QR-koodi ei voi epäonnistua DMARC-tarkistuksessa – ja juuri siksi huijarit rakastavat sitä

Sähköpostinsuoja ei ole yksi kone. Se on vähintään kaksi, ja ne vastaaavat eri kysymyksiin. Ensimmäinen kysyy, kuka oli valtuutettu lähettämään postia tämän verkkotunnuksen nimissä. Toinen kysyy, sisältääkö viesti jotain vaarallista. QR-koodi ohittaa ensimmäisen suunnitelmallisesti, ja toisen ohittamisesta riippuu se, mikä tuote lukee postia.

Aloita ensimmäisestä koneesta, koska ihmisten nimeää sen väärin. SPF tarkistaa, onko lähettäjäpalvelin valtuutettu lähettämään verkkotunnukselle. DKIM tarkistaa kryptografisen allekirjoituksen viestissä. DMARC vaatii, että todennettu tunniste vastaa näkyvän From-otsikon verkkotunnusta, ja antaa verkkotunnuksen omistajalle mahdollisuuden julkaista mieltymyksen siitä, mitä tehdään, kun alignment epäonnistuu. Nykyinen määritys, RFC 9989, on nimenomaan selvä siitä, että se on mieltymys, ei käsky: "Minkään viestin lopullinen käsittely on aina paikallisen politiikan asia ja jätetään postinvastaanottajan harkintaan."

Nyt se osa, joka on tärkeä QR-koodeille. Sama määritys luettelee sen, mikä on tarkoituksellisesti sen ulottuvilla, ja tällä listalla, näissä kahdessa sanassa, on "sisällön analyysi". DMARC ei ole koskaan suunniteltu lukemaan linkkejä, eikä sitä ole heikentänyt kuvat. Sillä ei ole mitään mielipidettä viestin rungosta lainkaan. Se myös sanoo selvästi, mitä DMARC-hyväksyntä kannattaa: "DMARC-hyväksyntä itsessään ei takaa, että viestien toimittaminen vastaanottajan saapuneisiin olisi turvallista tai toivottavaa." Niinpä rikollinen, joka rekisteröi hetkellisen verkkotunnuksen, konfiguroi SPF:n ja DKIM:n sille oikein ja julkaisee DMARC-tietueen, voi lähettää sinulle viestin, joka läpäisee jokaisen todennustarkistuksen puhtaasti. Mitään ei kierretty. Kirjekuori oli todella allekirjoitettu sen osapuolen toimesta, joka sen allekirjoitti. Kysymys siitä, johtaako kiinnitetty neliö paikkaan, joka varastaa salasanasi, ei koskaan ollut todennuskerroksen lomakkeella.

Tuo kysymys kuuluu toiselle koneelle, ja tässä absoluutit hajoavat. Tekstilinkki viestin rungossa on jotain, jonka sisältösuodatin voi poimia, laajentaa ja verrata maintatietoihin. URL QR-kuvan sisällä on ensin palautettava pikseleistä, eikä tämä kyky ole yleinen. Yhdistyneen kuningaskunnan National Cyber Security Centre sanoi helmikuussa 2024 julkaistussa Dave Chismonin postauksessa rajan täsmälleen: "Eivät kaikki tietoturvaryömiä phishing-sähköpostien havaitsemiseen skannaa kuvia." Microsoft dokumentoi marraskuussa 2024 toisen puolen – Defender for Office 365 "on parantanut kykyjään URL-osoitteiden poimintaan QR-koodeista", poimien ne kuvan käsittelyllä aikaisessa sähköpostitiedostoissa ja nyt myös poimien QR-metatiedot ja pisteyttäen ympäröivän kuvion. Microsoft julkaisi myös sen, mitä se muutti omassa telemetriassaan: huipullaan se "esti 3 miljoonaa yritystä päivittäin", ja havaintotyön toimittamisen jälkeen "olemme nähneet tämän luvun kutistuvan 200 000 QR-koodien phishing-yritykseensä päivässä." Yksi toimittaja, yksi tuote, itse raportoitu – mutta tarkistettavissa, mikä on enemmän kuin mitä voidaan sanoa tämän aiheen kanssa kiertävistä laajuuden mittaisista prosenteista. Tämän artikkelin aiemmassa versiossa oli yksi näistä prosenteista; se on poistettu, koska sen alkuperää ei voitu vahvistaa.

