چرا کلاهبرداران شروع به ارسال تصاویر لینک‌ها برای شما کردند

اسکنر لینک چیزی ساده و بی‌امان است. متون URL را در ایمیل می‌خواند، آن‌ها را با فهرست‌های دامنه‌های معروفاً بد مقایسه می‌کند، تغییرمسیرها را دنبال می‌کند و آن‌هایی را که به جای بدی منتهی می‌شوند پرچم‌گذاری می‌کند. در کار خود ماهر است. پس کلاهبرداران کار آشکار را انجام دادند: ارسال لینک را متوقف کردند.

آن‌ها شروع به ارسال تصاویر لینک‌ها کردند.

این ترفند پشت «quishing» — فیشینگ کد QR — است. کد QR یک URL است که به صورت تصویر سیاه و سفید رمزگذاری شده است، پس مقصدی مانند login-verify.example دیگر متن در بدنه پیام نیست و به پیکسل‌ها تبدیل می‌شود. نکته این نیست که آدرس رمزگذاری شده است؛ دوربین هر کسی آن را فوری رمزگشایی می‌کند. نکته این است که دیگر در جایی که شما یا یک تجزیه‌کننده‌ی متنی بتوانید بخوانید، قبل از تعهد، نوشته نشده است.

اینکه فیلتر هنوز هم می‌تواند آن را بخواند کاملاً به محصول بستگی دارد. مرکز ایمنی سایبری ملی بریتانیا این محدودیت را در یادداشت فوریه ۲۰۲۴ خود درباره‌ی کدهای QR با الفاظ احتیاط‌آمیز بیان می‌کند: «نه همه‌ی ابزارهای امنیتی طراحی‌شده برای شناسایی ایمیل‌های فیشینگ از تصاویر اسکن می‌کنند.» توجه کنید که این عبارت چه نمی‌گوید. نمی‌گوید هیچ‌کدام آن را نمی‌کنند. مایکروسافت در نوامبر ۲۰۲۴ طرف دیگر آن را منتشر کرد: Defender for Office 365، آن نوشت، «توانایی‌های خود را برای استخراج URL‌ها از کدهای QR بهبود بخشیده است»، با استفاده از پردازش تصویر در ابتدای جریان ایمیل برای «استخراج و ثبت URL‌های پنهان در کدهای QR»، و اکنون فراتبیانات کد QR را هم استخراج می‌کند و به دنبال الگوی اطراف می‌گردد — متن بدنه کمینه، طعمه برند، زنجیره‌ی تغییرمسیر. پس «فیلتر نمی‌تواند آن را بخواند» برای بسیاری از محصولات برای مدتی درست بود، برای برخی هنوز درست است، و قانون طبیعت نیست. اگر می‌خواهید بدانید این برای ایمیل خود درست است یا نه، این سؤال درباره‌ی محصول و پیکربندی ارائه‌دهنده‌ی شما است، نه درباره‌ی کدهای QR.

اعدادی که قابل بررسی هستند از همان فروشنده می‌آیند و شایسته‌ی خواندن با محدوده‌ی متصل هستند. پست نوامبر ۲۰۲۴ مایکروسافت رشدی را با «برخی از حملات با نرخ رشد ۲۷۰٪ در ماه» توصیف می‌کند، می‌گوید که «در اوج، Defender for Office 365 روزانه ۳ میلیون تلاش را مسدود می‌کرد»، و اینکه پس از ارسال کار تشخیص «ما این عدد را کاهش یافته به ۲۰۰,۰۰۰ تلاش فیشینگ کد QR در هر روز دیده‌ایم.» Digital Defense Report ۲۰۲۶ مایکروسافت مجموعی روی مقیاس فعلی می‌گذارد: ۱۴۵+ میلیون حمله‌ی فیشینگ کد QR تشخیص‌یافته بین جولای ۲۰۲۵ و جون ۲۰۲۶ توسط Defender for Office 365. تمام این ارقام تلمتری یک فروشنده برای محصول خود است، خود‌گزارش‌شده. آن‌ها سهمی از تمام فیشینگ نیستند و کل صنعت نیستند — یک نسخه‌ی قبلی از این مقاله ۲۵٪ سهمی را نقل کرد که هیچ انتشار مایکروسافت به آن‌ها نمی‌رسد، و آن رقم به جای جایگزینی حذف شده است.

آنچه روش را دوام‌بخش می‌کند انتقال است، نه رمزگذاری. ایمیل روی لپ‌تاپ فرود می‌آید، جایی که فیلتر شرکت، مرورگر مدیریت‌شده و مدیر گذرواژه زندگی می‌کنند. کد روی گوشی اسکن می‌شود، که معمولاً دستگاه شخصی است. NCSC این را میان دلایل به دنبال کاری می‌برد که جنایتکاران روش را ترجیح می‌دهند: «دستگاه‌های شخصی ممکن است محافظت‌های امنیتی یکسانی نداشته باشند که کامپیوتری که توسط کارفرمای شما فراهم می‌شود.» روی گوشی خط نشانی کاتالوگ می‌شود، URL کامل بررسی کردن سخت است، و مدیر گذرواژه‌ای که در دامنه‌ی اشتباه پر کردن خودکار را رد کرده بود دخالت ندارد.

