要核实的是你正在授权的操作，而不只是二维码的外观。
一条消息称，你必须扫描二维码才能加入私人群组，或保持账户正常使用。然而，接下来的屏幕却要求关联设备。这是两种不同的操作。先别批准：真实的账户关联机制，也可能被用于欺骗。
端到端加密保护参与通信的端点之间的消息，但它无法判断，你是否真的想添加那台正在接收消息的设备。本指南介绍如何区分网页链接、设备关联请求与联系人验证二维码，以及已经采取操作后该检查什么。
两种不同的二维码陷阱
假冒网站： 二维码打开一个模仿熟悉服务的页面，要求你输入密码或其他敏感信息。美国联邦贸易委员会（FTC）提醒用户警惕意外收到的消息中的二维码，建议检查目标地址，并通过已知渠道联系所谓的发送者，而不是照着消息操作。熟悉的标志不能证明页面由谁运营。FTC 关于二维码骗局的建议。
非预期的关联设备： 攻击者诱使你把他们的电脑或其他设备连接到你的通信账户。这可能是在滥用合法功能，而不是破解加密。Google Threat Intelligence 记录过伪装成群组邀请和安全通知的 Signal 设备关联攻击。在这些已观察到的攻击中，成功关联会让后续消息到达攻击者控制的设备。Google 对设备关联钓鱼的调查。
这个区别很重要。修改密码不能替代检查已关联设备。同样，仅仅把摄像头对准二维码，也不能证明账户已被接管。请确认打开了哪个页面、提供了哪些信息，以及批准了什么操作。
外观相似的三种二维码，三种不同用途
| 二维码或屏幕 | 预期用途 | 继续前要问的问题 |
|---|---|---|
| 网站二维码 | 打开一个地址 | 这是否是我独立确认过的预期目标地址？ |
| 设备关联二维码 | 授权另一台设备 | 这是我的设备吗？是我主动发起关联的吗？ |
| 联系人验证二维码 | 比较加密身份信息 | 我是否位于联系人验证界面，并在与正确的人进行比较？ |
例如，Signal 的文档说明了专门的设备关联流程，需要使用已关联设备设置和应用内摄像头。其当前说明还包含是否传输消息历史记录的选择。这与检查联系人的安全号码并不是同一件事。Signal 的已关联设备说明。
Signal 的安全号码文档介绍了比较号码或扫描联系人的验证二维码，最好当面进行。这种比较有助于验证会话的加密身份，并不是让你授权一台新电脑访问账户。它也不能独立证明某个人在现实世界中的身份。应以实际界面的用途为准，而不是发送者对它的描述。Signal 对安全号码的解释。
实际示例：邀请的含义悄悄变了
设想这样一个虚构情境：米娜收到一条看似来自同事的消息：“项目群换地方了，扫描这个重新加入。”页面看起来很精致，却要求她打开通信应用的设备关联扫描器。
米娜发现了不一致之处：她想加入的是一段对话，而不是连接另一台电脑。她取消操作，自己打开平时使用的联系人条目，通过另一条可信渠道向同事核实。她没有使用可疑页面提供的电话号码。
这个例子体现了一条实用的判断原则： 如果应用请求的权限比你打算完成的任务更广，或根本是另一回事，就停下来。 熟悉的发送者账户并不足以让人放心，因为账户可能被冒充或盗用。单凭一个看起来可信的网址，也不能解释为什么一台非预期设备需要获得访问权限。
批准前的简短检查清单
- 明确你要做什么。 你是要打开页面、加入群组、验证联系人，还是关联自己的电脑？
- 自行进入操作入口。 管理账户时，打开已安装的应用或自己已知的目标地址，不要听从不请自来的消息中的指令。
- 阅读应用提示。 把设备关联、账户恢复和输入凭据视为不同的决定。取消与目标任务不符的请求。
- 确认另一台设备。 只关联你原本就打算使用并能控制的设备。一个亲切的设备名称不能证明设备归属。
- 不要在聊天中发送秘密。 不要把密码、注册验证码或恢复密钥发给声称要帮助你的人。
- 使用最新软件。 更新和内置警告很重要，但不能让一项意外出现的授权请求因此变得可信。
Signal 自己的反钓鱼指南建议独立核实、保护验证码，并谨慎对待意外请求。它还区分了只能查看的官方公告与会互动的冒牌客服。这些是 Signal 的具体情况，并不代表所有通信应用的支持体系都一样。Signal 关于钓鱼与冒充行为的指南。
如果你已经扫描或批准
从实际发生的操作出发：
- 只打开了一个页面： 关闭它，停止交互。检查你是否输入过信息、下载过东西，或批准过应用操作。不要仅凭扫描就断定已遭入侵或一定安全。
- 输入了凭据或分享了验证码： 使用可信设备，按照服务的官方恢复说明处理。更改已暴露的密码，检查账户访问情况；对于重复使用的密码，要另行处理。
- 关联了陌生设备： 打开应用实际提供的设备或会话列表，移除不需要的连接。不要以为删除诈骗消息就会撤销访问权限。
- 安装了软件或授予了异常权限： 另行调查这些操作。撤销账户会话本身并不会删除手机上的恶意软件。
具体到 Signal，其保护指南建议检查已关联设备、移除不认识的条目；如果无法确定，则移除列表中的所有设备。其解除关联说明介绍了如何从主手机撤销设备访问权限。其他服务可能使用不同的控制方式。Signal 的账户保护指南、Signal 的解除设备关联说明。
撤销权限无法取回已经复制到别处的信息。暴露范围取决于服务、授予的权限、是否选择传输历史记录，以及访问持续了多久，而不是一条“所有聊天都会暴露”的通用规则。如果敏感对话可能已经泄露，请通过可信渠道提醒受影响的人，并遵循相关的事件报告流程。
评估 Livara 或其他通信应用时该检查什么
询问新设备如何获得授权、在哪里查看活跃会话、怎样撤销访问权限，以及历史记录是否单独传输。应查阅当前产品文档，而不是假设一个加密标识就回答了这些问题。本文并未证实 Livara 使用二维码登录或某种特定的设备关联流程。
实用结论很简单：核实 你正在授权的操作 ，而不只是二维码的外观。
