万攻击者在真实场景中张贴的二维码上进行物理覆盖或替换。典型场景包括：停车场缴费二维码、餐厅点餐码、共享单车解锁码、快递柜取件码、公共海报/广告牌等。美国联邦贸易委员会（FTC）于2023年12月6日发布消费者警示，揭露攻击者在停车计费器、包裹投递通知、账户异常通知等场景中滥用二维码的骗局；FBI下属互联网犯罪投诉中心（IC3）亦于2022年1月发布专项预警（I-011822-PSA），提示犯罪分子篡改停车计费器及商家展示二维码以窃取资金。受害者扫描后被引导至仿冒支付页面，在缴纳"小额费用"的同时泄露姓名、地址及完整银行卡信息。
物理覆盖 · 停车缴费 · FTC/FBI预警攻击者通过微信群、朋友圈、微博、Telegram、WhatsApp等社交平台传播带有钓鱼链接的二维码图片。此类攻击往往结合"限时优惠""红包领取""免费课程""内部资料"等诱导性话术。由于社交平台的内容审核机制主要依赖文本和链接黑名单，而二维码图像的语义解析能力相对薄弱，大量恶意二维码得以在私域流量中快速扩散。Sharevski等（2024）在NDSS合办的USEC 2024（Usable Security研讨会）发表的自然场景实验研究（"Exploring phishing threats through QR codes in naturalistic settings"）表明，二维码钓鱼在真实环境中的攻击效果与传统链接钓鱼相当，但自动化检测难度显著更高。该实验中，67%的参与者未核验链接去向即打开了二维码中的链接，52%的受访者表示事前铺垫的活动情境是其扫码访问的主要原因，直观量化了预设话术对用户核验行为的抑制效应。
私域扩散 · 社交工程 · 限时诱导攻击者在PDF、Word、Excel等正式文档中嵌入二维码，利用文档的"正式性"增强欺骗效果。CIC-Trap4Phish数据集（Nejati et al., 2026，arXiv:2602.09015）将QR Code列为五大高风险附件格式之一，与Word、Excel、PDF、HTML并列。攻击者常在伪造的"401k更新通知""未付发票""信用冻结警告"等文档中嵌入二维码，诱导收件人扫描以"查看详情"或"完成验证"。2026年2月23—25日，一次大规模SVG附件钓鱼活动向53,000余家组织的120万收件人投递了包含二维码的恶意消息，涉及23个国家；2026年3月17日，另一次单一HTML附件活动向179,000家组织投递超过150万条恶意消息，涉及43个国家，最终钓鱼端点分布于Tycoon2FA、Kratos、EvilTokens等多个PhaaS平台。
正式文档伪装 · SVG/HTML载体 · 跨国投递ClickFix技术利用社会工程学诱导用户在Windows运行对话框或macOS终端中粘贴并执行恶意命令。2025—2026年，该技术呈现与二维码钓鱼的融合趋势：攻击者先通过二维码将用户引导至伪造的CAPTCHA页面，页面上的"验证"按钮实际将恶意PowerShell或shell命令静默复制到用户剪贴板，随后提示用户"按Win+R粘贴以完成验证"。HKCERT于2026年3月31日发布网络安全警示《ClickFix战术演进：同时攻击Windows与macOS用户》，披露伪造Cloudflare CAPTCHA页面诱导用户在Windows运行对话框或macOS终端粘贴执行恶意命令的攻击——其macOS变体通过curl命令投递基于Python（Nuitka编译）的Infinity Stealer窃密木马，可窃取浏览器凭据、macOS钥匙串与加密货币钱包；HKCERT在2026年8月31日发布的上半年综述中进一步记录了同年6月针对macOS的Atomic macOS Stealer（AMOS）攻击：利用系统原生工具下载并挂载DMG文件后自动执行。
