read receipts
একটি QR কোড DMARC চেক ব্যর্থ করতে পারে না, এবং এটি ঠিক কারণেই স্ক্যামাররা এটি পছন্দ করে
ডোমেইন প্রমাণীকরণ উত্তর দেয় কে বার্তা পাঠিয়েছে তার, বার্তা আপনাকে কী করতে বলছে তার নয়। ছবির ভিতরে কী আছে তা পড়া একটি ভিন্ন স্তর — এবং প্রতিটি পণ্যের কাছে এটি নেই।
ইমেল প্রতিরক্ষা একটি যন্ত্র নয়। এটি কমপক্ষে দুটি, এবং তারা ভিন্ন প্রশ্নের উত্তর দেয়। প্রথমটি জিজ্ঞাসা করে এই ডোমেইন নামের মাধ্যমে মেল পাঠানোর জন্য কে অনুমোদিত। দ্বিতীয়টি জিজ্ঞাসা করে বার্তায় যা রয়েছে তা বিপজ্জনক কিনা। একটি QR কোড ডিজাইনের মাধ্যমে প্রথমটিকে অতিক্রম করে, এবং এটি দ্বিতীয়টি অতিক্রম করে কিনা তা নির্ভর করে কোন পণ্যটি আপনার মেল পড়ছে তার উপর।
প্রথম যন্ত্র দিয়ে শুরু করুন, কারণ এটি সেটি যেটি মানুষ ভুলনাম দেয়। SPF চেক করে যে পাঠানোকারী সার্ভার একটি ডোমেইনের জন্য পাঠাতে অনুমোদিত কিনা। DKIM বার্তার উপর একটি ক্রিপ্টোগ্রাফিক স্বাক্ষর পরীক্ষা করে। DMARC প্রয়োজন যে প্রমাণীকৃত সনাক্তকারীদের মধ্যে একটি দৃশ্যমান From: হেডারের ডোমেইনের সাথে মেলে, এবং ডোমেইন মালিককে সেই সারিবদ্ধতা ব্যর্থ হলে কী ঘটবে সে সম্পর্কে একটি পছন্দ প্রকাশ করতে দেয়। বর্তমান স্পেসিফিকেশন, RFC 9989, স্পষ্টভাবে বলে যে এটি একটি পছন্দ এবং একটি আদেশ নয়: "যেকোনো বার্তার চূড়ান্ত পরিচালনা সর্বদা স্থানীয় নীতির একটি বিষয় এবং মেল প্রাপকের বিচক্ষণতার উপর ছেড়ে দেওয়া হয়।"
এখন QR কোডগুলির জন্য গুরুত্বপূর্ণ অংশ। একই স্পেসিফিকেশন তালিকা করে যা ইচ্ছাকৃতভাবে এর স্কোপের বাইরে, এবং সেই তালিকায়, সেই দুটি শব্দে, "বিষয়বস্তু বিশ্লেষণ।" DMARC কখনই লিঙ্ক পড়ার জন্য তৈরি করা হয়নি, এবং এটি চিত্রগুলির দ্বারা হ্রাস পায়নি। এটির বার্তার বডি সম্পর্কে কোনও মতামত নেই। এটি স্পষ্টভাবেও বলে একটি পাস কী মূল্যবান: "একাই একটি DMARC পাস নিশ্চিত করে না যে প্রাপকের ইনবক্সে ডেলিভারি সুরক্ষিত বা কাঙ্ক্ষিত হবে।" তাই একজন অপরাধী যে একটি অস্থায়ী ডোমেইন রেজিস্টার করে, এটিতে SPF এবং DKIM সঠিকভাবে কনফিগার করে এবং একটি DMARC রেকর্ড প্রকাশ করে তিনি আপনাকে এমন একটি বার্তা পাঠাতে পারেন যা প্রতিটি প্রমাণীকরণ চেক পরিষ্কারভাবে পাস করে। কিছুই বাইপাস করা হয়নি। খাম সত্যিই যে পক্ষ স্বাক্ষর করেছে তার দ্বারা স্বাক্ষরিত ছিল। সংযুক্ত বর্গটি কোথায় নিয়ে যায় যা আপনার পাসওয়ার্ড চুরি করে তা প্রমাণীকরণ স্তরের ফর্মে কখনই ছিল না।
সেই প্রশ্নটি দ্বিতীয় যন্ত্রের অন্তর্গত, এবং এটি যেখানে পরম নীতিগুলি পড়ে যায়। একটি বার্তার বডিতে একটি টেক্সট লিঙ্ক এমন কিছু যা একটি বিষয়বস্তু ফিল্টার সংগ্রহ, প্রসারিত এবং খ্যাতির ডেটার বিরুদ্ধে তুলনা করতে পারে। একটি QR চিত্রের ভিতরে একটি URL প্রথমে পিক্সেল থেকে পুনরুদ্ধার করতে হবে, এবং সেই ক্ষমতা সর্বজনীন নয়। UK-এর ন্যাশনাল সাইবার সিকিউরিটি সেন্টার, Dave Chismon দ্বারা ফেব্রুয়ারি 2024 পোস্টে, সীমা ঠিক দেয়: "ফিশিং ইমেল সনাক্ত