Γιατί οι Απατεώνες Άρχισαν να σας Στέλνουν Φωτογραφίες Συνδέσμων

Ένας σαρωτής συνδέσμων είναι κάτι απλό και ασυγχώρητο. Διαβάζει τις συνδέσμους κειμένου URL στο email, τις ελέγχει έναντι λιστών γνωστών κακών τομέων, ακολουθεί ανακατευθύνσεις και σημαδεύει αυτές που οδηγούν κάπου επικίνδυνο. Είναι καλός στη δουλειά του. Έτσι οι απατεώνες έκαναν το προφανές: σταμάτησαν να στέλνουν συνδέσμους.

Άρχισαν να στέλνουν φωτογραφίες συνδέσμων.

Αυτό είναι το κόλπο πίσω από το "quishing" — QR-code phishing. Ένας κωδικός QR είναι ένα URL κωδικοποιημένο ως εικόνα μαύρου-λευκού, έτσι ώστε ένας προορισμός όπως login-verify.example να σταματήσει να είναι κείμενο στο σώμα του μηνύματος και να γίνει pixels. Το σημείο δεν είναι ότι η διεύθυνση είναι κρυπτογραφημένη· η κάμερα του καθενός την αποκωδικοποιεί ακαριαία. Το σημείο είναι ότι δεν είναι πλέον γραμμένη κάπου που εσείς, ή ένας αναλυτής κειμένου, μπορείτε να διαβάσετε πριν δεσμευτείτε.

Το αν ένα φίλτρο μπορεί ακόμα να το διαβάσει εξαρτάται εξ ολοκλήρου από το προϊόν. Το National Cyber Security Centre του Ηνωμένου Βασιλείου θέτει το όριο με προσεκτικές λέξεις στη σημείωσή του του Φεβρουαρίου 2024 σχετικά με κωδικούς QR: "Δεν θα σαρώσουν όλα τα εργαλεία ασφαλείας που έχουν σχεδιαστεί για τον εντοπισμό phishing emails τις εικόνες." Προσέξτε τι δεν λέει. Δεν λέει ότι κανένα δεν το κάνει. Η Microsoft δημοσίευσε το άλλο μέρος του το Νοέμβριο 2024: το Defender for Office 365, έγραψε, "έχει βελτιώσει τις δυνατότητές του για την εξαγωγή URL από κωδικούς QR," χρησιμοποιώντας επεξεργασία εικόνας νωρίς στη ροή του ταχυδρομείου για "εξαγωγή και καταγραφή URL κρυμμένων εντός κωδικών QR," και τώρα εξάγει επίσης μεταδεδομένα QR και αναζητά το περιβάλλον pattern — ελάχιστο κείμενο σώματος, μια δέλεαρ της μάρκας, μια αλυσίδα ανακατεύθυνσης. Έτσι η φράση "το φίλτρο δεν μπορεί να το διαβάσει" ήταν αληθής για πολλά προϊόντα για λίγο, είναι ακόμα αληθής για μερικά, και δεν είναι νόμος της φύσης. Αν θέλετε να γνωρίζετε αν είναι αληθής για τον δικό σας mail, αυτή είναι μια ερώτηση σχετικά με το προϊόν και τη διαμόρφωση του παρόχου σας, όχι σχετικά με κωδικούς QR.

Τα νούμερα που είναι επαληθεύσιμα προέρχονται από τον ίδιο κατασκευαστή, και αξίζει να διαβαστούν με το πλαίσιο που συνοδεύει. Η ανάρτηση της Microsoft του Νοεμβρίου 2024 περιγράφει μια αύξηση με "ορισμένες επιθέσεις που αυξάνονται με ρυθμό 270% ανά μήνα," λέει ότι "στο κορυφό, το Defender for Office 365 έπλεξε 3 εκατομμύρια προσπάθειες ημερησίως," και ότι μετά την αποστολή του έργου ανίχνευσης "έχουμε δει αυτό το νούμερο να συρρικνώνεται σε 200.000 προσπάθειες QR code phishing κάθε ημέρα." Η Microsoft Digital Defense Report 2026 θέτει ένα σύνολο στην τρέχουσα κλίμακα: 145+ εκατομμύρια επιθέσεις QR-code phishing ανιχνεύτηκαν μεταξύ Ιουλίου 2025 και Ιουνίου 2026 από το Defender for Office 365. Όλα αυτά τα νούμερα είναι τηλεμετρία ενός κατασκευαστή για το δικό του προϊόν, αυτο-αναφερόμενα. Δεν είναι μερίδιο όλου του phishing, και δεν είναι ένα σύνολο του κλάδου — μια προηγούμενη έκδοση αυτού του άρθρου cited a 25% share που κανένα Microsoft publication δεν φαίνεται να υποστηρίζει, και αυτό το νούμερο έχει αφαιρεθεί παρά το να αντικατασταθεί.

Αυτό που κάνει τη τεχνική ανθεκτική είναι η παράδοση, όχι η κωδικοποίηση. Το email προσγειώνεται σε ένα φορητό, όπου ζουν το εταιρικό φίλτρο, ο διαχειριζόμενος ιστοσελίδας και ο διαχειριστής κωδικών πρόσβασης. Ο κωδικός σαρώνεται σε ένα κινητό, το οποίο είναι συνήθως ένα προσωπικό устройство. Το NCSC αναφέρει αυτό μεταξύ των λόγων που οι εγκληματίες προτιμούν τη μέθοδο: "Τα προσωπικά устройства ενδέχεται να μην έχουν τις ίδιες προστασίες ασφαλείας με έναν υπολογιστή που παρέχεται από τον εργοδότη σας." Σε ένα κινητό η γραμμή διευθύνσεων συντέμνεται, το πλήρες URL είναι δύσκολο να επιθεωρηθεί, και ένας διαχειριστής κωδικών πρόσβασης που θα είχε αρνηθεί να αυτοσυμπληρώσει στο λάθος πεδίο δεν εμπλέκεται καθόλου.

