QR kód nemůže selhat kontrolu DMARC. Přesně proto si ho scammers oblíbili.

Emailová obrana není jeden stroj. Je to nejméně dva stroje, které odpovídají na různé otázky. První se ptá, kdo měl oprávnění poslat poštu pomocí tohoto názvu domény. Druhý se ptá, jestli je to, co zpráva obsahuje, nebezpečné. QR kód projde tím prvním záměrně, a jestli projde tím druhým, závisí na tom, který produkt vaši poštu čte.

Začněte s tím prvním strojem, protože je to ten, kterému lidé špatně říkají. SPF kontroluje, jestli má odesílací server oprávnění poslat poštu pro doménu. DKIM kontroluje kryptografický podpis zprávy. DMARC vyžaduje, aby se jeden z těch ověřených identifikátorů shodoval s doménou v hlavičce From:, kterou vidíte, a umožňuje vlastníku domény zveřejnit preference pro to, co by se mělo stát, když se tato shoda nezdaří. Aktuální specifikace RFC 9989 je explicitní v tom, že jde o preferenci a ne příkaz: „Finální zpracování jakékoli zprávy je vždy věcí místní politiky a zůstává na rozhodnutí příjemce pošty."

Teď ta část, která na QR kódy záleží. Tatáž specifikace uvádí, co je záměrně mimo její rozsah, a na tom seznamu jsou dvě slova: „analýza obsahu." DMARC nikdy nebyl postaven na to, aby četl odkazy, a nebyl oslaben obrázky. Nemá vůbec žádný názor na tělo zprávy. Také jasně říká, na co je úspěš DMARC dobrý: „úspěšný průchod DMARC sám o sobě nezaručuje, že doručení do schránky příjemce by bylo bezpečné nebo žádoucí." Takže zločinec, který si zaregistruje jednoúčelovou doménu, správně na ní nastaví SPF a DKIM a zveřejní DMARC záznam, vám může poslat zprávu, která čistě projde každou kontrolou ověřování. Nic nebylo obejito. Obálka opravdu byla podepsána stranou, která ji podepsala. Otázka, jestli přiložený čtvereček vede někam, kde se vám krade heslo, nikdy nebyla na formuláři ověřovací vrstvy.

Ta otázka patří druhému stroji, a tady se absolutna hroutí. Textový odkaz v těle zprávy je něco, co si může inženýr obsahu extrahovat, rozvinout a porovnat s daty o reputaci. URL uvnitř QR obrázku se musí nejdřív obnovit z pixelů, a ta schopnost není univerzální. Britské Národní centrum pro kybernetickou bezpečnost (National Cyber Security Centre) v příspěvku Davea Chismona z února 2024 dává omezení přesně: „Ne všechny bezpečnostní nástroje určené k detekci phishingových e-mailů budou skenovat obrázky." Microsoft v listopadu 2024 zdokumentoval druhou stranu — Defender for Office 365 „zlepšil své schopnosti extrahovat adresy URL z QR kódů", vytahuje je pomocí zpracování obrázku brzy v toku pošty a nyní také extrahuje metadata QR kódů a skóruje okolní vzor. Microsoft také zveřejnil, co se tím změnilo v jeho vlastní telemetrii: na vrcholu to bylo „blokování 3 milionů pokusů denně", a poté, co se detekční práce nasadila, „viděli jsme, že se to číslo zmenšilo na 200 000 pokusů phishingu QR kódy denně." Jeden dodavatel, jeden produkt, údaje hlášené samy — ale ověřitelné, což je víc, než se dá říci o průmyslově širokých procentech, která se na toto téma šíří. Starší verze tohoto článku obsahovala jedno z těch procent; bylo odstraněno, protože jeho původ nemohl být zjištěn.

Výstraha spotřebitele FTC ze 6. prosince 2023, od specialisty na spotřebitelské vzdělávání Alvara Puiga, je místo, kde je položen každodenní obsah problému: podvodníci zakrývající skutečný kód parkovacího automatu svojí vlastní nálepkou, zpráva tvrdící, že balíček nemohl být doručen, účet, který údajně potřebuje reaktivaci. Její rada je jedna věta dlouhá a nevyžaduje, aby jste posuzovali nějaký konkrétní kód: „Nepleujte QR kód v e-mailu nebo textové zprávě, kterou jste nečekali." Oznámení FBI z ledna 2022 přidává fyzické znamení — zkontrolujte, jestli tam je „nálepka umístěná přes původní kód" — a procedurální: pro zprávu, která chce platbu, „zavolejte společnosti, aby ověřila", s použitím čísla nalezeného „přes důvěryhodný web spíše než čísla poskytnutého v e-mailu", a „vyhněte se provádění plateb prostřednictvím webu, na který se dostanete z QR kódu. Místo toho ručně zadejte známou a důvěryhodnou URL."

A pak je tu zařízení, což je skutečný důvod, proč to pořád funguje. QR kód se neskáne na notebooku, kde jsou spravovaný prohlížeč, podnikový filtr a správce hesel, který odmítá automatické vyplňování na špatné doméně. Skáne se na telefonu, který NCSC uvádí mezi důvody, proč si zločinci metodu oblíbili: „Osobní zařízení nemusí mít stejné bezpečnostní ochrany jako počítač, který vám poskytuje váš zaměstnavatel." Na telefonu se panel adres ořízne, plná URL je nepohodlná na kontrolu a osoba, která kód skenuje, obvykle někde stojí, mírně znechucená, nečte pečlivě.

Takže poctivý souhrn je užší než „filtry jsou slepé." Ověřování domény funguje a správně odpovídá na svou vlastní otázku. Analýza obsahu QR obrázků existuje, je nasazena v některých produktech a v jiných ne, a v nejméně jednom z nich se v roce 2024 měřitelně zlepšila. Útok přežívá, protože přemístí rozhodující okamžik na zařízení, které leží mimo většinu toho zařízení, a před osobu, která byla léta trénovaná, aby považovala malý čtvereček za pohodlí. Čtvereček nelže filtru. Přesunuje rozhovor na vás.

Oprava, 20. října 2026. Starší verze tohoto článku tvrdila, že každý spamový filtr a každá kontrola hlavičky byla postavena na čtení textu a že QR kód je neviditelný pro všechny. Ověřování domény nezkoumá obsah záměrně — specifikace DMARC uvádí „analýzu obsahu" mimo rozsah — ale filtrování obsahu je samostatná vrstva, a Microsoft zdokumentoval extrakci URL z QR kódů v Defender for Office 365 v listopadu 2024, zatímco formulace NCSC je taková, že ne všechny nástroje skenují obrázky. Statistika, která přisuzuje 22 % phishingu online v pozdní 2023 QR kódům, byla odstraněna, protože pro ni nemohl být nalezen žádný primární zdroj; nebyla nahrazena přibližným číslem. Citace stránky NCSC, která ve skutečnosti QR kódy vůbec nepojednává, byla nahrazena příspěvkem blogu NCSC, který to dělá, výstraha FTC je nyní přesně datována, a demonstrační phishingová doména byla nahrazena neklikovatelným příkladem v rezervovaném oboru .example.