কেন স্ক্যামাররা আপনাকে লিংকের ছবি পাঠাতে শুরু করেছে

একটি লিংক স্ক্যানার সহজ এবং নিরলস। এটি ইমেলে পাঠ্য ইউআরএল পড়ে, তাদের পরিচিত-খারাপ ডোমেইনের তালিকার বিপরীতে পরীক্ষা করে, রিডিরেক্ট অনুসরণ করে এবং যেগুলি কোথাও খারাপ দিকে নিয়ে যায় সেগুলিকে চিহ্নিত করে। এটি তার কাজে ভালো। তাই স্ক্যামাররা স্পষ্ট জিনিসটি করেছে: তারা লিংক পাঠানা বন্ধ করেছে।

তারা লিংকের ছবি পাঠাতে শুরু করেছে।

এটি "কিউশিং" এর পিছনের কৌশল — QR-কোড ফিশিং। একটি QR কোড একটি ইউআরএল যা একটি কালো এবং সাদা ছবি হিসাবে এনকোড করা হয়েছে, তাই login-verify.example এর মতো একটি গন্তব্য বার্তা বডিতে পাঠ্য থেকে পিক্সেলে পরিণত হয়। বিষয়টি এমন নয় যে ঠিকানাটি এনক্রিপ্ট করা হয়েছে; যে কাউকে ক্যামেরা তাৎক্ষণিকভাবে এটি ডিকোড করে। বিষয়টি হল এটি এখন কোথাও লেখা নেই যা আপনি বা একটি পাঠ্য পার্সার প্রতিশ্রুতি দেওয়ার আগে পড়তে পারে।

একটি ফিল্টার এখনও এটি পড়তে পারে কিনা তা সম্পূর্ণরূপে পণ্যের উপর নির্ভর করে। ইউকে-এর National Cyber Security Centre এটি তার February 2024 নোটে QR কোডে সাবধানী শব্দে সীমা রাখে: "ফিশিং ইমেলগুলি সনাক্ত করার জন্য ডিজাইন করা সমস্ত সিকিউরিটি টুল ইমেজ স্ক্যান করবে না।" লক্ষ্য করুন যে এটি কী বলে না। এটি বলে না যে তাদের কোনটিই করে না। মাইক্রোসফট November 2024 এ অন্যটি প্রকাশ করেছে: Defender for Office 365, এটি লিখেছে, "QR কোড থেকে ইউআরএল নিষ্কাশনের ক্ষমতা উন্নত করেছে," মেল ফ্লোর শুরুতে ইমেজ প্রসেসিং ব্যবহার করে "QR কোডের মধ্যে লুকানো ইউআরএলগুলি নিষ্কাশন এবং লগ করতে," এবং এটি এখন QR মেটাডেটাও নিষ্কাশন করে এবং ঘিরে থাকা প্যাটার্নের জন্য খোঁজ করে — ন্যূনতম বডি পাঠ্য, একটি ব্র্যান্ড লোভ, একটি রিডিরেক্ট চেইন। তাই "ফিল্টার এটি পড়তে পারে না" অনেক পণ্যের জন্য একটি সময়ের জন্য সত্য ছিল, কিছুর জন্য এখনও সত্য, এবং প্রকৃতির একটি আইন নয়। যদি আপনি জানতে চান যে এটি আপনার নিজের মেইলের ক্ষেত্রে সত্য কিনা, সেটি QR কোড সম্পর্কে একটি প্রশ্ন নয় বরং আপনার প্রদানকারীর পণ্য এবং কনফিগারেশন সম্পর্কে একটি প্রশ্ন।

