کد QR نمی‌تواند در بررسی DMARC شکست بخورد، و دقیقاً همین است که کلاهبرداران آن را دوست دارند

دفاع ایمیل یک ماشین واحد نیست. حداقل دو ماشین است و هر کدام به سؤالات متفاوتی پاسخ می‌دهند. اولی می‌پرسد که چه کسی مجاز به ارسال ایمیل با استفاده از این نام دامنه است. دومی می‌پرسد که آنچه پیام شامل آن است خطرناک است یا نه. کد QR از طریق طراحی از اولی عبور می‌کند، و اینکه از دومی عبور کند یا نه به این بستگی دارد که کدام محصول ایمیل شما را می‌خواند.

با اولی شروع کنید، چون آن یکی است که مردم نام آن را اشتباه می‌گویند. SPF بررسی می‌کند که سرویس‌دهنده ارسال کننده مجاز است برای یک دامنه ایمیل ارسال کند. DKIM یک امضای رمزنگاری شده بر روی پیام را بررسی می‌کند. DMARC نیاز دارد که یکی از آن شناسه‌های تأیید شده با دامنه در سرآیند From: قابل دیدار هم‌راستا شود، و به مالک دامنه اجازه می‌دهد یک ترجیح برای آنچه باید اتفاق بیفتد زمانی که آن هم‌راستایی ناموفق باشد منتشر کند. مشخصه‌نامه فعلی، RFC 9989، به وضوح بیان می‌کند که این یک ترجیح است و نه دستور: «رسیدگی نهایی به هر پیام همیشه مسئله‌ی سیاست محلی است و به صلاحدید گیرنده پست واگذار می‌شود.»

اکنون بخشی که برای کدهای QR مهم است. همان مشخصه‌نامه چیزهایی را فهرست می‌کند که عمداً از حوصله‌ی آن خارج است، و در آن فهرست، در آن دو کلمه، «تحلیل محتوا» است. DMARC هرگز برای خواندن پیوندها ساخته نشده است، و توسط تصاویر تخریب نشده است. در مورد بدنه‌ی پیام اصلاً نظری ندارد. همچنین به وضوح می‌گوید که یک عبور DMARC برابر چه است: «یک عبور DMARC به تنهایی تضمین نمی‌کند که تحویل به صندوق ورودی دریافت‌کننده ایمن یا مطلوب باشد.» بنابراین یک جنایتکار که یک دامنه‌ی یکبار‌مصرف ثبت می‌کند، SPF و DKIM را به‌درستی بر روی آن تنظیم می‌کند و یک رکورد DMARC منتشر می‌کند، می‌تواند برای شما پیامی بفرستد که تمام بررسی‌های احراز هویت را به وضوح عبور دهد. هیچ چیزی دوری نرفته نشد. پاکت واقعاً توسط طرفی که آن را امضا کرد امضا شده بود. سؤال اینکه آیا مربع پیوست شده به جایی می‌رود که رمز عبور شما را می‌دزدد هرگز در فرم لایه‌ی احراز هویت نبود.

آن سؤال متعلق به دومی است، و اینجاست که اطلاقات‌ها از هم می‌پاشند. یک پیوند متنی در بدنه‌ی پیام چیزی است که یک فیلتر محتوا می‌تواند استخراج کند، بسط دهد و با داده‌های شهرت مقایسه کند. یک URL درون تصویر QR باید ابتدا از پیکسل‌ها بازیابی شود، و این توانایی جهانی نیست. مرکز امنیت‌کاسای ملی بریتانیا (National Cyber Security Centre - NCSC)، در یک نوشته‌ی فوریه 2024 از Dave Chismon، حد را دقیقاً بیان می‌کند: «نه تمام ابزارهای امنیتی طراحی‌شده برای تشخیص ایمیل‌های فیشینگ تصاویر را اسکن می‌کنند.» مایکروسافت، در نوامبر 2024، طرف دیگر را مستند کرد — Defender for Office 365 «توانایی‌های خود را برای استخراج URL‌ها از کدهای QR بهبود بخشیده است»، آن‌ها را با پردازش تصویر در اوایل جریان پست استخراج می‌کند و اکنون ابرداده‌های QR و الگوی اطراف را نیز استخراج می‌کند و امتیاز‌دهی می‌کند. مایکروسافت همچنین آنچه را که در تلمتری خود تغییر یافت منتشر کرد: در اوج «روزانه 3 میلیون تلاش را مسدود می‌کرد»، و پس از اینکه کار تشخیص راه‌اندازی شد، «ما این عدد را به 200,000 تلاش فیشینگ کد QR در روز کاهش یافته دیده‌ایم.» یک فروشنده، یک محصول، خود‌گزارش‌شده — اما قابل بررسی، که بیش‌تر از درصدهای سراسری است که با این موضوع گردش می‌کند. نسخه‌ی قبلی این مقاله یکی از آن درصدها را حمل می‌کرد؛ حذف شده است زیرا مبدأ آن را نتوانستند تعیین کنند.

