Hvorfor svindlere begyndte at sende dig billeder af links

En linkscanner er en simpel, utrættelig ting. Den læser tekstURL'erne i en mail, tjekker dem mod lister over kendte dårlige domæner, følger omdirigeringer og markerer de, der fører til noget nasty. Den er god til sit job. Så gjorde svindlere det åbenlyse: de stoppede med at sende links.

De begyndte at sende billeder af links.

Det er tricket bag "quishing" — QR-code-phishing. En QR-kode er en URL kodet som et sort-hvidt billede, så en destination som login-verify.example holder op med at være tekst i meddelelsesbodyen og bliver til pixels. Pointen er ikke, at adressen er krypteret; ethvert kamera dekoder den øjeblikkeligt. Pointen er, at den ikke længere er skrevet noget sted, hvor du eller en tekstparser kan læse det, før du forpligter dig.

Hvorvidt et filter stadig kan læse det, afhænger helt af produktet. UK's National Cyber Security Centre sætter grænsen i forsigtige ord i sin note fra februar 2024 om QR-koder: "Ikke alle sikkerhedsværktøjer designet til at opdage phishing-mails vil scanne billeder." Bemærk hvad det ikke siger. Det siger ikke, at ingen af dem gør det. Microsoft udgav den anden side af det i november 2024: Defender for Office 365, skrev de, "har forbedret sine evner til at udtage URL'er fra QR-koder," idet de bruger billedbehandling tidligt i mailflowet til at "udtage og logge URL'er skjult inden for QR-koder," og det udtager nu også QR-metadata og ser efter det omgivende mønster — minimal bodytekst, en brand-lokke, en omdirigeringskæde. Så "filteret kan ikke læse det" var sandt for mange produkter i et stykke tid, er stadig sandt for nogle, og er ikke en naturlov. Hvis du vil vide, om det er sandt for din egen mail, er det et spørgsmål om din udbyders produkt og konfiguration, ikke om QR-koder.

De tal, der kan verificeres, kommer fra samme leverandør, og de er værd at læse med omfattningen tilføjet. Microsofts post fra november 2024 beskriver en stigning med "nogle angreb, der stiger med en vækstrate på 270% per måned," siger, at "på sit højdepunkt blokeredes 3 millioner forsøg dagligt af Defender for Office 365," og at efter detektionsarbejdet blev sendt "har vi set dette tal skrumpe til 200.000 QR-code-phishing-forsøg hver dag." Microsofts Digital Defense Report 2026 sætter et tal på den aktuelle skala: 145+ millioner QR-code-phishing-angreb detekteret mellem juli 2025 og juni 2026 af Defender for Office 365. Alle disse tal er én leverandørs telemetri for sit eget produkt, selvrapporteret. De er ikke en andel af al phishing, og de er ikke en branchetal — en tidligere version af denne artikel citerede en 25%-andel, som ingen Microsoft-publikation ser ud til at støtte, og det tal er blevet fjernet i stedet for at blive erstattet.

Hvad der gør teknikken holdbar, er overdragelsen, ikke kodningen. Mailen lander på en bærbar computer, hvor virksomhedssfilteret, den administrerede browser og passwordmanageren bor. Koden bliver scannet på en telefon, som normalt er en personlig enhed. NCSC'en lister dette blandt grundene til, at kriminelle foretrækker metoden: "Personlige enheder har muligvis ikke de samme sikkerhedsbeskyttelser som en computer leveret af din arbejdsgiver." På en telefon afkortes adressebar, hele URL'en er svær at inspicere, og en passwordmanager, der ville have nægtet at autofylde på det forkerte domæne, er slet ikke involveret.

Temaerne er kedelig forudsigelige, hvilket er en indication i sig selv, og de dukker op i forbrugeradvarslerne næsten ord for ord. FTC's advarsel fra december 2023 beskriver svindlere, der dækker den rigtige QR-kode på en parkeringsbillet med deres eget klistermærke, og advarer klart: "Scan ikke en QR-kode i en mail eller tekstbesked, du ikke forventede," især ikke én, der presser dig til at handle øjeblikkeligt. FBI's IC3 offentlige servicemeddelelse fra januar 2022 siger det samme om manipulation — "Cyberkriminelle manipulerer både digitale og fysiske QR-koder for at erstatte legitime koder med ondsindet koder" — og fortæller folk at tjekke fysiske koder for "et klistermærke placeret oven på den oprindelige kode." En kode til at genaktivere udløbende multi-factor authentication, en underskriftsanmodning, som du ikke forventede, en forsendelsesbeskrivelse, der beder dig om at bekræfte levering: designmålet er altid en lille, plausibel grund til at løfte telefonen, før noget kontrolleres.

Så er de defensive træk de kedelige, og de er dem, som bureauerne faktisk udgiver. IC3's råd for en besked, der vil have en betaling eller login efter en scanning: "ring til virksomheden for at verificere," idet du bruger "virksomhedens telefonnummer gennem et troværdigt websted i stedet for et nummer angivet i mailen," og "undgå at foretage betalinger gennem et websted navigeret til fra en QR-kode. I stedet skal du manuelt indtaste en kendt og troværdig URL." Intet af det kræver, at du bedømmer, om en bestemt firkant er ondsindet — hvilket er den del, ingen mennesker er gode til.

En ting, som en QR-kode i en mail aldrig fortæller dig, er, om beskeden var forfalsknet. Domæneautentificering besvarer et helt anderledes spørgsmål, og den nuværende DMARC-specifikation placerer eksplicit "indholddsanalyse" uden for sit område — hvorfor en fuldt godkendt besked kan bære et ondsindet billede. Den mekanisme er værd sin egen læsning, og det er emnet for en ledsagerartikel i denne serie.

Rettelse, 20. oktober 2026. En tidligere version af denne artikel sagde, at et spamfilter ikke kan læse en QR-kode, og at scannere er blinde over for den kodede adresse. Det er sandt for nogle email-sikkerhedsprodukter og ikke for andre: Microsoft dokumenterede URL-udtrækning fra QR-koder i Defender for Office 365 i november 2024, og NCSC's formulering er, at ikke alle værktøjer scanner billeder. Artiklen citerede også et tal på cirka 25% af email-phishing, der bruger QR-koder, tilskrevet Microsoft; ingen Microsoft-publikation, der støtter denne andel, kunne findes, så tallet er blevet fjernet og erstattet med tal, som Microsoft udgiver direkte, med deres produkt og periode angivet. Et demonstrationsphishing-domæne, som var blevet gengivet som et aktivt link, er blevet erstattet med et ikke-klikbart eksempel på den reserverede .example-namespace, og en henvisning til CISA-hjemmesiden er blevet erstattet med de specifikke FBI IC3- og FTC-vejledninger.