করার জন্য ডিজাইন করা সমস্ত নিরাপত্তা সরঞ্জাম চিত্রগুলি স্ক্যান করবে না।" মাইক্রোসফট, নভেম্বর 2024 সালে, অন্য দিক নথিভুক্ত করেছে — Defender for Office 365 "QR কোড থেকে URL সংগ্রহ করার ক্ষমতা উন্নত করেছে," মেল ফ্লোর প্রাথমিক পর্যায়ে চিত্র প্রক্রিয়াকরণের সাথে সেগুলি টেনে বের করে এবং এখন QR মেটাডেটাও সংগ্রহ করছে এবং চারপাশের নিদর্শনকে স্কোর করছে। মাইক্রোসফট এটি তার নিজস্ব টেলিমেট্রিতে যা পরিবর্তন করেছে তাও প্রকাশ করেছে: শীর্ষে এটি ছিল "প্রতিদিন 3 মিলিয়ন প্রচেষ্টা ব্লক করছে," এবং সনাক্তকরণ কাজ পাঠানোর পরে, "আমরা এই সংখ্যা প্রতিদিন 200,000 QR কোড ফিশিং প্রচেষ্টায় সঙ্কুচিত দেখেছি।" একটি বিক্রেতা, একটি পণ্য, স্ব-রিপোর্ট করা — কিন্তু পরীক্ষাযোগ্য, যা এই বিষয়ের সাথে সঞ্চালিত শিল্প-ব্যাপী শতাংশের চেয়ে বেশি। এই নিবন্ধের একটি পূর্ববর্তী সংস্করণ সেই শতাংশগুলির মধ্যে একটি বহন করেছিল; এটি সরানো হয়েছে কারণ এর উৎস প্রতিষ্ঠা করা যায়নি।
FTC-এর ভোক্তা সতর্কতা 6 ডিসেম্বর 2023, ভোক্তা শিক্ষা বিশেষজ্ঞ Alvaro Puig দ্বারা, যেখানে সমস্যার দৈনন্দিন সংস্করণ নির্ধারিত হয়: স্ক্যামাররা একটি আসল পার্কিং-মিটার কোড একটি তাদের নিজস্ব স্টিকার দিয়ে ঢেকে রাখে, একটি বার্তা দাবি করে যে একটি প্যাকেজ ডেলিভার করা যায়নি, একটি অ্যাকাউন্ট যা পুনরায় সক্রিয় করার প্রয়োজন বলে মনে করা হয়। এর পরামর্শ একটি বাক্য দীর্ঘ এবং আপনার যেকোনো নির্দিষ্ট কোড মূল্যায়ন করার প্রয়োজন নেই: "একটি QR কোড স্ক্যান করবেন না যা আপনি প্রত্যাশা করেননি এমন একটি ইমেল বা টেক্সট বার্তায়।" FBI-এর IC3 ঘোষণা জানুয়ারি 2022 থেকে শারীরিক বলে যোগ করে — পরীক্ষা করুন যে "আসল কোডের উপর একটি স্টিকার স্থাপিত আছে কিনা" — এবং পদ্ধতিটি: একটি বার্তার জন্য যা একটি পেমেন্ট চায়, "কোম্পানিকে যাচাই করার জন্য কল করুন," সংখ্যা ব্যবহার করে "একটি বিশ্বস্ত সাইটের মাধ্যমে পাওয়া যায় বরং ইমেলে প্রদত্ত সংখ্যার নয়," এবং "একটি QR কোড থেকে নেভিগেট করা একটি সাইটের মাধ্যমে পেমেন্ট করা এড়িয়ে চলুন। পরিবর্তে, একটি পরিচিত এবং বিশ্বস্ত URL ম্যানুয়ালি প্রবেश করুন।"
এবং তারপর ডিভাইস রয়েছে, যা এটি কাজ করতে থাকার আসল কারণ। একটি QR কোড সেই ল্যাপটপে স্ক্যান করা হয় না যেখানে পরিচালিত ব্রাউজার, কর্পোরেট ফিল্টার এবং পাসওয়ার্ড ম্যানেজার যা ভুল ডোমেইনে স্বয়ংপূরণ করতে অস্বীকার করে সবকিছুই থাকে। এটি একটি ফোনে স্ক্যান করা হয়, যা NCSC অপরাধীরা পদ্ধতিটি অনুকূলিত করার কারণগুলির মধ্যে তালিকাভুক্ত করে: "ব্যক্তিগত ডিভাইসগুলির একটি কম্পিউটার থেকে একই নিরাপত্তা সুরক্ষা নেই যা আপনার নিয়োগকর্তা দ্বারা প্রদান করা হয়।" একটি ফোনে ঠিকানা বার বাদ দেয়, সম্পূর্ণ URL পরীক্ষা করা বিরক্তিকর, এবং স্ক্যান করছে এমন ব্যক্তি সাধারণত কোথাও দাঁড়িয়ে থাকে, সামান্য বিরক্ত, যত্ন সহকারে পড়ছে না।
