read receipts
קוד QR לא יכול להיכשל בבדיקת DMARC, וזו בדיוק הסיבה שלעבריינים זה אהוב
אימות תחום עונה לשאלה מי שלח הודעה, לא מה ההודעה מבקשת ממך לעשות. קריאת מה שבתוך התמונה היא שכבה אחרת — ולא לכל מוצר יש אותה.
הגנת דוא״ל היא לא מכונה אחת. היא לפחות שתיים, והן עונות על שאלות שונות. הראשונה שואלת מי הוא מורשה לשלוח דוא״ל תוך שימוש בשם תחום זה. השנייה שואלת אם מה שההודעה מכילה הוא מסוכן. קוד QR עובר את הראשונה בעיצוב, והאם הוא עובר את השנייה תלוי איזה מוצר קורא את הדוא״ל שלך.
התחל במכונה הראשונה, כי זו זו שאנשים משמים בצורה לא נכונה. SPF בודק אם השרת השולח מורשה לשלוח לתחום. DKIM בודק חתימה קריפטוגרפית על ההודעה. DMARC דורש שאחד מהמזהים המאומתים יהיה עקבי עם התחום בכותרת ה־From: הגלויה, ומאפשר לבעלים של התחום לפרסם העדפה בנוגע למה צריך לקרות כשיישור זה נכשל. המפרט הנוכחי, RFC 9989, ברור שמדובר בהעדפה ולא בפקודה: "הטיפול הסופי בהודעה כלשהי הוא תמיד עניין של מדיניות מקומית והוא משאיר לשיקול דעתו של קובל הדוא״ל."
עכשיו החלק שחשוב עבור קודי QR. אותו מפרט מפרט מה בכוונון נמצא מחוץ לטווח שלו, ובאותה רשימה, בשתי המילים הללו, נמצא "ניתוח תוכן". DMARC לא נבנה אף פעם לקריאת קישורים, ולא נפגע מתמונות. אין לו דעה כלשהי לגבי גוף ההודעה. הוא גם אומר בבירור מה זה שווה: "עבור DMARC שעבר בהצלחה זה בעצמו לא מבטיח שהדליווירי לתיבת הדוא״ל של הנמען יהיה בטוח או רצוי." אז פושע שמירשם תחום זרם, מגדיר SPF ו־DKIM בצורה תקינה עליו ומפרסם רשומת DMARC יכול לשלוח לך הודעה שעוברת כל בדיקת אימות בצורה נקייה. שום דבר לא עוקף. המעטפה באמת נחתמה על ידי הצד שחתם עליה. השאלה האם הריבוע המצורף מוביל למקום שגונב את הסיסמה שלך לא הייתה אף פעם בטופס השכבה האומתית.
השאלה ההיא שייכת למכונה השנייה, וזה המקום שבו המוחלטות נופלות. קישור טקסט בגוף ההודעה הוא משהו שמסנן תוכן יכול להחיץ, להרחיב ולהשוות נגד נתוני מוניטין. URL בתוך תמונת QR צריך להיות מחוזר מפיקסלים תחילה, וכושר זה אינו אוניברסלי. מרכז הקיברנטיקה הלאומי של בריטניה, בפוסט מפברואר 2024 של Dave Chismon, נותן את הגבול בדיוק: "לא כל כלי אבטחה המעוצבים לגילוי דיוג בדוא״ל יסרקו תמונות." מיקרוסופט, בנובמבר 2024, תיעד את הצד האחר — Defender for Office 365 "שיפר את היכולות שלו להחיץ URLים מקודי QR," מושכת אותם עם עיבוד תמונה מוקדם בזרימת דוא״ל וכעת גם מחיצה נתוני QR וממדדת את התבנית סביבה. מיקרוסופט גם פרסמה מה זה שינה בטלמטריה שלה: בשיא היה זה "חוסם 3 מיליון ניסיונות ביום," ואחרי שעבודת הגילוי נשלחה, "ראינו את המספר הזה מצטמצם ל־200,000 ניסיונות דיוג של קוד QR כל יום." ספק אחד, מוצר אחד, מדווח על עצמו — אבל בר־בדיקה, שזה יותר מאשר אפשר להגיד על האחוזים בקנה מידה לאומי שמסתובבים עם הנושא הזה. גרסה קודמת של מאמר זה נשאה אחוז אחד; היא הוסרה כי לא ניתן היה להקים את מקורה.
