QR कोड DMARC चेक में फेल नहीं हो सकता — और यही वजह है कि स्कैमर इसे पसंद करते हैं

ईमेल सुरक्षा एक मशीन नहीं है। यह कम से कम दो हैं, और वे अलग-अलग सवालों का जवाब देते हैं। पहला यह पूछता है कि इस डोमेन नाम का उपयोग करके मेल भेजने के लिए किसे अधिकार दिया गया था। दूसरा यह पूछता है कि संदेश जो कुछ है वह खतरनाक तो नहीं है। एक QR कोड डिजाइन के कारण पहली परत को आसानी से पार कर जाता है, और यह दूसरी परत को पार करता है या नहीं यह इस बात पर निर्भर करता है कि आपके मेल को कौन सी प्रोडक्ट पढ़ रही है।

पहली मशीन से शुरू करें, क्योंकि यह वह है जिसका नाम लोग गलत रखते हैं। SPF जांचता है कि भेजने वाला सर्वर किसी डोमेन के लिए मेल भेजने के लिए अधिकृत है या नहीं। DKIM संदेश पर एक क्रिप्टोग्राफिक हस्ताक्षर की जांच करता है। DMARC की आवश्यकता है कि इन प्रमाणित पहचानों में से एक दृश्यमान From: हेडर में डोमेन के साथ संरेखित हो, और डोमेन मालिक को यह प्रकाशित करने देता है कि जब वह संरेखण विफल हो तो क्या होना चाहिए। वर्तमान स्पेसिफिकेशन, RFC 9989, स्पष्ट है कि यह एक प्राथमिकता है, एक आदेश नहीं: "किसी भी संदेश का अंतिम निपटान हमेशा स्थानीय नीति का मामला है और Mail Receiver के विवेक पर छोड़ा जाता है।" अब QR कोड के लिए महत्वपूर्ण भाग। वही स्पेसिफिकेशन उन चीजों को सूचीबद्ध करता है जो जानबूझकर इसके दायरे से बाहर हैं, और उस सूची में, उन दो शब्दों में, "content analysis" है। DMARC कभी लिंक को पढ़ने के लिए बनाया ही नहीं गया, और न ही इसे छवियों से नुकसान हुआ है। इसके पास संदेश के मुख्य भाग के बारे में कोई राय नहीं है। यह स्पष्ट रूप से यह भी कहता है कि एक पास की कीमत क्या है: "अपने आप में DMARC पास यह गारंटी नहीं देता कि प्राप्तकर्ता के इनबॉक्स में डिलीवरी सुरक्षित या वांछनीय होगी।" इसलिए एक अपराधी जो एक डिस्पोजेबल डोमेन रजिस्टर करता है, इस पर SPF और DKIM को सही तरीके से कॉन्फ़िगर करता है और एक DMARC रिकॉर्ड प्रकाशित करता है, वह आपको एक संदेश भेज सकता है जो हर ऑथेंटिकेशन चेक को स्पष्ट रूप से पार करता है। कुछ भी बाईपास नहीं किया गया। एनवेलप वास्तव में उसके द्वारा स्वाक्षरित था जिसने इसे हस्ताक्षर किए। क्या संलग्न वर्ग आपके पासवर्ड को चोरी करने वाले कहीं जाता है यह सवाल ऑथेंटिकेशन परत के फॉर्म पर कभी नहीं आया था।

वह सवाल दूसरी मशीन का है, और यहीं पर निरपेक्षता ढह जाती है। संदेश मुख्य भाग में एक टेक्स्ट लिंक कुछ ऐसा है जो कंटेंट फिल्टर निकाल सकता है, विस्तारित कर सकता है और ख्यात डेटा के विरुद्ध तुलना कर सकता है। एक QR छवि के अंदर एक URL को पहले पिक्सल से पुनः प्राप्त करना होता है, और यह क्षमता सार्वभौमिक नहीं है। UK के National Cyber Security Centre ने Dave Chismon के एक फरवरी 2024 पोस्ट में सीमा को सटीक रूप से दिया है: "सभी सुरक्षा उपकरण जो फिशिंग ईमेल का पता लगाने के लिए डिजाइन किए गए हैं, छवियों को स्कैन नहीं करेंगे।" Microsoft ने नवंबर 2024 में दूसरी ओर प्रलेखित किया — Defender for Office 365 "QR कोड से URL निकालने की क्षमता में सुधार किया है," मेल फ्लो की शुरुआत में इमेज प्रोसेसिंग के साथ उन्हें निकाल रहा है और अब QR मेटाडेटा भी निकाल रहा है और आसपास के पैटर्न को स्कोर कर रहा है। Microsoft ने यह भी प्रकाशित किया कि इसने अपनी तेलीमेट्री में क्या बदलाव किया: चोटी पर यह "प्रतिदिन 3 मिलियन प्रयास को ब्लॉक कर रहा था," और डिटेक्शन का काम भेजे जाने के बाद, "हमने देखा है कि यह संख्या प्रति दिन 200,000 QR कोड फिशिंग प्रयासों तक सिकुड़ गई है।" एक विक्रेता, एक प्रोडक्ट, स्व-रिपोर्ट किया गया — लेकिन सत्यापन योग्य, जो इस विषय के साथ घूमने वाले उद्योग-व्यापी प्रतिशत के बारे में कहा जा सकता है। इस लेख का एक पहला संस्करण उन प्रतिशत में से एक था; इसे हटा दिया गया है क्योंकि इसका मूल स्थापित नहीं किया जा सका।

