前几天，有位读者私信我，说他总怀疑手机被“监听”了——聊什么，App就推什么。我第一反应是问他：最近有没有扫过陌生二维码，或点过什么不明链接？

他想了半天，提到一件事：公司楼下的自动贩卖机，他几乎每天扫码买水。之前看过相关新闻，他有点后怕：“会不会是那台机器的问题？”

说实话，如果对反窃听、反窃密领域不太熟悉，可能觉得“自动贩卖机和隐私泄露”八竿子打不着。但这件事，还真不是杞人忧天。

从一台贩卖机说起：40台里有37台违规

其实自动贩卖机过度收集个人信息，早不是新鲜事。但最近又被推上风口浪尖，是因为上海某高校的一位老师，在学校贩卖机上买面包时，发现支付前必须授权手机号，否则直接退回首页，根本买不了。

他觉得不对劲，带着七名学生，对校园内外45台自动贩卖机做了个小范围调查。结果令人吃惊：其中40台存在过度收集隐私的情况——比例接近九成。

这件事被报道后，很多人这才意识到，原来买瓶水、买包零食，背后藏着这么多“隐形授权”。

贩卖机到底在“拿”你什么？

结合我自己用过的经历，以及公开报道，这类设备通常会在你扫码后，用“不授权不服务”的方式，强行获取三类信息：

第一，基础联系信息。
最常见的就是索要手机号码，有些还会要求绑定微信或支付宝的公开信息。名义上是“方便接收取货码”或“推送优惠”，但实则一旦手机号被关联到消费习惯、地理位置，就形成了精准的用户画像。更糟糕的是，这些数据如果存储不当，就可能成为下一轮数据泄露的源头。

第二，藏在长篇协议里的“暗门”。
几乎所有贩卖机小程序都会弹出一份《隐私协议》，但字数动辄上万，字体小、条款绕，很少有人真正点开看过。而一些关键条款——比如“同意将信息共享给第三方合作伙伴”——就藏在不显眼的位置。你点了“同意”，其实是稀里糊涂地开了门。

第三，生物识别信息。
刷脸支付在贩卖机上越来越普及。虽然方便，但人脸属于不可更改的生物特征。一旦被非法采集或盗用，远比密码泄露更麻烦——密码能改，脸换不了。虽然正规支付渠道有安全认证，但部分设备供应商的安全能力参差不齐，数据存储和传输环节存在隐患。

扫个码，手机就被窃听？可能性有多大

回到读者最关心的问题：扫自动贩卖机的二维码，到底会不会导致手机被窃听？

直接说结论：扫描正规商家的二维码本身，几乎不可能直接植入窃听软件。 因为二维码只是个入口，跳转的是合法小程序或支付页面，窃听代码无法通过这种方式“注入”手机系统。商家如果真的内置窃听功能，溯源起来非常容易，风险远大于收益，没人会这么干。

但有两种情况，需要警惕：

一是“冒牌二维码”。
有些不法分子会在贩卖机屏幕旁，偷偷贴一张自己的二维码，大小、颜色做得和原版非常像。你一扫，可能跳转到钓鱼网站，诱导你下载某个“清理工具”或“优惠领取”App，而这些App可能夹带窃听或后台录音的恶意模块。这种案例在各地反诈通报中并不少见。

二是贩卖机本身的联网漏洞。
自动贩卖机本质上是台联网设备，如果它的系统防护薄弱，黑客可能通过漏洞入侵后台，盗取已存储的消费者信息——包括手机号、支付记录，甚至部分人脸数据。这属于“间接泄露”，不是扫码瞬间发生的，但风险同样存在。

日常使用，记住两个动作就够了

说实话，我们不可能完全不用自动贩卖机。但做好下面两件事，风险能降一大半：

第一，扫码前多看一眼。
付款前用手指摸一摸二维码贴纸，看是不是正规印刷的，有没有覆盖、歪斜或重贴的痕迹。尽量用机器自带的屏幕扫码，而不是墙上或旁边额外贴的码。

第二，授权时留个心眼。
弹出授权请求时，先别急着点“允许”。如果只需要买瓶水，却要求“读取通讯录”或“访问麦克风”，这本身就不合理。另外，花十几秒扫一眼隐私协议中加粗或高亮的条款，重点看“信息共享”和“存储期限”两部分。

自动贩卖机的便利性无需否认，但便利不该以隐私为代价。下次再扫码时，多停顿三秒钟，也许就能避免一次不必要的风险。