FTC:n kuluttajahälytys 6. joulukuuta 2023, jossa on kuluttajakasvattaja Alvaro Puig, on paikka, jossa jokapäiväinen versio ongelmasta on esitetty: huijarit peittävät todellisen parkkimittarin koodin omalla tarrallaan, viesti, joka väittää, että pakettia ei voitu toimittaa, tili, joka vaatii väitetysti reaktivointia. Sen neuvo on yksi lause, eikä se vaadi sinulta minkään erityisen koodin arviointia: "Älä skannaa QR-koodia sähköpostissa tai tekstiviestissä, jonka et odottaneet." FBI:n IC3-ilmoitus tammikuulta 2022 lisää fyysisen osoitteen – tarkista, onko "tarra asetettu alkuperäisen koodin päälle" – ja menettelyn: viestille, joka pyytää maksua, "soita yritykselle vahvistaaksesi", käyttämällä numeroa, joka löytyy "luotettujen sivustojen kautta enkä numeroa, joka on annettu sähköpostissa", ja "vältä maksuja sivuston kautta, jolle ohjataan QR-koodista. Kirjoita sen sijaan manuaalisesti tunnettu ja luotettu URL."

Ja sitten on laite, joka on todellinen syy siihen, että tämä pitää toimimaan. QR-koodia ei skannaata kannettavalla tietokoneella, jossa hallittu selain, yrityssuodatin ja salasanahallinta, joka kieltäytyy täyttämästä vääriä verkkotunnuksia, kaikki sijaitsevat. Se skannataan puhelimessa, jonka NCSC luettelee muiden syiden joukossa, miksi rikolliset suosivat menetelmää: "Henkilökohtaisilla laitteilla ei välttämättä ole samoja tietoturvaa kuin tietokoneella, jonka työnantajasi toimittaa." Puhelimessa osoitepalkki katkeaa, koko URL on hankala tarkastaa, ja henkilö, joka skannaa, yleensä seisoo jossain, lievästi ärsyttyneenä, eikä lue tarkkaan.

Niinpä rehellinen yhteenveto on suppeampi kuin "suodattimet ovat sokeat". Verkkotunnuksen todennus toimii ja vastaa omaan kysymykseensä oikein. QR-kuvien sisällön analyysi on olemassa, on käytössä joissakin tuotteissa, mutta ei muissa, ja parani mitattavasti vähintään yhdessä heistä vuonna 2024. Hyökkäys selviää, koska se siirtää kriittisen hetken laitteelle, joka istuu useimman mainitun mekanismin ulkopuolella, ja henkilön eteen, jolle on vuosien ajan opetettu pitämään pientä neliötä kätevyytenä. Neliö ei valehtele suodattimelle. Se siirtää keskustelun sinulle.

Korjaus, 20. lokakuuta 2026. Tämän artikkelin aiemmassa versiossa sanottiin, että jokainen roskapostsuodatin ja jokainen otsikon tarkistus oli rakennettu lukemaan tekstiä ja että QR-koodi on näkymätön kaikille heille. Verkkotunnuksen todennus ei tutki sisältöä suunnitelmallisesti – DMARC-määritys luettelee "sisällön analyysin" pois soveltamisalasta – mutta sisällönsuodatus on erillinen kerros, ja Microsoft dokumentoi QR-URL-osoitteiden poimimista Defender for Office 365:ssa marraskuussa 2024, kun taas NCSC:n muotoilu on, että eivät kaikki työkalut skannaa kuvia. Tilasto, joka katsoi 22 % vuoden 2023 loppupuolen verkon phishingista johtuvaksi QR-koodeista, on poistettu, koska sille ei voitu löytää peruslähteen; sitä ei ole korvattu likimääräisellä luvulla. Viittaus NCSC-sivulle, joka ei itse asiassa keskustele QR-koodeista, on korvattu NCSC-blogipostilla, joka käsittelee sitä, FTC-hälytys on nyt täsmälleen päivätty, ja esittely-phishing-verkkotunnus on korvattu ei-klikattavalla esimerkillä varatussa .example-nimiavaruudessa.