তাই সৎ সারসংক্ষেপ "ফিল্টারগুলি অন্ধ" এর চেয়ে সংকীর্ণ। ডোমেইন প্রমাণীকরণ কাজ করছে এবং তার নিজস্ব প্রশ্নের সঠিকভাবে উত্তর দিচ্ছে। QR চিত্রগুলির বিষয়বস্তু বিশ্লেষণ বিদ্যমান, কিছু পণ্যে স্থাপন করা হয়েছে এবং অন্যগুলিতে নয়, এবং 2024 সালে তাদের মধ্যে কমপক্ষে একটিতে পরিমাপযোগ্যভাবে উন্নত হয়েছে। আক্রমণ টিকে থাকে কারণ এটি সিদ্ধান্তমূলক মুহূর্তটিকে এমন একটি ডিভাইসে স্থানান্তরিত করে যা সেই যন্ত্রপাতির বেশিরভাগের বাইরে বসে, এবং এমন একটি ব্যক্তির সামনে যাকে বছরের পর বছর একটি ছোট বর্গকে সুবিধা হিসাবে বিবেচনা করার জন্য প্রশিক্ষিত করা হয়েছে। বর্গটি ফিল্টারকে মিথ্যা বলে না। এটি কথোপকথনকে আপনার কাছে সরিয়ে দেয়।
সংশোধন, 20 অক্টোবর 2026। এই নিবন্ধের একটি পূর্ববর্তী সংস্করণ বলেছিল যে প্রতিটি স্প্যাম ফিল্টার এবং প্রতিটি হেডার চেক টেক্সট পড়ার জন্য নির্মিত ছিল এবং একটি QR কোড তাদের সমস্তের কাছে অদৃশ্য। ডোমেইন প্রমাণীকরণ ডিজাইনের মাধ্যমে বিষয়বস্তু পরীক্ষা করে না — DMARC স্পেসিফিকেশন "বিষয়বস্তু বিশ্লেষণ" কে স্কোপের বাইরে তালিকা করে — কিন্তু বিষয়বস্তু ফিল্টারিং একটি পৃথক স্তর, এবং মাইক্রোসফট নভেম্বর 2024 সালে Defender for Office 365 এ QR URL নিষ্কাশন নথিভুক্ত করেছে, যখন NCSC-এর প্রকাশনা এই যে সমস্ত সরঞ্জাম চিত্র স্ক্যান করে না। 2023 সালের শেষে অনলাইন ফিশিংয়ের 22% এর জন্য QR কোডকে দায়ী করা একটি পরিসংখ্যান সরানো হয়েছে কারণ এর জন্য কোনও প্রাথমিক উৎস সনাক্ত করা যায়নি; এটি একটি আনুমানিক সংখ্যা দিয়ে প্রতিস্থাপিত হয়নি। একটি NCSC পৃষ্ঠার একটি উদ্ধৃতি যা প্রকৃতপক্ষে QR কোড নিয়ে আলোচনা করে না তা NCSC ব্লগ পোস্টের সাথে প্রতিস্থাপিত হয়েছে যা করে, FTC সতর্কতা এখন সঠিকভাবে তারিখ করা হয়েছে, এবং একটি প্রদর্শন ফিশিং ডোমেইন সংরক্ষিত .example নামস্থানে একটি অ-ক্লিকযোগ্য উদাহরণের সাথে প্রতিস্থাপিত হয়েছে।
সূত্র
- RFC 9989 — Domain-based Message Authentication, Reporting, and Conformance (DMARC) — IETF, Standards Track, May 2026; obsoletes RFC 7489. §2.4 lists "content analysis" as out of scope; §2.2 on what a DMARC pass does not guarantee; §5.4 on receiver discretion
- Microsoft Security Blog — How Microsoft Defender for Office 365 innovated to address QR code phishing attacks — 4 November 2024. URL extraction from QR images; 3 million daily attempts at peak, 200,000 daily after rollout
- UK NCSC — QR Codes: what's the real risk? — Dave Chismon, 8 February 2024. "Not all security tools designed to detect phishing emails will scan images"; personal devices lack employer protections
- FTC — Scammers hide harmful links in QR codes to steal your information — Consumer alert, 6 December 2023, by Alvaro Puig
- FBI IC3 — Cybercriminals Tampering with QR Codes to Steal Victim Funds — Public service announcement I-011822-PSA, 18 January 2022