跨平台 · 剪贴板劫持 · 终端命令执行一条典型的二维码钓鱼攻击链包含五个连续阶段。第一阶段为"载荷生成"，攻击者使用PhaaS平台或开源工具生成指向钓鱼域名的二维码图像，并可选择嵌入品牌Logo以增强可信度。第二阶段为"投递分发"，通过邮件附件（PDF/DOCX/HTML/SVG）、邮件正文嵌入、社交媒体或物理张贴等渠道将二维码送达受害者。第三阶段为"扫描触发"，受害者使用个人移动设备扫描二维码，由于扫码行为发生在企业安全边界之外，传统EDR和SWG无法介入。第四阶段为"中间层过滤"，受害者被引导至伪造的CAPTCHA页面，该页面阻止自动化扫描工具的同时，利用社会工程学话术（"请完成人机验证以继续"）降低用户警觉。第五阶段为"最终收割"，通过CAPTCHA后，受害者进入高仿真度的品牌仿冒登录页或支付页，输入的凭证、银行卡信息或个人信息被实时回传至攻击者控制的服务器。整个攻击链的设计哲学是：将每一个危险环节都置于企业安全栈的盲区之中。
基于Microsoft Defender Security Research Team、Trend Micro及CrowdStrike的逆向分析，二维码钓鱼攻击遵循一条精心设计的五阶段链式结构，每一阶段均针对企业安全架构的特定盲区进行优化。
2026年Q1的数据揭示了二维码钓鱼投递载体的显著演化。PDF附件的主导地位持续巩固，从1月占二维码攻击的65%上升至3月的70%，成为攻击者的首选载体。PDF之所以备受青睐，原因在于：其一，PDF作为企业日常文档格式，具有天然的"正式性"伪装；其二，PDF内嵌图像（包括二维码）不会触发传统基于可执行文件或宏代码的附件检测规则；其三，PDF可在多平台（桌面与移动）一致渲染，确保二维码的扫描可用性。
与此同时，直接嵌入邮件正文的二维码在3月单月激增336%，尽管其总体占比仍仅约5%。但微软Q2 2026报告（2026年7月23日）显示，这一"零附件"纯文本-图像混合投递模式并未延续：正文嵌入QR在Q2三个月内降至接近零，二维码钓鱼几乎完全回归附件载体形态。Q2期间投递载体还出现了PDF与DOC/DOCX的"跷跷板"轮换：PDF占比从4月的峰值79%滑落至6月的58%，而DOC/DOCX从约20%攀升至6月的40%——微软指出，这种载体轮换是过去一年来反复出现的模式，攻击者在不同格式间切换以规避针对单一格式的检测规则。此外，HTML附件（占所有恶意附件的31%）和SVG文件（占19%）作为二维码的替代载体也在持续实验。2026年3月17日，一次单一HTML附件钓鱼活动向179,000家组织的超过150万收件人投递了恶意消息（涉及43个国家），最终钓鱼端点分布于Tycoon2FA、Kratos、EvilTokens等多个PhaaS平台，充分展示了攻击基础设施的分布式特征。
2026年3月初，微软数字犯罪部门（Microsoft Digital Crimes Unit）联合行业伙伴对Tycoon2FA平台（微软追踪编号Storm-1747）的基础设施实施了协同打击行动。Microsoft的后续监测数据表明，执法行动初期"转移了威胁而非消除了威胁"（displaced the threat rather than eliminating it）：Tycoon2FA在3月的攻击量仅下降15%，且当月攻击量的三分之一集中在行动后的三天窗口期内——表明平台运营者在短暂中断后迅速恢复了部分服务；平台将域名注册大规模迁移至.ru顶级域（3月最后一周起超过41%的Tycoon2FA域名使用此后缀），并将托管服务从Cloudflare转移至提供反分析保护的其他提供商。
然而，微软2026年7月23日发布的Q2报告修正了这一判断的时效性：打击的持续性效应在Q2充分显现——Tycoon2FA关联钓鱼消息量从2025年下半年月均1,510万条的基线逐月崩塌，3月下降15%、4月再降22%、5月骤降74%至150万条、6月再降20%至120万条，即仅相当于基线的8%（累计降幅92%）；其占CAPTCHA-gated钓鱼的份额从2025年12月的76%跌至2026年6月的12%，占QR钓鱼活动的份额亦仅14%。微软特别指出，没有出现任何单一替代平台承接其客户群——这表明打击使PhaaS生态"碎裂"而非简单迁移，Q1观察到的"水床效应"在Q2并未演变为持续的威胁转移。同期，CAPTCHA-gated钓鱼总量从3月的约1,200万次下降至6月的220万次（降幅81%），QR钓鱼从1,870万次降至830万次，但攻击者随即向Microsoft Teams语音钓鱼等新渠道转移（6月末Teams恶意呼叫量达2025年中基线的近10倍），防御者仍需保持全面警惕。
