Miksi huijarit alkoivat lähettää sinulle kuvia linkeistä

Linkkiskannerit ovat yksinkertaisia ja väsymättömiä. Ne lukevat sähköpostin tekstimuotoisia URL-osoitteita, vertaavat niitä tunnettujen huonojen verkkotunnusten luetteloihin, seuraavat uudelleenohjauksia ja merkitsevät ne, jotka johtavat johonkin ilkeään. Ne tekevät tehtävänsä hyvin. Huijarit tekivät siis ilmeisen: he lopettivat linkkien lähettämisen.

He alkoivat lähettää kuvia linkeistä.

Tämä on temppu "quishingissa" — QR-koodi-phishing. QR-koodi on URL koodattuna mustavalkoiseksi kuvaksi, joten osoite kuten login-verify.example lakkaa olemasta viesti-osassa näkyvä teksti ja muuttuu pikseleiksi. Pointti ei ole siinä, että osoite olisi salattu; kuka tahansa kamera purkaa sen hetkessä. Pointti on siinä, että sitä ei enää ole kirjoitettu minnekään, missä sinä tai tekstijäsentäjä voisi lukea sen ennen kuin sitoudut.

Se, voiko suodatin silti lukea sen, riippuu täysin tuotteesta. Yhdistyneen kuningaskunnan National Cyber Security Centre ilmaisee rajan varoen helmikuussa 2024 julkaisemassaan QR-koodeja käsittelevässä muistiossa: "Kaikki phishing-sähköpostien havaitsemiseen suunnitellut turvatyökalut eivät skannaa kuvia." Huomaa, mitä se ei sano. Se ei sano, että mikään niistä ei tekisi niin. Microsoft julkaisi toisen puolen siitä marraskuussa 2024: Defender for Office 365, se kirjoitti, "on parantanut kykyään purkaa URL-osoitteita QR-koodeista" käyttämällä kuvan käsittelyä aikaisessa vaiheessa postivirran sisällä "piilotetujen URL-osoitteiden purkamiseen ja kirjaamiseen QR-koodien sisällä" ja se nyt myös purkaa QR-metatiedot ja etsii ympärillä olevaa kuviota — minimaalinen viesti-osateksti, brändin houkutus, uudelleenohjausketju. Joten "suodatin ei voi lukea sitä" oli monien tuotteiden kohdalla totta jonkin aikaa, on edelleen totta joidenkin kohdalla, ja se ei ole luonnonlaki. Jos haluat tietää, onko se totta sinun postipalveluntarjoajasi tuotteen ja konfiguraation kohdalla, se on kysymys palveluntarjoajasi tuotteesta ja konfiguraatiosta, ei QR-koodeista.

Luvut, jotka ovat tarkistettavissa, tulevat samalta toimittajalta, ja ne kannattaa lukea niille asetetuissa rajoissa. Microsoftin marraskuun 2024 julkaisu kuvaa nousua "joiden hyökkäysten kasvu on 270 % kuukaudessa", sanoo, että "huipulla Defender for Office 365 esti 3 miljoonaa yritystä päivittäin" ja että havainnointityön julkaisemisen jälkeen "olemme nähneet tämän luvun kutistuvan 200 000:een QR-koodi-phishing-yritykseen päivässä". Microsoftin Digital Defense Report 2026 laittaa kokonaisluvun nykyisen mittakaavan mukaisesti: 145+ miljoonaa QR-koodi-phishing-hyökkäystä havaittu heinäkuun 2025 ja kesäkuun 2026 välillä Defender for Office 365:llä. Kaikki nämä luvut ovat yhden toimittajan telemetriaa omaa tuotetta varten, itse ilmoitettua. Ne eivät ole osuus kaikesta phishingista, eivätkä ne ole toimialan kokonaisarvio — tämän artikkelin aiempi versio lainasi 25 prosentin osuutta, jota mikään Microsoftin julkaisu näyttää tukevan, ja se luku on poistettu sen sijaan, että se korvattaisiin toisella.