هشدار مصرف‌کننده FTC از 6 دسامبر 2023، از Alvaro Puig متخصص آموزش مصرف‌کننده، جایی است که نسخه‌ی روزمره‌ی مسئله بیان شده است: کلاهبرداران که کد پارکومتر واقعی را با برچسب خود پوشش می‌دهند، پیامی که ادعا می‌کند یک بسته‌ی تحویلی نتوانسته است، یک حساب که قرار است دوباره فعال‌شود. توصیه‌ی آن یک جملهٌ است و نیازی ندارد که هر کدی را ارزیابی کنید: «کد QR را در ایمیل یا پیام متنی که انتظار نمی‌رفتید اسکن نکنید.» اعلان IC3 FBI از ژانویه 2022 علامت فیزیکی را اضافه می‌کند — بررسی کنید که «برچسبی بر روی کد اصلی قرار دارد یا نه» — و یکی را رویه‌ای: برای پیامی که پرداختی می‌خواهد، «شرکت را با استفاده از یک شماره تلفن تأیید کنید که از طریق یک سایت قابل‌اعتماد یافت‌شده است نه شماره‌ای که در ایمیل ارائه شده است»، و «از انجام پرداخت‌ها از طریق سایتی که از کد QR به آن هدایت شده‌اید خودداری کنید. درعوض، URL شناخته‌شده و قابل‌اعتماد را به‌طور دستی وارد کنید.»

و سپس دستگاهی است، که دلیل واقعی است که این به کار ادامه می‌دهد. کد QR بر روی لپ‌تاپی اسکن نمی‌شود که مرورگر مدیریت‌شده، فیلتر شرکتی و مدیر رمز عبور که از تکمیل خودکار بر روی دامنهٌ غلط امتناع می‌ورزند بر روی آن زندگی می‌کنند. بر روی تلفن اسکن می‌شود، که NCSC آن را در میان دلایلی می‌آورد که جنایتکاران از این روش استقبال می‌کنند: «دستگاه‌های شخصی ممکن است حفاظت‌های امنیتی یکسانی با رایانه‌ای که توسط کارفرمای شما فراهم شده است نداشته‌باشند.» بر روی تلفن، نوار آدرس کوتاه می‌شود، بازنگری URL کامل دشوار است، و فردی که اسکن را انجام می‌دهد معمولاً جایی ایستاده است، مایل‌تر به کنایه، بدون خواندن دقیق.

بنابراین خلاصهٌ صادقانه باریک‌تر از «فیلترها کور هستند» است. احراز هویت دامنه در حال کار است و به سؤال خود به‌درستی پاسخ می‌دهد. تحلیل محتوای تصاویر QR موجود است، در برخی محصولات مستقر است و نه برخی دیگر، و حداقل در یکی از آنها در 2024 قابل‌اندازه‌ای بهتر شد. این حمله به زندگی می‌ماند زیرا لحظهٌ تصمیم‌گیری را به دستگاهی منتقل می‌کند که بیرون اکثر آن ماشین‌ها قرار دارد، و در مقابل فردی که برای سال‌ها مربی‌شده است تا یک مربع کوچک را به عنوان تسهیل تلقی کند. مربع به فیلتر دروغ نمی‌گوید. گفتگو را به شما منتقل می‌کند.

تصحیح، 20 اکتبر 2026. نسخهٌ قبلی این مقاله می‌گفت که هر فیلتر هرزنامه و هر بررسیِ سرصحافت برای خواندن متن ساخته شده است و کد QR برای تمام آنها نامرئی است. احراز هویت دامنه محتوا را طراحی‌شده به‌صورت فاقد بررسی نمی‌کند — مشخصهٌ نامه DMARC «تحلیل محتوا» را از حوصله خارج می‌کند — اما فیلترکردن محتوا یک لایهٌ متجزا است، و مایکروسافت استخراج URL QR را در Defender for Office 365 در نوامبر 2024 مستند کرد، در حالی که بیان NCSC این است که نه تمام ابزارها تصاویر را اسکن می‌کنند. یک آماری که 22٪ فیشینگ آنلاین اواخر 2023 را به کدهای QR نسبت می‌دهد حذف شده است زیرا هیچ منبع اولیهٌ آن را نتوانستند شناسایی کنند؛ با یک رقم تقریبی جایگزین نشده است. یک استناد به صفحهٌ NCSC که در واقع درباره‌ی کدهای QR بحث نمی‌کند با نوشتهٌ وبلاگ NCSC که این‌کار می‌کند جایگزین شده است، هشدار FTC اکنون به‌دقیق تاریخ‌دار است، و دامنهٌ فیشینگ نمایش داده‌شده با مثالی غیرقابل‌کلیک در فضای ذخیره‌شدهٌ .example جایگزین شده است.

@@END@@