Ένας κωδικός QR δεν μπορεί να αποτύχει σε έναν έλεγχο DMARC, και αυτό είναι ακριβώς γιατί τον αγαπούν οι απατεώνες

Η άμυνα του ηλεκτρονικού ταχυδρομείου δεν είναι ένα μηχάνημα. Είναι τουλάχιστον δύο, και απαντούν σε διαφορετικές ερωτήσεις. Το πρώτο ρωτά ποιος είχε εξουσιοδότηση να στείλει ταχυδρομείο χρησιμοποιώντας αυτό το όνομα τομέα. Το δεύτερο ρωτά εάν αυτό που περιέχει το μήνυμα είναι επικίνδυνο. Ένας κωδικός QR περνάει το πρώτο με σχεδιασμό, και το αν περνάει το δεύτερο εξαρτάται από ποιο προϊόν διαβάζει το ταχυδρομείο σου.

Ξεκίνα με το πρώτο μηχάνημα, επειδή είναι αυτό που οι άνθρωποι δίνουν λάθος όνομα. Το SPF ελέγχει εάν ο διακομιστής αποστολής έχει άδεια να στέλνει για έναν τομέα. Το DKIM ελέγχει μια κρυπτογραφική υπογραφή του μηνύματος. Το DMARC απαιτεί ότι ένας από αυτούς τους πιστοποιημένους αναγνωριστικούς συντελεστές να ευθυγραμμίζεται με τον τομέα στο ορατό header From:, και επιτρέπει στον κάτοχο του τομέα να δημοσιεύσει μια προτίμηση για το τι πρέπει να συμβεί όταν αυτή η ευθυγράμμιση αποτύχει. Η τρέχουσα προδιαγραφή, RFC 9989, είναι ρητή ότι είναι μια προτίμηση και όχι μια εντολή: «Η τελική διαχείριση οποιουδήποτε μηνύματος είναι πάντα θέμα τοπικής πολιτικής και αφήνεται στη διακριτική ευχέρεια του Mail Receiver.»

Τώρα το μέρος που σημαίνει για τους κωδικούς QR. Η ίδια προδιαγραφή παραθέτει αυτό που είναι σκόπιμα εκτός του πεδίου εφαρμογής της, και σε αυτή τη λίστα, σε εκείνες τις δύο λέξεις, είναι «content analysis» (ανάλυση περιεχομένου). Το DMARC δεν χτίστηκε ποτέ για να διαβάζει συνδέσμους, και δεν έχει υποβαθμιστεί από εικόνες. Δεν έχει άποψη για το σώμα του μηνύματος καθόλου. Δηλώνει επίσης σαφώς τι αξίζει ένα επιτυχημένο αποτέλεσμα: «ένα DMARC pass από μόνο του δεν εγγυάται ότι η παράδοση στο inbox του παραλήπτη θα ήταν ασφαλής ή επιθυμητή.» Έτσι ένας εγκληματίας που καταχωρεί έναν τομέα μιας χρήσης, διαμορφώνει σωστά το SPF και το DKIM σε αυτόν και δημοσιεύει ένα DMARC record μπορεί να σου στείλει ένα μήνυμα που περνάει κάθε έλεγχο πιστοποίησης καθαρά. Τίποτα δεν παραβιάστηκε. Το envelope πραγματικά υπογράφηκε από το μέρος που το υπέγραψε. Το ερώτημα για το αν το συνημμένο τετράγωνο σε οδηγεί κάπου που κλέβει τον κωδικό σας ήταν ποτέ στη φόρμα του επιπέδου πιστοποίησης.

