read receipts
למה הונאים התחילו לשלוח לך תמונות של קישורים
קוד QR בדוא"ל לא נמצא שם כדי לחסוך לך שלב. הוא נמצא שם כדי להסתיר ממך את היעד — ובחלק מהמוצרים, גם מהסורק.
סורק קישורים הוא דבר פשוט וללא הרפיה. הוא קורא את כתובות ה-URL בטקסט בדוא"ל, משווה אותן לרשימות של דומיינים ידועים כרעים, עוקב אחר הפניות והדגלים את אלה שמובילים למקום לא טוב. הוא טוב בעבודה שלו. אז הונאים עשו את הדבר הברור: הם הפסיקו לשלוח קישורים.
הם התחילו לשלוח תמונות של קישורים.
זה הטריק מאחורי "quishing" — דיוג קודי QR. קוד QR הוא כתובת URL מקודדת כתמונה בשחור-לבן, כך שיעד כמו login-verify.example מפסיק להיות טקסט בגוף ההודעה והופך לפיקסלים. הנקודה לא היא שהכתובת מוצפנת; כל מצלמה מפענחת אותה מיד. הנקודה היא שהיא כבר לא כתובה בשום מקום שאתה, או מנתח טקסט, יכול לקרוא לפני שאתה מתחייב.
האם מסנן עדיין יכול לקרוא אותו תלוי לחלוטין במוצר. המרכז הלאומי לאבטחה קיברנטית של בריטניה (NCSC) שם את הגבול במילים זהירות בהערה שלו מפברואר 2024 על קודי QR: "לא כל כלי אבטחה שעוצבו לזיהוי דיוג בדוא"ל יסרקו תמונות." שימו לב למה זה לא אומר. זה לא אומר שאף אחד מהם עושה. מיקרוסופט פרסמה את הצד השני של זה בנובמבר 2024: Defender for Office 365, היא כתבה, "שיפר את יכולותיו להוצאת כתובות URL מקודי QR," באמצעות עיבוד תמונה מוקדם בזרימת הדוא"ל כדי "להוציא ולתעד כתובות URL מוסתרות בתוך קודי QR," וזה כעת גם מוציא מטא-נתונים של QR וחוקר את התבנית הסובבת — טקסט בגוף מינימלי, פתיון של מותג, שרשרת הפניות. אז "הסנן לא יכול לקרוא את זה" היה נכון עבור הרבה מוצרים לזמן מה, הוא עדיין נכון עבור חלקם, והוא לא חוק טבע. אם אתה רוצה לדעת האם זה נכון של הדוא"ל שלך, זו שאלה על המוצר של ספק שלך והתצורה שלו, לא על קודי QR.
המספרים שניתן לבדוק אותם מגיעים מאותו ספק, וכדאי לקרוא אותם עם ההיקף המצורף. פוסט נובמבר 2024 של מיקרוסופט מתאר עלייה עם "חלק מהתקפות עולות בקצב גדילה של 270% בחודש," אומר ש"בשיא, Defender for Office 365 חסם 3 מיליון ניסיונות יומיים," וזה לאחר משלוח עבודת הגילוי "ראינו את המספר הזה הצטמצם ל-200,000 ניסיונות דיוג קודי QR כל יום." Digital Defense Report 2026 של מיקרוסופט שם סך הכל על הסקאלה הנוכחית: 145+ מיליון התקפות דיוג קודי QR שנגילו בין יולי 2025 ויוני 2026 על ידי Defender for Office 365. כל הנתונים האלה הם טלמטריה של ספק אחד עבור המוצר שלו, מדווחת בעצמו. הם לא נתח של כל דיוג, והם לא סך הכל של התעשייה — גרסה קודמת של מאמר זה ציטטה נתח של 25% שאף פרסום של מיקרוסופט נראה תומך בו, והנתון הזה הוסר במקום להיות מוחלף.
מה שהופך את הטכניקה לעמידה היא ההעברה, לא ההקידוד. הדוא"ל נוחת על מחשב נייד, שם גם המסנן הקorportיבי, הדפדפן המנוהל וומנהל הסיסמה חיים. הקוד נסרק על טלפון, שזה בדרך כלל מכשיר אישי. NCSC רושם את זה בין הסיבות שפושעים מעדיפים את השיטה: "למכשירים אישיים אולי אין את אותן הגנות אבטחה כמו למחשב שמסופק על ידי המעסיק שלך." בטלפון סרגל הכתובת מתקצר, את כתובת ה-URL המלאה קשה לבחון, ומנהל סיסמה שהיה סירב להשלמה אוטומטית בדומיין הלא נכון לא מעורב בכלל.