Τα θέματα είναι βαρετά προβλέψιμα, το οποίο είναι αποκάλυψη καθ'αυτό, και εμφανίζονται στις προειδοποιήσεις των καταναλωτών σχεδόν λέξη για λέξη. Η προειδοποίηση του FTC του Δεκεμβρίου 2023 περιγράφει απατεώνες που καλύπτουν τον πραγματικό κωδικό QR σε έναν κλήμακα στάθμευσης με το δικό τους αυτοκόλλητο, και προειδοποιεί ξεκάθαρα: "Μην σαρώνετε έναν κωδικό QR σε ένα email ή μήνυμα κειμένου που δεν περιμένατε," ειδικά έναν που σας πιέζει να δράσετε αμέσως. Η δημόσια ανακοίνωση υπηρεσίας του FBI IC3 του Ιανουαρίου 2022 λέει το ίδιο για τη μεσολάβηση — "Οι κυβερνοέγκληματίες παρεμβαίνουν και στους ψηφιακούς και στους φυσικούς κωδικούς QR για να αντικαταστήσουν τους νόμιμους κωδικούς με κακόβουλους κωδικούς" — και λέει στους ανθρώπους να ελέγχουν τους φυσικούς κωδικούς για "ένα αυτοκόλλητο τοποθετημένο πάνω στον αρχικό κωδικό." Ένας κωδικός για την ξανα-ενεργοποίηση κατά τη λήξης του πολλαπλού παράγοντα ταυτοποίησης, μια υπογραφή που δεν περιμένατε, μια ειδοποίηση αποστολής που σας ζητάει να επιβεβαιώσετε την παράδοση: ο στόχος του σχεδιασμού είναι πάντα μια μικρή, εύλογη αιτία για να σηκώσετε το κινητό πριν ελεγχθεί κάτι.

Έτσι οι αμυντικές κινήσεις είναι οι βαρετές, και είναι αυτές που οι υπηρεσίες εκ των προτέρων δημοσιεύουν. Η συμβουλή του IC3, για ένα μήνυμα που θέλει μια πληρωμή ή σύνδεσμο μετά από μια σάρωση: "καλέστε την εταιρεία για επαλήθευση," χρησιμοποιώντας "τον αριθμό τηλεφώνου της εταιρείας μέσω ενός αξιόπιστου ιστότοπου παρά έναν αριθμό που παρέχεται στο email," και "αποφύγετε τις πληρωμές μέσω ενός ιστότοπου που περιηγήθηκε από έναν κωδικό QR. Αντί αυτού, εισάγετε χειροκίνητα ένα γνωστό και αξιόπιστο URL." Τίποτα σχετικά με αυτό δεν απαιτεί να κρίνετε αν ένα συγκεκριμένο τετράγωνο είναι κακόβουλο — το οποίο είναι το μέρος στο οποίο κανένας ανθρώπος δεν είναι καλός.

Ένα πράγμα που ένας κωδικός QR σε ένα email δεν σας λέει ποτέ είναι αν το μήνυμα ήταν πλαστογραφημένο. Ο πιστοποίηση τομέα απαντά σε ένα εντελώς διαφορετικό ερώτημα, και η τρέχουσα προδιαγραφή DMARC ρητά θέτει την "ανάλυση περιεχομένου" έξω από το πεδίο εφαρμογής της — γι' αυτό και ένα πλήρως πιστοποιημένο μήνυμα μπορεί να φέρει μια κακόβουλη εικόνα. Αυτό το μηχανισμό αξίζει την δική του ανάγνωση, και είναι το θέμα ενός συνοδευτικού άρθρου σε αυτή τη σειρά.

Διόρθωση, 20 Οκτωβρίου 2026. Μια προηγούμενη έκδοση αυτού του άρθρου είπε ότι ένα φίλτρο spam δεν μπορεί να διαβάσει έναν κωδικό QR και ότι οι σαρωτές είναι τυφλοί στη κωδικοποιημένη διεύθυνση. Αυτό είναι αληθές για μερικά προϊόντα ηλεκτρονικής ασφαλείας και όχι για άλλα: η Microsoft τεκμηρίωσε εξαγωγή URL από κωδικούς QR στο Defender for Office 365 το Νοέμβριο 2024, και η διατύπωση του NCSC είναι ότι δεν θα σαρώσουν όλα τα εργαλεία τις εικόνες. Το άρθρο cited επίσης ένα νούμερο περίπου 25% του phishing email χρησιμοποιώντας κωδικούς QR, αποδοθέν στη Microsoft· κανένα Microsoft publication που να υποστηρίζει αυτό το ποσοστό δεν μπορούσε να βρεθεί, έτσι το νούμερο έχει αφαιρεθεί και αντικατασταθεί με νούμερα που η Microsoft δημοσιεύει απευθείας, με το προϊόν τους και την περίοδο που δηλώνεται. Ένα phishing domain επίδειξης που είχε αποδοθεί ως ζωντανός σύνδεσμος έχει αντικατασταθεί με ένα μη κλικ-ικό παράδειγμα στο reserved .example namespace, και μια παραπομπή στην αρχική σελίδα CISA έχει αντικατασταθεί με τις συγκεκριμένες συμβουλές FBI IC3 και FTC.

@@END@@