Αυτό το ερώτημα ανήκει στο δεύτερο μηχάνημα, και εδώ τα απόλυτα αποτυγχάνουν. Ένας σύνδεσμος κειμένου σε ένα σώμα μηνύματος είναι κάτι που ένα φίλτρο περιεχομένου μπορεί να εξαγάγει, να επεκτείνει και να συγκρίνει με δεδομένα φήμης. Ένα URL μέσα σε μια εικόνα QR πρέπει πρώτα να ανακτηθεί από pixels, και αυτή η δυνατότητα δεν είναι καθολική. Το National Cyber Security Centre του UK, σε μια ανάρτηση Φεβρουαρίου 2024 από τον Dave Chismon, δίνει το όριο ακριβώς: «Όχι όλα τα εργαλεία ασφάλειας σχεδιασμένα για να ανιχνεύουν ηλεκτρονικές απάτες θα σαρώνουν εικόνες.» Η Microsoft, τον Νοέμβριο 2024, τεκμηρίωσε την άλλη πλευρά — το Defender for Office 365 «έχει βελτιώσει τις ικανότητές του για την εξαγωγή URLs από κωδικούς QR,» τραβώντας τους με επεξεργασία εικόνας νωρίς στη ροή ταχυδρομείου και τώρα επίσης εξάγει QR metadata και βαθμολογώντας το περιβάλλον μοτίβο. Η Microsoft δημοσίευσε επίσης τι αυτό άλλαξε στη δική της τηλεμετρία: στην κορυφή ήταν «μπλοκάρει 3 εκατομμύρια προσπάθειες ημερησίως,» και αφού η δουλειά ανίχνευσης αποστάλθηκε, «έχουμε δει αυτό το νούμερο να συρρικνώνεται σε 200.000 προσπάθειες phishing κωδικών QR κάθε ημέρα.» Ένας πωλητής, ένα προϊόν, αυτο-αναφερόμενο — αλλά ελέγξιμο, που είναι περισσότερα από ό,τι μπορεί να ειπωθεί για τα ποσοστά σε ολόκληρο τον κλάδο που κυκλοφορούν με αυτό το θέμα. Μια προηγούμενη έκδοση αυτού του άρθρου μετέφερε ένα από εκείνα τα ποσοστά· έχει αφαιρεθεί γιατί η προέλευσή του δεν μπορούσε να επιβεβαιωθεί.

Η ειδοποίηση καταναλωτών της FTC της 6 Δεκεμβρίου 2023, από τον ειδικό εκπαίδευσης καταναλωτών Alvaro Puig, είναι όπου παρουσιάζεται το καθημερινό έκδοχο του προβλήματος: απατεώνες που καλύπτουν έναν πραγματικό κωδικό μετρητή χώρου στάθμευσης με το δικό τους αυτοκόλλητο, ένα μήνυμα που ισχυρίζεται ότι ένα πακέτο δεν μπόρεσε να παραδοθεί, έναν λογαριασμό που υποτίθεται χρειάζεται επανενεργοποίηση. Η συμβουλή του είναι μία πρόταση και δεν απαιτεί να αξιολογήσεις οποιοδήποτε συγκεκριμένο κωδικό: «Μην σκανάρεις έναν κωδικό QR σε ένα email ή text message που δεν περίμενες.» Η ανακοίνωση του IC3 του FBI από Ιανουάριο 2022 προσθέτει το φυσικό σημάδι — έλεγχος για το αν υπάρχει «ένα αυτοκόλλητο τοποθετημένο πάνω από τον αρχικό κωδικό» — και το διαδικαστικό: για ένα μήνυμα που θέλει μια πληρωμή, «καλέστε την εταιρεία για να επαληθεύσετε,» χρησιμοποιώντας έναν αριθμό που βρέθηκε «μέσω ενός αξιόπιστου ιστότοπου παρά ενός αριθμού που παρέχεται στο email,» και «αποφύγετε να κάνετε πληρωμές μέσω ενός ιστότοπου περιηγημένου από έναν κωδικό QR. Αντίθετα, εισάγετε χειροκίνητα μια γνωστή και αξιόπιστη διεύθυνση URL.»