הנושאים משעמם צפויים, וזה ספר בעצמו, והם מופיעים בהזהירויות לצרכן כמעט מילה במילה. התראת דקמבר 2023 של ה-FTC מתארת הונאים המכסים את קוד ה-QR האמיתי על מטר חניון עם מדבקה משלהם, ומזהירה בבירור: "אל תסרוק קוד QR בדוא"ל או בהודעת טקסט שלא ציפית," במיוחד אחד שדוחף אותך לפעול מיד. הכרזת שירות ציבורי של FBI IC3 מינואר 2022 אומרת אותו דבר על התעסקות — "Cybercriminals מתעסקים עם קודי QR דיגיטליים וגם פיזיים כדי להחליף קודים לגיטימיים בקודים זדוניים" — ואומר לאנשים לבדוק קודים פיזיים ל"מדבקה המונחת על הקוד המקורי." קוד להפעלת מחדש של אימות רב-גורמים שפקע, בקשת חתימה שלא ציפית, הודעת משלוח שמבקשת ממך לאשר משלוח: מטרת העיצוב היא תמיד סיבה קטנה וסבירה להרים את הטלפון לפני שכל דבר נבדק.
אז הצעדים הגנתיים הם אלה המשעמם, והם אלה שהסוכנויות בעצם מפרסמות. עצת IC3, עבור הודעה שרוצה תשלום או כניסה לאחר סריקה: "התקשר לחברה כדי לאמת," תוך שימוש ב"מספר הטלפון של החברה דרך אתר אמיד במקום מספר שסופק בדוא"ל," וה"הימנע מתשלומים דרך אתר שניווט אליו מקוד QR. במקום זאת, הכנס ידנית כתובת URL ידועה ואמינה." שום דבר בזה לא דורש ממך לשפוט אם ריבוע מסוים הוא זדוני — וזה החלק שאף אדם טוב בו.
דבר אחד שקוד QR בדוא"ל לא אומר לך אף פעם הוא אם ההודעה הייתה זיוף. אימות דומיין עונה על שאלה שונה לגמרי, והמפרט DMARC הנוכחי שם במפורש "ניתוח תוכן" מחוץ להיקף שלו — וזו הסיבה שהודעה מאומתת לחלוטין יכולה לשאת תמונה זדונית. המנגנון הזה ראוי לקריאה משלו, וזה הנושא של מאמר עוד בסדרה הזו.
תיקון, 20 באוקטובר 2026. גרסה קודמת של מאמר זה אמרה שמסנן ספאם לא יכול לקרוא קוד QR וש-scanners עיוורים לכתובת המקודדת. זה נכון עבור חלק מתוצרי אבטחת הדוא"ל ולא של אחרים: מיקרוסופט תיעדה הוצאת URL מקודי QR ב-Defender for Office 365 בנובמבר 2024, וההנסחה של NCSC היא שלא כל כלים סורקים תמונות. המאמר גם ציטט נתון של בערך 25% של דיוג דוא"ל באמצעות קודי QR, המיוחס למיקרוסופט; לא נמצאה פרסום של מיקרוסופט התומך בנתח זה, כך שהנתון הוסר והוחלף בנתונים שמיקרוסופט מפרסמה ישירות, עם המוצר והתקופה שלהם קבועים. דומיין דיוג הדגמה שהיה מוצג כקישור חי הוחלף בדוגמה לא-clickable בנמסחר שמור .example, וציטוט לדף הבית של CISA הוחלף בהודעות FBI IC3 וה-FTC הספציפיות.
מקורות
- Microsoft Security Blog — How Microsoft Defender for Office 365 innovated to address QR code phishing attacks — 4 November 2024. URL extraction from QR images; 270% monthly growth, 3 million daily attempts at peak, 200,000 daily after rollout
- Microsoft Digital Defense Report 2026 — 145+ million QR-code phishing attacks detected by Defender for Office 365, July 2025 – June 2026
- UK NCSC — QR Codes: what's the real risk? — Dave Chismon, 8 February 2024. "Not all security tools designed to detect phishing emails will scan images"; personal devices lack employer protections
- FTC — Scammers hide harmful links in QR codes to steal your information — Consumer alert, 6 December 2023, by Alvaro Puig. "Don't scan a QR code in an email or text message you weren't expecting"
- FBI IC3 — Cybercriminals Tampering with QR Codes to Steal Victim Funds — Public service announcement I-011822-PSA, 18 January 2022. Verification steps and the advice to enter a trusted URL manually