Se, mikä tekee tekniikasta kestävän, on siirto, ei koodaus. Sähköposti laskeutuu kannettavalle tietokoneelle, jossa yrityksen suodatin, hallittu selain ja salasanojen hallinta asuvat. Koodi skannataan puhelimella, joka on yleensä henkilökohtainen laite. NCSC listaa tämän rikolliset suosivat menetelmän syistä: "Henkilökohtaisilla laitteilla ei välttämättä ole samoja turvasuojia kuin työnantajasi tarjoamalla tietokoneella." Puhelimella osoiteriviä lyhennetään, koko URL-osoite on vaikea tarkastaa, ja salasanojen hallinta, joka olisi kieltäytynyt automaattisesta täyttämisestä väärällä verkkotunnuksella, ei ole mukana lainkaan.

Teemat ovat tylsästi ennustettavissa, mikä sinänsä on merkki, ja ne näkyvät kuluttajaohjeissa lähes sanatarkasti. FTC:n joulukuun 2023 varoitus kuvaa huijareita, jotka peittävät pysäköintimittarin todellisen QR-koodin omalla tarrallaan, ja varoittaa selvästi: "Älä skannaa QR-koodia sähköpostissa tai tekstiviestissä, jota et odottanut", etenkään sellaista, joka painostaa sinua toimimaan välittömästi. FBI:n IC3:n julkinen palveluilmoitus tammikuulta 2022 sanoo samaa peukaloinnista — "Kyberrikolliset peukaloivat sekä digitaalisia että fyysisiä QR-koodeja korvaamalla licit-koodit haitallisin koodein" — ja kehottaa ihmisiä tarkastamaan fyysiset koodit "tarran osalta, joka on asetettu alkuperäisen koodin päälle." Koodi monitekeijäisen todentamisen uudelleenkäyttöön, allekirjoituspyyntö, jota et odottanut, lähetysilmoitus, jossa sinua pyydetään vahvistamaan toimitus: suunnittelutavoite on aina pieni, uskottava syy nostaa puhelin ennen kuin mitään tarkastetaan.

Puolustus liikkeet ovat tylsät, ja ne ovat niitä, joita virastot todella julkaisevat. IC3:n neuvo viestille, joka haluaa maksun tai kirjautumisen skannauksen jälkeen: "soita yritykselle vahvistaaksesi" käyttämällä "yrityksen puhelinnumeroa luotetun sivuston kautta sen sijaan että käyttäisit sähköpostissa annettua numeroa" ja "vältä maksujen tekemistä QR-koodista navigoidulla sivulla. Kirjoita sen sijaan manuaalisesti tunnettu ja luotettu URL." Mikään siitä ei vaadi sinua arvioimaan, onko tietty neliö ilkeä — mikä on osa, jota mikään ihminen ei ole hyvä.

Yksi asia, jonka QR-koodi sähköpostissa ei koskaan kerro sinulle, on se, oliko viesti väärennös. Verkkotunnuksien todentaminen vastaa täysin eri kysymykseen, ja nykyinen DMARC-spesifikaatio jättää "sisällön analyysin" nimenomaisesti soveltamisalan ulkopuolelle — siksi täysin todennettu viesti voi sisältää haitallisen kuvan. Tämä mekanismi kannattaa lukea omakseen, ja se on tämän sarjan liitettävän artikkelin aihe.

Korjaus 20. lokakuuta 2026. Tämän artikkelin aiemmassa versiossa sanottiin, että roskapostisuodatin ei voi lukea QR-koodia ja että skannerit ovat sokeita koodattuun osoitteeseen. Se on totta joidenkin sähköpostiturvakentän tuotteiden kohdalla, mutta ei muiden: Microsoft dokumentoi URL-purkamisen QR-koodeista Defender for Office 365:ssä marraskuussa 2024, ja NCSC:n muotoilu on, että kaikki työkalut eivät skannaa kuvia. Artikkelissa myös lainattiin noin 25 prosentin osuutta sähköpostiphishingistä, joka käyttää QR-koodeja ja jolle osoitettiin Microsoft; mikään Microsoft-julkaisu, joka tukee tätä osuutta, ei löytynyt, joten luku on poistettu ja korvattu luvuilla, jotka Microsoft julkaisee suoraan, niiden tuote ja kausi ilmoitettuna. Phishing-verkkotunnus, joka oli esitetty aktiivisena linkkinä, on korvattu ei-napsautettavalla esimerkillä varatussa .example-nimiavaruudessa, ja viittaus CISA:n kotisivulle on korvattu erityisillä FBI IC3:n ja FTC:n neuvonta-asiakirjoilla.