read receipts
स्कैमर्स ने आपको लिंक की तस्वीरें भेजना क्यों शुरू किया
ईमेल में QR कोड आपको एक कदम बचाने के लिए नहीं है। यह आपसे — और कुछ प्रोडक्ट्स में, स्कैनर से भी — गंतव्य छिपाने के लिए है।
एक लिंक स्कैनर एक सरल, अथक चीज़ है। यह ईमेल में टेक्स्ट URL पढ़ता है, उन्हें ज्ञात-बुरे डोमेन की सूची के विरुद्ध जांचता है, रीडायरेक्ट का पालन करता है और उन फ्लैग करता है जो किसी नकारात्मक जगह की ओर ले जाते हैं। यह अपने काम में अच्छा है। तो स्कैमर्स ने स्पष्ट काम किया: उन्होंने लिंक भेजना बंद कर दिया।
उन्होंने लिंक की तस्वीरें भेजना शुरू कर दिया।
यह "quishing" — QR-कोड फिशिंग — के पीछे की तकनीक है। एक QR कोड एक URL है जो काली-सफ़ेद इमेज के रूप में एन्कोड किया गया है, इसलिए login-verify.example जैसा गंतव्य मैसेज बॉडी में टेक्स्ट रहने की बजाय पिक्सेल बन जाता है। मुद्दा यह नहीं है कि पता एन्क्रिप्ट किया गया है; कोई भी कैमरा इसे तुरंत डिकोड कर देता है। मुद्दा यह है कि यह अब कहीं भी लिखा नहीं है जहाँ आप, या एक टेक्स्ट पार्सर, इससे पहले पढ़ सकते हैं कि आप प्रतिबद्ध हों।
क्या एक फ्लिटर अभी भी इसे पढ़ सकता है यह पूरी तरह प्रोडक्ट पर निर्भर करता है। यूके का National Cyber Security Centre इसे अपने फरवरी 2024 के QR कोड पर नोट में सावधानीपूर्वक शब्दों में सीमित करता है: "फिशिंग ईमेल का पता लगाने के लिए डिज़ाइन किए गए सभी सुरक्षा उपकरण इमेज को स्कैन नहीं करेंगे।" ध्यान दें कि यह क्या नहीं कहता है। यह यह नहीं कहता कि उनमें से कोई भी नहीं करता है। Microsoft ने नवंबर 2024 में दूसरा पक्ष प्रकाशित किया: Defender for Office 365, इसने लिखा, "QR कोड से URL निकालने की क्षमता में सुधार किया है," मेल फ्लो में जल्दी इमेज प्रोसेसिंग का उपयोग करके "QR कोड के भीतर छिपे URL को निकालने और लॉग करने के लिए," और अब यह QR मेटाडेटा भी निकालता है और आस-पास के पैटर्न को देखता है — न्यूनतम बॉडी टेक्स्ट, एक ब्रांड लालच, एक रीडायरेक्ट चेन। तो "फ्लिटर इसे पढ़ नहीं सकता" कुछ समय के लिए कई प्रोडक्ट्स के लिए सच था, कुछ के लिए अभी भी सच है, और प्रकृति का कानून नहीं है। यदि आप जानना चाहते हैं कि यह आपके अपने मेल के लिए सच है, तो यह QR कोड के बारे में नहीं, बल्कि आपके प्रदाता के प्रोडक्ट और कॉन्फ़िगरेशन के बारे में एक सवाल है।
जो संख्याएं जांचने योग्य हैं वे एक ही विक्रेता से आती हैं, और वे संलग्न स्कोप के साथ पढ़ने के लायक हैं। Microsoft का नवंबर 2024 का पोस्ट "270% प्रति माह की वृद्धि दर" के साथ एक उछाल का वर्णन करता है, कहता है कि "शिखर पर, Defender for Office 365 प्रतिदिन 3 मिलियन प्रयासों को अवरुद्ध कर रहा था," और यह कि पहचान कार्य भेजे जाने के बाद "हम देख रहे हैं कि यह संख्या 200,000 QR कोड फिशिंग प्रयासों तक सिकुड़ गई है हर दिन।" Microsoft का Digital Defense Report 2026 वर्तमान स्केल पर कुल रखता है: Defender for Office 365 द्वारा जुलाई 2025 और जून 2026 के बीच पता लगाए गए 145+ मिलियन QR-कोड फिशिंग हमले। वे सभी आंकड़े एक विक्रेता की अपने प्रोडक्ट के लिए टेलीमेट्री हैं, स्व-रिपोर्ट किए गए। वे सभी फिशिंग का एक हिस्सा नहीं हैं, और वे एक इंडस्ट्री कुल नहीं हैं — इस लेख का एक पहले का संस्करण एक 25% हिस्से का हवाला दिया था जो कि कोई Microsoft प्रकाशन समर्थन प्रतीत होता है, और वह आंकड़ा हटा दिया गया है बजाय प्रतिस्थापित किए गए।
जो तकनीक को टिकाऊ बनाता है वह एन्कोडिंग नहीं, हैंडऑफ है। ईमेल एक लैपटॉप पर आता है, जहाँ कॉर्पोरेट फ्लिटर, प्रबंधित ब्राउज़र और पासवर्ड मैनेजर रहते हैं। कोड एक फोन पर स्कैन किया जाता है, जो आमतौर पर एक व्यक्तिगत डिवाइस है। NCSC इस कारण को सूची में डालता है कि अपराधी इस विधि को क्यों पसंद करते हैं: "व्यक्तिगत डिवाइसों में वही सुरक्षा सुरक्षा नहीं हो सकती है जो आपके नियोक्ता द्वारा प्रदान किए गए कंप्यूटर पर है।" एक फोन पर एड्रेस बार ट्रंकेट होता है, पूरा URL निरीक्षण करना मुश्किल है, और एक पासवर्ड मैनेजर जो गलत डोमेन पर ऑटोफिल करने से इनकार कर देता है वह बिल्कुल शामिल नहीं है।