যা পরীক্ষাযোগ্য তা একই বিক্রেতার কাছ থেকে আসে, এবং সেগুলি সংযুক্ত স্কোপ সহ পড়ার যোগ্য। মাইক্রোসফটের November 2024 পোস্ট "প্রতি মাসে 270% বৃদ্ধির হার সহ কিছু আক্রমণ বৃদ্ধি" এর সাথে একটি লাফ বর্ণনা করে, বলে যে "উচ্চতায়, Defender for Office 365 প্রতিদিন 3 মিলিয়ন প্রচেষ্টা ব্লক করছিল," এবং সনাক্তকরণ কাজ শিপ করার পরে "আমরা এই সংখ্যা প্রতিদিন 200,000 QR কোড ফিশিং প্রচেষ্টায় সঙ্কুচিত হতে দেখেছি।" মাইক্রোসফটের Digital Defense Report 2026 বর্তমান স্কেলে একটি মোট রাখে: July 2025 এবং June 2026 এর মধ্যে Defender for Office 365 দ্বারা সনাক্ত 145+ মিলিয়ন QR-কোড ফিশিং আক্রমণ। এই সমস্ত পরিসংখ্যান একটি বিক্রেতার তার নিজের পণ্যের জন্য টেলিমেট্রি, স্ব-রিপোর্ট করা। এগুলি সমস্ত ফিশিংয়ের একটি শেয়ার নয় এবং একটি শিল্প মোট নয় — এই নিবন্ধের একটি আগের সংস্করণ একটি 25% শেয়র উদ্ধৃত করেছে যা কোনও মাইক্রোসফট প্রকাশনা সমর্থন করতে প্রদর্শিত হয় না, এবং সেই পরিসংখ্যানটি প্রতিস্থাপনের পরিবর্তে সরানো হয়েছে।

যা কৌশলটিকে টেকসই করে তোলে তা এনকোডিং নয় বরং হ্যান্ডঅফ। ইমেল একটি ল্যাপটপে ল্যান্ড করে, যেখানে কর্পোরেট ফিল্টার, পরিচালিত ব্রাউজার এবং পাসওয়ার্ড ম্যানেজার থাকে। কোড একটি ফোনে স্ক্যান করা হয়, যা সাধারণত একটি ব্যক্তিগত ডিভাইস। NCSC এটি তালিকাভুক্ত করে অপরাধীরা এই পদ্ধতির পক্ষ করে এমন কারণগুলির মধ্যে: "ব্যক্তিগত ডিভাইসে আপনার নিয়োগকর্তা দ্বারা সরবরাহ করা কম্পিউটারের মতো একই নিরাপত্তা সুরক্ষা নাও থাকতে পারে।" একটি ফোনে ঠিকানা বার ট্রাংকেট করে, সম্পূর্ণ ইউআরএল পরীক্ষা করা কঠিন, এবং একটি পাসওয়ার্ড ম্যানেজার যা ভুল ডোমেইনে অটোফিল করতে অস্বীকার করেছে তা সম্পূর্ণভাবে জড়িত নয়।

থিমগুলি বিরক্তিকরভাবে পূর্বাভাসযোগ্য, যা নিজেই একটি বলা, এবং তারা ভোক্তা সতর্কতায় প্রায় শব্দে শব্দে দেখা যায়। FTC-এর December 2023 সতর্কতা স্ক্যামাররা একটি পার্কিং মিটারে আসল QR কোড কভার করার বর্ণনা দেয়, এবং স্পষ্টভাবে সতর্ক করে: "ইমেল বা পাঠ্য বার্তায় একটি QR কোড স্ক্যান করবেন না যা আপনি আশা করছেন না," বিশেষ করে একটি যা আপনাকে অবিলম্বে কাজ করতে চাপ দেয়। FBI-এর IC3 জনসেবা ঘোষণা January 2022 থেকে ডিজিটাল এবং ফিজিক্যাল QR কোড উভয়েরই ছিনতাই সম্পর্কে একই কথা বলে — "সাইবার অপরাধীরা বৈধ কোডগুলি দূষিত কোডগুলির সাথে প্রতিস্থাপনের জন্য ডিজিটাল এবং ফিজিক্যাল QR কোড উভয়েরই সাথে ছিনতাই করে" — এবং মানুষকে ফিজিক্যাল কোডগুলি পরীক্ষা করতে বলে "আসল কোডের উপরে রাখা একটি স্টিকার।" একটি কোড মেয়াদোত্তীর্ণ মাল্টি-ফ্যাক্টর সত্যতা পুনরায় সক্ষম করতে, একটি স্বাক্ষর অনুরোধ আপনি আশা করছেন না, একটি শিপিং বিজ্ঞপ্তি আপনাকে সরবরাহ নিশ্চিত করতে অনুরোধ করছে: ডিজাইন লক্ষ্য সর্বদা ফোন উত্থাপনের একটি ছোট, বিশ্বাসযোগ্য কারণ কিছু পরীক্ষা করার আগে।