مضامین بی‌حس و بدون انتظار هستند، که خود یک نشانه است، و آن‌ها در هشدارهای مصرف‌کننده تقریباً کلمه به کلمه ظاهر می‌شوند. هشدار دسامبر ۲۰۲۳ FTC کلاهبرداران را توصیف می‌کند که کد QR واقعی را روی متر پارکینگ با برچسب خود پوشش می‌دهند، و صادقانه هشدار می‌دهند: «کد QR را در ایمیل یا پیام متنی که انتظار نداشتید اسکن نکنید»، به‌ویژه آن‌هایی که شما را به عمل فوری تشویق می‌کنند. اعلام خدمات عمومی FBI's IC3 از ژانویه ۲۰۲۲ درباره‌ی دستکاری — «سایبرجنایتکاران کدهای QR دیجیتال و فیزیکی را تحت دستکاری قرار می‌دهند تا کدهای مشروع را با کدهای بدخواه جایگزین کنند» — و مردم را می‌گویند کدهای فیزیکی را برای بررسی کنند «برچسبی روی کد اصلی.» کدی برای فعال‌سازی مجدد تأیید هویت چند عاملی منقضی‌شده، امضای درخواست که انتظار نداشتید، اعلان حمل‌ونقل از شما برای تأیید تحویل: هدف طراحی همیشه دلیل کوچک و معقول برای بلند کردن گوشی قبل از بررسی هر چیز است.

پس حرکت‌های دفاعی حرکت‌های خسته‌کننده هستند، و آن‌ها حرکت‌هایی هستند که آژانس‌ها واقعاً منتشر می‌کنند. توصیه IC3، برای پیامی که بعد از اسکن پرداخت یا ورود را می‌خواهد: «شرکت را تماس کنید تا تأیید کنید»، با استفاده از «شماره‌ی تلفن شرکت از طریق سایت قابل اعتماد به‌جای عددی که در ایمیل فراهم شده است»، و «از انجام پرداخت‌ها از طریق سایتی که از کد QR ناوبری شده اجتناب کنید. بجای آن، URL شناخته‌شده و قابل‌اعتماد را به‌صورت دستی وارد کنید.» هیچ‌چیز در آن نیاز ندارد که قضاوت کنید مربع خاصی بدخواه است — که آن قسمتی است که هیچ انسانی در آن خوب نیست.

یک چیز که کد QR در ایمیل هرگز به شما نمی‌گوید این است که آیا پیام جعلی بوده است. احراز هویت دامنه سؤال کاملاً متفاوت را پاسخ می‌دهد، و مشخصه‌ی DMARC فعلی صریحاً «تحلیل محتوا» را خارج از محدوده خود قرار می‌دهد — که به همین دلیل پیام احراز‌هویت‌شده کامل می‌تواند تصویر بدخواه را حمل کند. آن مکانیسم شایسته‌ی خواندن خود است، و موضوع مقاله‌ی همراه در این سری است.

تصحیح، ۲۰ اکتبر ۲۰۲۶. نسخه‌ی قبلی این مقاله می‌گفت که فیلتر هرزنامه نمی‌تواند کد QR را بخواند و اسکنرها نابینا به آدرس رمزگذاری‌شده هستند. این برای برخی از محصولات امنیت ایمیل درست است و برای دیگری نیست: مایکروسافت استخراج URL از کدهای QR را در Defender for Office 365 در نوامبر ۲۰۲۴ مستند کرد، و الفاظ NCSC این است که نه تمام ابزارها از تصاویر اسکن می‌کنند. مقاله همچنین رقمی از تقریباً ۲۵٪ فیشینگ ایمیل با استفاده از کدهای QR را، که نسبت به مایکروسافت داده شده بود، نقل کرد؛ هیچ انتشار مایکروسافت که آن سهم را حمایت کند پیدا نشد، بنابراین رقم حذف و با ارقامی که مایکروسافت مستقیماً منتشر می‌کند، با محصول و دوره‌ی آن‌ها ذکر‌شده است، جایگزین شد. دامنه‌ی فیشینگ نمایش‌دهنده‌ای که به صورت لینک فعال رندر شده بود با مثالی غیرقابل کلیک در فضای رزرو‌شده .example جایگزین شد، و استشهادی به صفحه‌ی اصلی CISA با توصیه‌های اختصاصی FBI IC3 و FTC جایگزین شد.

@@END@@