התראת הצרכן של ה־FTC מ־6 בדצמבר 2023, מאת טDave Alvaro Puig, היא המקום שבו הגרסה היומיומית של הבעיה מוצגת: עבריינים מכסים קוד מטר חניה אמיתי בעזרת המדבקה שלהם, הודעה טוענת שלא ניתן היה להביא חבילה, חשבון שכביכול צריך הפעלה מחדש. העצה שלה היא משפט אחד ארוך ולא דורש ממך להעריך קוד מסוים: "אל תסרוק קוד QR בדוא״ל או בהודעת טקסט שלא ציפית לה." ההודעה של ה־FBI IC3 מינואר 2022 מוסיפה את הכרטיס הגופני — בדוק אם יש "מדבקה שהונחה על גבי הקוד המקורי" — והאופן הפרוצדורלי: לחזות שרוצה תשלום, "התקשר לחברה כדי לאמת," תוך שימוש במספר שנמצא "דרך אתר מהימן ולא מספר שסופק בדוא״ל," ו״תימנע מהוצאת תשלומים דרך אתר שעברת אליו מקוד QR. במקום זאת, הזן ידנית URL ידוע ומהימן."
ואז יש את המכשיר, שהוא הסיבה האמיתית שזה ממשיך לעבוד. קוד QR לא נסרק על הלפטופ שבו הדפדפן המנוהל, המסנן של החברה והמנהל סיסמאות שמסרב לאוטופילד בדומיין לא נכון כולם חיים. הוא נסרק בטלפון, שה־NCSC מפרט בין הסיבות לכך שפושעים מעדיפים את השיטה: "לענייני אישיים אולי אין את אותן הגנות אבטחה כמו מחשב שסופק על ידי המעסיק שלך." בטלפון שורת הכתובות מתמצתת, ה־URL המלא לא נוח לבדיקה, והאדם שסוקר הוא בדרך כלל עומד איפשהו, מעט כועס, לא קורא בתשומת לב.
אז הסיכום הכן אמתי הוא צר יותר מ״המסננים עיוורים." אימות תחום עובד וענה לשאלה שלו בצורה נכונה. ניתוח תוכן של תמונות QR קיים, מורשם בחלק מהמוצרים ולא באחרים, ושיפר באופן מדיד לפחות באחד מהם ב־2024. ההתקפה שורדת כי היא מעביר את הרגע ההכרעי להיות על מכשיר שיושב מחוץ לרוב המכונות ההוא, ובפני אדם שהדרך מההדרכה שנים לתייחס לריבוע קטן כנוחות. הריבוע לא משקר למסנן. הוא מעביר את השיחה אליך.
תיקון, 20 באוקטובר 2026. גרסה קודמת של מאמר זה אמרה שכל מסנן ספאם וכל בדיקת כותרת נבנו לקריאת טקסט ושקוד QR לא גלוי לאף אחד מהם. אימות תחום לא בוחן תוכן בעיצוב — המפרט DMARC מפרט "ניתוח תוכן" כחוץ לטווח — אבל סינון תוכן היא שכבה נפרדת, ומיקרוסופט תיעדה הוצאת URL QR ב־Defender for Office 365 בנובמבר 2024, בעוד הנוסח של ה־NCSC הוא שלא כל הכלים סוקרים תמונות. סטטיסטיקה שהייתה משייכת 22% מדיוג מקוון בסוף 2023 לקודי QR הוסרה כי לא ניתן היה לזהות מקור ראשוני עבורה; היא לא הוחלפה בנתון משוער. ציטוט לעמוד NCSC שלא דן בעצם בקודי QR הוחלף בפוסט הבלוג של ה־NCSC שכן, התראת ה־FTC עכשיו מתוארכת בדיוק, וממדגם תחום דיוג הודרך הוחלף בדוגמה שלא ניתן ללחוץ עליה בנאמנות .example.
מקורות
- RFC 9989 — Domain-based Message Authentication, Reporting, and Conformance (DMARC) — IETF, Standards Track, May 2026; obsoletes RFC 7489. §2.4 lists "content analysis" as out of scope; §2.2 on what a DMARC pass does not guarantee; §5.4 on receiver discretion
- Microsoft Security Blog — How Microsoft Defender for Office 365 innovated to address QR code phishing attacks — 4 November 2024. URL extraction from QR images; 3 million daily attempts at peak, 200,000 daily after rollout
- UK NCSC — QR Codes: what's the real risk? — Dave Chismon, 8 February 2024. "Not all security tools designed to detect phishing emails will scan images"; personal devices lack employer protections
- FTC — Scammers hide harmful links in QR codes to steal your information — Consumer alert, 6 December 2023, by Alvaro Puig
- FBI IC3 — Cybercriminals Tampering with QR Codes to Steal Victim Funds — Public service announcement I-011822-PSA, 18 January 2022