رمز QR لا يمكنه الفشل في فحص DMARC، وهذا بالضبط السبب الذي يحب المحتالون ذلك

الدفاع عن البريد الإلكتروني ليس آلة واحدة. إنه على الأقل آلتان، وتجيبان على أسئلة مختلفة. الأولى تسأل: من كان مصرحاً له بإرسال بريد باستخدام اسم المجال هذا. الثانية تسأل: هل محتوى الرسالة خطير. رمز QR يمر عبر الأولى بالتصميم، وما إذا كان يمر عبر الثانية يعتمد على أي منتج يقرأ بريدك.

ابدأ بالآلة الأولى، لأنها الآلة التي يسيء الناس تسميتها. SPF يتحقق ما إذا كان خادم الإرسال مصرحاً له بالإرسال لمجال ما. DKIM يتحقق من توقيع تشفيري على الرسالة. DMARC يتطلب أن يتطابق أحد هذه المعرفات المصرح بها مع المجال في رأس From: المرئي، ويسمح لمالك المجال بنشر تفضيل بشأن ما يجب أن يحدث عند فشل هذا التطابق. المواصفة الحالية، RFC 9989، صريحة في أنها تفضيل وليست أمر: "معاملة أي رسالة نهائياً هي دائماً مسألة سياسة محلية وتُترك لتقدير جهة استقبال البريد."

الآن الجزء المهم لرموز QR. نفس المواصفة تسرد ما هو متعمد خارج نطاقها، وفي تلك القائمة، في كلمتين، توجد "تحليل المحتوى". لم يُبنَ DMARC أبداً لقراءة الروابط، ولم يتعرض للتدهور بسبب الصور. ليس لديه رأي حول جسم الرسالة على الإطلاق. ويقول أيضاً بوضوح ما قيمة النجاح: "نجاح DMARC بمفرده لا يضمن أن التسليم إلى صندوق وارد المستقبِل سيكون آمناً أو مرغوباً فيه." لذا فإن المجرم الذي يسجل مجالاً مؤقتاً، ويضبط SPF و DKIM عليه بشكل صحيح وينشر سجل DMARC يمكنه إرسال لك رسالة تمر عبر كل فحص توثيق بنجاح. لم يتم تجاوز شيء. الظرف فعلاً تم توقيعه بواسطة الطرف الذي وقّعه. مسألة ما إذا كان المربع المرفق يقودك إلى مكان يسرق كلمة مرورك لم تكن أبداً في نموذج الطبقة التوثيقية.

تلك المسألة تخص الآلة الثانية، وهنا تسقط الحتميات. رابط نصي في جسم الرسالة هو شيء يمكن لمرشح المحتوى استخراجه وتوسيعه ومقارنته مع بيانات السمعة. رابط URL داخل صورة QR يجب استعادته من البكسل أولاً، وهذه القدرة ليست عالمية. المركز الوطني لأمن الفضاء السيبراني بالمملكة المتحدة، في منشور فبراير 2024 بقلم ديف تشيسمون، يعطي الحد بدقة: "ليس كل أدوات أمان مصممة للكشف عن رسائل البريش الاحتيالية ستفحص الصور." مايكروسوفت، في نوفمبر 2024، وثّقت الجانب الآخر — Defender for Office 365 "حسّن قدراته على استخراج عناوين URL من رموز QR"، حيث يسحبها باستخدام معالجة الصور مبكراً في سير تدفق البريد وكذلك يستخرج الآن بيانات تعريف QR ويسجل النمط المحيط. مايكروسوفت أيضاً نشرت ما الذي تغيّر في قياساتها الخاصة: في الذروة كانت "تحجب 3 ملايين محاولة يومياً"، وبعد شحن عمل الكشف، "رأينا هذا الرقم ينكمش إلى 200,000 محاولة احتيال عبر رمز QR يومياً." بائع واحد، منتج واحد، مُبلّغ ذاتي — لكنه قابل للتحقق، وهو أكثر مما يمكن قوله عن النسب المئوية الموسعة في القطاع التي تتداول بشأن هذا الموضوع. نسخة أقدم من هذه المقالة حملت واحدة من تلك النسب المئوية؛ تم حذفها لأن أصلها لم يتمكن من التأسيس.