FTC की 6 दिसंबर 2023 की उपभोक्ता सचेतनी, उपभोक्ता शिक्षा विशेषज्ञ Alvaro Puig द्वारा, जहां समस्या का रोजमर्रा संस्करण रखा गया है: स्कैमर एक वास्तविक पार्किंग-मीटर कोड को अपने स्टिकर से ढक रहे हैं, एक संदेश जो दावा करता है कि एक पैकेज डिलीवर नहीं हो सका, एक खाता जिसे कथित तौर पर पुनः सक्रिय करने की आवश्यकता है। इसकी सलाह एक वाक्य लंबी है और आपको किसी विशेष कोड का आकलन करने की आवश्यकता नहीं है: "किसी ईमेल या टेक्स्ट संदेश में QR कोड को स्कैन न करें जिसकी आप प्रत्याशा नहीं कर रहे थे।" FBI की IC3 घोषणा जनवरी 2022 से भौतिक संकेत जोड़ता है — जांचें कि क्या "मूल कोड के शीर्ष पर एक स्टिकर रखा गया है" — और प्रक्रियात्मक संकेत: एक संदेश के लिए जो भुगतान चाहता है, "कंपनी को कॉल करके सत्यापित करें," एक संख्या का उपयोग करके जो "एक विश्वस्त साइट के माध्यम से पाई गई है न कि ईमेल में दी गई संख्या," और "QR कोड से नेविगेट की गई साइट के माध्यम से भुगतान करने से बचें। इसके बजाय, एक ज्ञात और विश्वस्त URL को मैन्युअली दर्ज करें।"

और फिर डिवाइस है, जो वास्तविक कारण है कि यह काम करना जारी रखता है। एक QR कोड को लैपटॉप पर स्कैन नहीं किया जाता है जहां प्रबंधित ब्राउज़र, कॉर्पोरेट फिल्टर और पासवर्ड मैनेजर सभी रहते हैं जो गलत डोमेन पर ऑटोफिल करने से इनकार करता है। इसे एक फोन पर स्कैन किया जाता है, जिसे NCSC इन कारणों के बीच सूचीबद्ध करता है कि अपराधी विधि का पक्ष क्यों लेते हैं: "व्यक्तिगत डिवाइस के पास वही सुरक्षा सुरक्षा नहीं हो सकती है जो आपके नियोक्ता द्वारा प्रदान किए गए कंप्यूटर के पास है।" एक फोन पर पता पट्टी छोटा हो जाती है, पूरा URL का निरीक्षण करना अजीब है, और स्कैन करने वाला व्यक्ति आमतौर पर कहीं खड़ा होता है, हल्के से परेशान, सावधानी से नहीं पढ़ रहा है।

तो ईमानदार सारांश "फ़िल्टर अंधे हैं" से संकीर्ण है। डोमेन ऑथेंटिकेशन काम कर रहा है और अपने स्वयं के सवाल का सही जवाब दे रहा है। QR छवियों का कंटेंट विश्लेषण मौजूद है, कुछ प्रोडक्ट में तैनात है और अन्य में नहीं, और 2024 में उनमें से कम से कम एक में मापने योग्य रूप से सुधार हुआ। हमला जीवित रहता है क्योंकि यह निर्णायक क्षण को एक डिवाइस पर स्थानांतरित करता है जो उस मशीनरी के अधिकांश के बाहर बैठता है, और एक व्यक्ति के सामने जिसे वर्षों तक एक छोटे वर्ग को सुविधा के रूप में मानने के लिए प्रशिक्षित किया गया है। वर्ग फ़िल्टर को झूठ नहीं बोलता। यह बातचीत को आप तक ले जाता है।

सुधार, 20 अक्टूबर 2026। इस लेख का एक पहले का संस्करण कहता था कि हर स्पैम फ़िल्टर और हर हेडर जांच टेक्स्ट पढ़ने के लिए बनाई गई थी और एक QR कोड सभी के लिए अदृश्य है। डोमेन ऑथेंटिकेशन डिजाइन के कारण कंटेंट की जांच नहीं करता है — DMARC स्पेसिफिकेशन "content analysis" को दायरे से बाहर सूचीबद्ध करता है — लेकिन कंटेंट फ़िल्टरिंग एक अलग परत है, और Microsoft ने नवंबर 2024 में Defender for Office 365 में QR URL निष्कर्षण को प्रलेखित किया, जबकि NCSC की शब्दावली यह है कि सभी उपकरण छवियों को स्कैन नहीं करते हैं। QR कोड के लिए देर से 2023 की ऑनलाइन फिशिंग के 22% को जिम्मेदार ठहराने वाले एक आंकड़े को हटा दिया गया है क्योंकि इसके लिए कोई प्राथमिक स्रोत पहचाना नहीं जा सका; इसे किसी अनुमानित आंकड़े से प्रतिस्थापित नहीं किया गया है। एक NCSC पृष्ठ का उद्धरण जो वास्तव में QR कोड पर चर्चा नहीं करता है, को NCSC ब्लॉग पोस्ट से बदल दिया गया है जो करता है, FTC सचेतनी अब सटीक रूप से दिनांकित है, और एक प्रदर्शन फिशिंग डोमेन को आरक्षित .example नामस्पेस पर एक गैर-क्लिक योग्य उदाहरण से बदल दिया गया है।