তাই প্রতিরক্ষামূলক পদক্ষেপগুলি নিস্তেজগুলি, এবং সেগুলি হল যা সংস্থাগুলি প্রকৃতপক্ষে প্রকাশ করে। IC3-এর পরামর্শ, একটি বার্তার জন্য যা স্ক্যানের পরে একটি পেমেন্ট বা লগইন চায়: "সংস্থার সাথে যাচাই করতে কল করুন," "একটি বিশ্বস্ত সাইটের মাধ্যমে কোম্পানির ফোন নম্বর ব্যবহার করে বরং ইমেলে সরবরাহ করা একটি সংখ্যার চেয়ে," এবং "একটি QR কোড থেকে নেভিগেট করা একটি সাইটের মাধ্যমে পেমেন্ট করা এড়ান। পরিবর্তে, ম্যানুয়ালি একটি পরিচিত এবং বিশ্বস্ত ইউআরএল প্রবেশ করুন।" এর কিছুই প্রয়োজন নেই যে আপনি বিচার করেন যে একটি নির্দিষ্ট বর্গটি দূষিত কিনা — যা এমন অংশ যা কোনো মানুষ ভালো নয়।

একটি জিনিস একটি ইমেলে একটি QR কোড আপনাকে কখনও বলে না যে বার্তাটি জাল ছিল কিনা। ডোমেইন সত্যতা সম্পূর্ণভাবে একটি ভিন্ন প্রশ্নের উত্তর দেয়, এবং বর্তমান DMARC স্পেসিফিকেশন স্পষ্টভাবে "কন্টেন্ট বিশ্লেষণ" এর দায়রার বাইরে রাখে — যে কারণে একটি সম্পূর্ণরূপে সত্যায়িত বার্তা একটি দূষিত ছবি বহন করতে পারে। সেই মেকানিজমটি নিজের জন্য পড়ার যোগ্য, এবং এটি এই সিরিজের একটি সহযোগী নিবন্ধের বিষয়।

সংশোধন, 20 October 2026। এই নিবন্ধের একটি আগের সংস্করণ বলেছিল যে একটি স্প্যাম ফিল্টার একটি QR কোড পড়তে পারে না এবং স্ক্যানাররা এনকোড করা ঠিকানার জন্য অন্ধ। সেটি কিছু ইমেল সিকিউরিটি পণ্যের জন্য সত্য এবং অন্যদের জন্য নয়: মাইক্রোসফট November 2024 এ Defender for Office 365 এ QR কোড থেকে ইউআরএল এক্সট্র্যাকশন নথিভুক্ত করেছে, এবং NCSC-এর শব্দ হল সমস্ত টুল ইমেজ স্ক্যান করে না। নিবন্ধটি মাইক্রোসফটকে দায়ী করে ইমেল ফিশিং সম্পর্কে প্রায় 25% ব্যবহার করে একটি পরিসংখ্যানও উদ্ধৃত করেছে; কোনও মাইক্রোসফট প্রকাশনা সেই শেয়ার সমর্থন করতে পাওয়া যায় না, তাই সংখ্যাটি সরানো হয়েছে এবং সংখ্যাগুলির সাথে প্রতিস্থাপিত হয়েছে মাইক্রোসফট সরাসরি তাদের পণ্য এবং সময়কাল সহ প্রকাশ করে। একটি প্রদর্শন ফিশিং ডোমেইন যা একটি লাইভ লিংক হিসাবে রেন্ডার করা হয়েছিল তা .example নেমস্পেসে একটি অ-ক্লিকযোগ্য উদাহরণের সাথে প্রতিস্থাপিত হয়েছে, এবং CISA হোম পৃষ্ঠায় একটি উদ্ধৃতি নির্দিষ্ট FBI IC3 এবং FTC পরামর্শ দিয়ে প্রতিস্থাপিত হয়েছে।

@@END@@