تنبيه المستهلك من FTC [لجنة التجارة الفيدرالية] بتاريخ 6 ديسمبر 2023، بقلم متخصص تثقيف المستهلك ألفارو بويج، هو المكان حيث يتم عرض النسخة اليومية من المشكلة: المحتالون يغطون رمز عداد وقوف حقيقي بملصق خاص بهم، رسالة تدّعي أن حزمة لم تتمكن من التسليم، حساب يُفترض أنه يحتاج إلى إعادة تفعيل. نصيحتها جملة واحدة وليست بحاجة إلى تقييم أي رمز معين: "لا تمسح رمز QR ضوئياً في رسالة بريد إلكتروني أو رسالة نصية لم تتوقعها." إعلان IC3 من FBI [مكتب التحقيقات الفيدرالي] من يناير 2022 يضيف الحكاية الفيزيائية — تحقق ما إذا كانت هناك "ملصق موضوع فوق الرمز الأصلي" — والحكاية الإجرائية: لرسالة تطلب الدفع، "اتصل بالشركة للتحقق"، باستخدام رقم تم العثور عليه "عبر موقع موثوق به بدلاً من رقم مقدم في البريد الإلكتروني"، و"تجنب إجراء المدفوعات عبر موقع تم الوصول إليه من رمز QR. بدلاً من ذلك، أدخل يدوياً عنوان URL معروفاً وموثوقاً."

وبعد ذلك هناك الجهاز، وهو السبب الحقيقي الذي يجعل هذا يستمر في العمل. رمز QR لا يتم مسحه ضوئياً على جهاز الكمبيوتر المحمول حيث يوجد المتصفح المدار ومرشح الشركة ومدير كلمات المرور الذي يرفض الملء التلقائي على المجال الخاطئ. يتم مسحه على هاتف ذكي، الذي يسرد NCSC ضمن الأسباب التي يفضل المجرمون الطريقة لها: "قد لا توجد أجهزة شخصية نفس الحماية الأمنية مثل جهاز كمبيوتر يوفره صاحب عملك." على هاتف ذكي شريط العنوان يُختصر، العنوان الكامل صعب التفتيش، والشخص الذي يقوم بالمسح عادة يقف في مكان ما، مزعجاً قليلاً، وليس يقرأ بعناية.

الملخص الصادق إذاً أضيق من "المرشحات عمياء". توثيق المجال يعمل وهو يجيب على سؤاله الخاص بشكل صحيح. تحليل محتوى صور QR موجود، ومنشور في بعض المنتجات وليس في البعض الآخر، وتحسن قياس ملموس في واحد على الأقل منها في 2024. الهجوم يبقى لأنه ينقل اللحظة الحاسمة إلى جهاز يقع خارج معظم تلك الآلية، وأمام شخص تم تدريبه لسنوات على معاملة مربع صغير كراحة. المربع لا يكذب على المرشح. إنه ينقل المحادثة إليك.

تصحيح، 20 أكتوبر 2026. نسخة أقدم من هذه المقالة قالت أن كل مرشح بريش مزعج وكل فحص رأس تم بناؤه لقراءة النصوص وأن رمز QR غير مرئي لجميعهم. توثيق المجال لا يفحص المحتوى بالتصميم — مواصفة DMARC تسرد "تحليل المحتوى" كخارج النطاق — لكن تصفية المحتوى هي طبقة منفصلة، ووثّقت مايكروسوفت استخراج عنوان URL من QR في Defender for Office 365 في نوفمبر 2024، بينما كلام NCSC هو أن ليس كل الأدوات تفحص الصور. إحصائية تنسب 22% من التصيد الاحتيالي عبر الإنترنت في أواخر 2023 إلى رموز QR تم حذفها لأنه لم يتمكن من تحديد أي مصدر أساسي لها؛ لم يتم استبدالها برقم تقريبي. استشهاد بصفحة NCSC التي لا تناقش في الواقع رموز QR تم استبداله بمنشور مدونة NCSC الذي يناقشها، التنبيه من FTC مؤرخ الآن بدقة، وتم استبدال مجال احتيال عرض توضيحي برمز غير قابل للنقر على .example namespace المحفوظ.

@@END@@