以下数据综合Microsoft Threat Intelligence、APWG、Mimecast、CrowdStrike及Barracuda的多源威胁情报，呈现二维码钓鱼攻击的量化态势。全部数据均可溯源至原始发布方。
| 指标 | 数值 | 来源/时间 |
|---|---|---|
| Q1 2026邮件钓鱼威胁总量 | 约83亿次 | Microsoft TI, 2026-04-30 |
| Q2 2026邮件钓鱼威胁总量 | 约76亿次 | Microsoft TI, 2026-07-23 |
| 链接型攻击占比（Q1） | 78% | Microsoft TI, 2026-04-30 |
| 载荷型攻击占比（3月） | 13% | Microsoft TI, 2026-04-30 |
| BEC攻击总量（Q1） | 约1,070万次 | Microsoft TI, 2026-04-30 |
| 凭证钓鱼占载荷攻击比例 | 89%（1月）→94%（3月）→94–96%（Q2） | Microsoft TI, 2026-04/07 |
| 通用对话型BEC初始邮件占比 | 82—84% | Microsoft TI, 2026-04-30 |
| 指标 | 数值 | 来源/时间 |
|---|---|---|
| 1月QR钓鱼攻击量 | 760万次 | Microsoft TI, 2026-04-30 |
| 3月QR钓鱼攻击量（峰值） | 1,870万次 | Microsoft TI, 2026-04-30 |
| 6月QR钓鱼攻击量 | 830万次 | Microsoft TI, 2026-07-23 |
| Q1季度增幅 | 146% | Microsoft TI, 2026-04-30 |
| PDF载体占比 | 70%（3月）→79%（4月峰值）→58%（6月） | Microsoft TI, 2026-04/07 |
| DOC/DOCX载体占比（6月） | 40%（为2025年12月以来最高） | Microsoft TI, 2026-07-23 |
| 正文嵌入QR增幅（3月） | +336%，Q2降至接近零 | Microsoft TI, 2026-04/07 |
| 单季独立恶意QR码（Q3 2025） | 716,306个（较Q2增长约13%） | Mimecast / APWG Q3 2025 |
| 单季仿冒品牌数 | 1,642个 | Mimecast / APWG Q3 2025 |
| 指标 | 数值 | 来源/时间 |
|---|---|---|
| CAPTCHA诱饵年度增幅（2025年） | +563% | CrowdStrike 2026 Global Threat Report |
| 3月CAPTCHA-gated攻击量 | 1,190万次（环比+125%） | Microsoft TI, 2026-04-30 |
| 6月CAPTCHA-gated攻击量 | 220万次（较3月峰值-81%） | Microsoft TI, 2026-07-23 |
| Tycoon2FA占CAPTCHA基础设施份额 | >75%（2025年底）→41%（2026年3月）→12%（2026年6月） | Microsoft TI, 2026-04/07 |
| Tycoon2FA关联消息量 | 2025下半年月均1,510万条 → 2026年6月120万条（-92%） | Microsoft TI, 2026-07-23 |
| 钓鱼工具包年度增长（2025） | 数量翻倍 | Barracuda 2026 Email Threats Report |
| 高容量钓鱼活动依赖PhaaS比例 | 90% | Barracuda 2026 Email Threats Report |
