En QR-kode kan ikke dumpe en DMARC-kontrol, og det er præcis derfor svindlere elsker det

E-mail-forsvar er ikke én maskine. Det er mindst to, og de besvarer forskellige spørgsmål. Det første spørger, hvem der var autoriseret til at sende mail ved hjælp af dette domænenavn. Det andet spørger, om det, som meddelelsen indeholder, er farligt. En QR-kode passerer den første efter design, og om den passerer den anden afhænger af, hvilket produkt der læser din mail.

Start med den første maskine, fordi det er den, folk misnavngiver. SPF kontrollerer, om afsenderserveren må sende for et domæne. DKIM kontrollerer en kryptografisk signatur på meddelelsen. DMARC kræver, at en af disse autentificerede identifikatorer stemmer overens med domænet i det synlige From:-header, og lader domæneejeren publicere en præference for, hvad der skal ske, når denne justering mislykkes. Den nuværende specifikation, RFC 9989, er eksplicit om, at det er en præference og ikke en kommando: "The final handling of any message is always a matter of local policy and is left to the discretion of the Mail Receiver."

Nu den del, der betyder noget for QR-koder. Den samme specifikation viser, hvad der bevidst ligger uden for dens område, og på den liste står der, i disse to ord, "content analysis." DMARC blev aldrig bygget til at læse links, og det er ikke blevet forringet af billeder. Det har ingen mening om meddelelsens indhold overhovedet. Det siger også klart, hvad en bestået kontrol er værd: "a DMARC pass by itself does not guarantee that delivery to the recipient's inbox would be safe or desirable." Så en kriminel, der registrerer et engangsdomæne, konfigurerer SPF og DKIM på det korrekt og publicerer en DMARC-record, kan sende dig en meddelelse, der passerer hver enkelt autentificeringskontrol rent. Intet blev omgået. Kuvertet blev virkelig signeret af den part, der signerede det. Spørgsmålet om, hvorvidt det vedlagte kvadrat fører hen til et sted, der stjæler dit kodeord, stod aldrig på autentificeringslaget's formular.

Det spørgsmål hører til den anden maskine, og det er her, absolutte svar bryder sammen. Et tekstlink i en meddelelsestekst er noget, som et indholdfilter kan udtrække, udvide og sammenligne med ry-data. En URL inden for et QR-billede skal først gendannes fra pixels, og den evne er ikke universel. UK's National Cyber Security Centre udgav i februar 2024 et indlæg af Dave Chismon, der præcist angiver grænsen: "Not all security tools designed to detect phishing emails will scan images." Microsoft dokumenterede i november 2024 den anden side — Defender for Office 365 "has improved its capabilities to extract URLs from QR codes," idet de trækkes ud med billedbehandling tidligt i mailflowet og nu også udtrækker QR-metadata og scorer det omgivende mønster. Microsoft publicerede også, hvad det ændrede i sin egen telemetri: på toppen blokerede det "3 million attempts daily," og efter detektionsarbejdet blev udsendt, "we have seen this number shrink to 200,000 QR code phishing attempts every day." Én leverandør, ét produkt, selvrappporteret — men kontrollerbart, hvilket er mere end man kan sige om de branchebrede procentsatser, der cirkulerer på dette område. En tidligere version af denne artikel indeholdt en af disse procentsatser; den er blevet fjernet, fordi dens oprindelse ikke kunne etableres.

FTC's forbrugeradvarsel fra 6. december 2023, af forbrugeroplysingsspecialist Alvaro Puig, er hvor den daglige version af problemet er lagt ud: svindlere dækker en rigtig parkeringsmeter-kode med deres egen sticker, en meddelelse, der hævder, at en pakke ikke kunne leveres, en konto, der angiveligt skal genaktiveres. Dens råd er ét sætning langt og kræver ikke, at du vurderer nogen særlig kode: "Don't scan a QR code in an email or text message you weren't expecting." FBI's IC3-meddelelse fra januar 2022 tilføjer det fysiske tegn — kontroller, om der er "a sticker placed on top of the original code" — og den proceduremæssige: for en meddelelse, der ønsker en betaling, "call the company to verify," ved hjælp af et nummer fundet "through a trusted site rather than a number provided in the email," og "avoid making payments through a site navigated to from a QR code. Instead, manually enter a known and trusted URL."

Og så er der enheden, som er den rigtige grund til, at det fortsætter med at virke. En QR-kode bliver ikke scannet på den bærbare computer, hvor den administrerede browser, virksomhedsfilteret og password-manageren, der nægtede at autofylde på det forkerte domæne, alle befinder sig. Den bliver scannet på en telefon, som NCSC lister blandt grundene til, at kriminelle foretrækker metoden: "Personal devices may not have the same security protections as a computer that's provided by your employer." På en telefon bliver adresselinjen forkortet, den fulde URL er besværlig at inspicere, og den person, der foretager scanningen, står normalt et sted hen, mildt irriteret, uden at læse omhyggeligt.

Så er det ærlige sammendrag snævrere end "filtrene er blinde." Domæneautentificering virker og besvarer sit eget spørgsmål korrekt. Indholdanalyse af QR-billeder findes, implementeres i nogle produkter og ikke andre, og blev forbedreret målbart i mindst ét af dem i 2024. Angrebet overlever, fordi det omlokaliserer det afgørende øjeblik til en enhed, der ligger uden for det meste af den maskine, og foran en person, der har været trænet i årevis til at behandle et lille kvadrat som en bekvemmelighed. Kvadratet løgner ikke filteret. Det flytter samtalen til dig.

Rettelse, 20. oktober 2026. En tidligere version af denne artikel sagde, at enhver spamfilter og enhver header-kontrol blev bygget til at læse tekst, og at en QR-kode er usynlig for alle dem. Domæneautentificering undersøger ikke indhold efter design — DMARC-specifikationen lister "content analysis" som uden for område — men indholdfiltrering er et særskilt lag, og Microsoft dokumenterede QR URL-udtræk i Defender for Office 365 i november 2024, mens NCSC's ordlyd er, at ikke alle værktøjer scanner billeder. En statistik, der tilskriver 22 % af onlinefishing i slutningen af 2023 til QR-koder, er blevet fjernet, fordi ingen primær kilde for det kunne identificeres; den er ikke blevet erstattet med en tilnærmet figur. En henvisning til en NCSC-side, der faktisk ikke diskuterer QR-koder, er blevet erstattet med NCSC-blogindlægget, der gør det, FTC-advarslen er nu præcist dateret, og et demonstrativt phishing-domæne er blevet erstattet med et ikke-klikbart eksempel på det reserverede .example-navnerum.

@@END@@