Και μετά υπάρχει η συσκευή, που είναι ο πραγματικός λόγος για τον οποίο αυτό συνεχίζει να λειτουργεί. Ένας κωδικός QR δεν σκανάρεται στο laptop όπου ο διαχειριζόμενος περιηγητής, το κorporate filter και ο διαχειριστής κωδικού πρόσβασης που αρνείται να αυτοπληρώνεται στο λάθος τομέα όλα ζουν. Σκανάρεται σε ένα τηλέφωνο, το οποίο ο NCSC αναφέρει ανάμεσα στους λόγους για τους οποίους τα εγκληματικά σχήματα προτιμούν τη μέθοδο: «Οι προσωπικές συσκευές ενδέχεται να μην έχουν τις ίδιες προστασίες ασφάλειας με έναν υπολογιστή που παρέχεται από τον εργοδότη σας.» Σε ένα τηλέφωνο η γραμμή διευθύνσεων περικόπτεται, η πλήρης διεύθυνση URL είναι δύσκολη να επιθεωρηθεί, και το άτομο που κάνει το σάρωμα συνήθως στέκεται κάπου, ελαφρώς ενοχλημένο, και δεν διαβάζει προσεκτικά.

Έτσι η ειλικρινής σύνοψη είναι στενότερη από «τα φίλτρα είναι τυφλά.» Η πιστοποίηση τομέα λειτουργεί και απαντά στη δική της ερώτηση σωστά. Η ανάλυση περιεχομένου εικόνων QR υπάρχει, είναι ανεπτυγμένη σε ορισμένα προϊόντα και όχι σε άλλα, και βελτιώθηκε μετρήσιμα τουλάχιστον σε ένα από αυτά το 2024. Η επίθεση επιζεί γιατί μετακινεί την κρίσιμη στιγμή σε μια συσκευή που κάθεται έξω από το μεγαλύτερο μέρος εκείνης της μηχανικής, και μπροστά από έναν άνθρωπο που εκπαιδεύτηκε για χρόνια να θεωρεί ένα μικρό τετράγωνο ως μια ευκολία. Το τετράγωνο δεν λέει ψέματα στο φίλτρο. Μετακινεί τη συζήτηση σε εσένα.

Διόρθωση, 20 Οκτωβρίου 2026. Μια προηγούμενη έκδοση αυτού του άρθρου έλεγε ότι κάθε φίλτρο spam και κάθε έλεγχος header χτίστηκαν για να διαβάζουν κείμενο και ότι ένας κωδικός QR είναι αόρατος σε όλα τους. Η πιστοποίηση τομέα δεν εξετάζει περιεχόμενο κατά σχεδιασμό — η προδιαγραφή DMARC παραθέτει «content analysis» ως εκτός πεδίου — αλλά το φιλτράρισμα περιεχομένου είναι ένα ξεχωριστό επίπεδο, και η Microsoft τεκμηρίωσε την εξαγωγή URL QR στο Defender for Office 365 τον Νοέμβριο 2024, ενώ η διατύπωση του NCSC είναι ότι όχι όλα τα εργαλεία σαρώνουν εικόνες. Ένα στατιστικό που αποδίδει 22% του phishing στα τέλη 2023 σε κωδικούς QR έχει αφαιρεθεί γιατί δεν ήταν δυνατό να εντοπιστεί κανένα πρωτογενές πηγή για αυτό· δεν έχει αντικατασταθεί με ένα προσεγγιστικό ποσοστό. Μια παραπομπή σε μια σελίδα NCSC που δεν συζητά στην πραγματικότητα κωδικούς QR έχει αντικατασταθεί με την ανάρτηση ιστολογίου NCSC που το κάνει, η ειδοποίηση FTC διαθέτει τώρα ακριβή ημερομηνία, και ένας τομέας δημοτικής ηλεκτρονικής απάτης έχει αντικατασταθεί με ένα μη-κλικάρισμα παράδειγμα στο ταμεία .example namespace.

@@END@@