| 指标 | 数值 | 来源/时间 |
|---|---|---|
| 恶意PDF文件中含二维码比例 | 70% | Barracuda 2026 Email Threats Report |
| 钓鱼占恶意邮件活动比例 | 48% | Barracuda 2026 Email Threats Report |
| 每3封邮件中恶意或垃圾邮件数量 | 1封 | Barracuda 2026 Email Threats Report |
| URL混淆在钓鱼工具包攻击中出现比例 | 约41% | Barracuda 2026 Email Threats Report |
| MFA绕过在钓鱼工具包攻击中出现比例 | 约43%（最 prevalent 的技术） | Barracuda 2026 Email Threats Report |
| CAPTCHA滥用比例 | 约34% | Barracuda 2026 Email Threats Report |
| 恶意二维码占比 | 约19% | Barracuda 2026 Email Threats Report |
| 每月至少经历一次ATO的企业比例 | 34% | Barracuda 2026 Email Threats Report |
微软2026年7月23日发布的Q2报告揭示，Tycoon2FA打击的持续性效应充分兑现：QR钓鱼连续三个月下降（4月-7%至1,740万次，5月-38%，6月-22%至830万次），回落至2025年中期水平；CAPTCHA-gated钓鱼下降81%至220万次。但攻击生态随即向新渠道迁移：Microsoft Teams钓鱼活动量逐月攀升（3月至4月+19%，6月再+10%），Teams语音钓鱼的每周恶意呼叫量到6月末已接近2025年中期基线的10倍；BEC在4月出现由少数高容量活动驱动的短促 spike（环比+121%）。同期凭证窃取仍占载荷攻击的94—96%。这一"打击—迁移—再打击"的循环表明：单点基础设施打击能够有效压缩特定攻击向量，但凭证钓鱼这一根本驱动力未变，防御重心必须同步覆盖邮件之外的新兴渠道。
从二维码的诞生到2026年全球执法打击行动，二维码钓鱼的演进史折射出数字社会"便捷性"与"安全性"之间的恒久张力。
日本电装（Denso Wave）工程师原昌宏（Masahiro Hara）团队为制造业高速扫码需求发明QR码，其快速读取与大容量特性日后成为移动支付时代的基础设施。
QR码符号规范被采纳为ISO/IEC 18004国际标准（首个版本）；2024年8月发布第四版（ISO/IEC 18004:2024）。需指出的是，现行标准仅规范符号结构与编码规则，不包含任何身份认证机制。
Vidas、Christin与Cranor在Financial Cryptography 2013（USEC Workshop）发表"QRishing"，首次系统测量智能手机用户对二维码钓鱼的易感性，开创了QR钓鱼人因安全研究方向。
FBI IC3于1月18日发布公众服务公告（I-011822-PSA），警示犯罪分子篡改停车计费器等公共场所二维码窃取资金；同年8月Tycoon2FA出现，并迅速演进为最主流的AiTM钓鱼PhaaS平台之一。
FTC于2023年12月发布专项消费者警示；PhaaS生态加速工业化（Barracuda记录2025年在用钓鱼工具包数量翻倍）；伪CAPTCHA成为钓鱼落地页标准中间层（CrowdStrike记录2025年伪CAPTCHA诱饵事件激增563%）；Mimecast数据显示2025年Q3单季独立恶意二维码达716,306个。
QR钓鱼月攻击量于3月达到1,870万次峰值，被微软界定为"增速最快的攻击向量"；3月初微软DCU联合行业伙伴对Tycoon2FA（Storm-1747）基础设施实施协同打击。
Tycoon2FA关联消息量较2025年下半年基线下降92%；QR钓鱼连续三个月回落至830万次；攻击者加速向Microsoft Teams语音钓鱼等新渠道迁移——"打击—迁移—再打击"的循环仍在继续。