विषय उबाऊ रूप से अनुमानित हैं, जो अपने आप में एक संकेत है, और वे उपभोक्ता चेतावनियों में लगभग शब्द दर शब्द दिखाई देते हैं। FTC की दिसंबर 2023 की चेतावनी स्कैमर्स को पार्किंग मीटर पर वास्तविक QR कोड को अपने स्टिकर से ढकने का वर्णन करती है, और स्पष्ट रूप से चेतावनी देती है: "ईमेल या टेक्स्ट मैसेज में QR कोड को स्कैन न करें जिसकी आप उम्मीद नहीं कर रहे थे," विशेष रूप से वह जो आपको तुरंत कार्य करने के लिए धकेलता है। FBI का IC3 सार्वजनिक सेवा घोषणा जनवरी 2022 से उसी चीज़ के बारे में कहती है — "साइबर अपराधी डिजिटल और भौतिक दोनों QR कोड के साथ छेड़छाड़ करते हैं वैध कोड को दुर्भावनापूर्ण कोड से बदलने के लिए" — और लोगों को भौतिक कोड के लिए "मूल कोड के ऊपर रखा गया एक स्टिकर" जांचने के लिए कहता है। समाप्त होने वाली बहु-कारक प्रमाणीकरण को फिर से सक्षम करने के लिए एक कोड, एक हस्ताक्षर अनुरोध जिसकी आप उम्मीद नहीं कर रहे थे, एक शिपिंग नोटिस जो आपको डिलीवरी की पुष्टि करने के लिए कह रहा है: डिज़ाइन लक्ष्य हमेशा कुछ चेक किए जाने से पहले फोन उठाने का एक छोटा, प्रशंसनीय कारण है।
तो रक्षात्मक कदम सुस्त हैं, और वे वे हैं जो एजेंसियां वास्तव में प्रकाशित करती हैं। IC3 की सलाह, एक संदेश के लिए जो स्कैन के बाद भुगतान या लॉगिन चाहता है: "कंपनी को सत्यापित करने के लिए कॉल करें," "कंपनी का फोन नंबर एक विश्वसनीय साइट के माध्यम से उपयोग करके ईमेल में दिए गए नंबर के बजाय," और "QR कोड से नेविगेट की गई साइट के माध्यम से भुगतान करने से बचें। इसके बजाय, मैन्युअल रूप से एक ज्ञात और विश्वसनीय URL दर्ज करें।" इसके लिए कुछ भी नहीं है कि आप यह अनुमान लगाएँ कि क्या एक विशेष वर्ग दुर्भावनापूर्ण है — जो कि वह हिस्सा है कि कोई मानव अच्छा नहीं है।
एक चीज़ जो ईमेल में QR कोड कभी नहीं बताता है वह यह है कि क्या संदेश जाली था। डोमेन प्रमाणीकरण पूरी तरह से एक अलग सवाल का जवाब देता है, और वर्तमान DMARC विनिर्देश स्पष्ट रूप से "सामग्री विश्लेषण" को अपने दायरे के बाहर रखता है — यही कारण है कि एक पूरी तरह से प्रमाणित संदेश एक दुर्भावनापूर्ण इमेज ले जा सकता है। वह तंत्र अपने आप में एक पढ़ने के योग्य है, और यह इस सीरीज़ में एक साथी लेख का विषय है।
सुधार, 20 अक्टूबर 2026। इस लेख के एक पहले के संस्करण में कहा गया था कि स्पैम फ्लिटर QR कोड नहीं पढ़ सकता और स्कैनर एन्कोडेड पते के अंधे हैं। यह कुछ ईमेल सुरक्षा प्रोडक्ट्स के लिए सच है और दूसरों के लिए नहीं: Microsoft ने नवंबर 2024 में Defender for Office 365 में QR कोड से URL निकालने का दस्तावेज़ दिया, और NCSC की शब्दावली यह है कि सभी उपकरण इमेज को स्कैन नहीं करते हैं। लेख ने QR कोड का उपयोग करने वाली ईमेल फिशिंग का लगभग 25% का एक आंकड़ा भी उद्धृत किया, जिसे Microsoft के लिए जिम्मेदार ठहराया गया; उस हिस्से को समर्थन करने वाला कोई Microsoft प्रकाशन नहीं मिल सका, इसलिए आंकड़ा हटा दिया गया है और आंकड़े से प्रतिस्थापित किया गया है जो Microsoft सीधे प्रकाशित करता है, उनके प्रोडक्ट और अवधि के साथ। एक प्रदर्शन फिशिंग डोमेन जिसे एक लाइव लिंक के रूप में प्रस्तुत किया गया था, को reserved .example namespace पर एक गैर-क्लिकेबल उदाहरण से प्रतिस्थापित किया गया है, और CISA होम पेज पर एक उद्धरण को विशिष्ट FBI IC3 और FTC सलाह से प्रतिस्थापित किया गया है।
स्रोत
- Microsoft Security Blog — How Microsoft Defender for Office 365 innovated to address QR code phishing attacks — 4 November 2024. URL extraction from QR images; 270% monthly growth, 3 million daily attempts at peak, 200,000 daily after rollout
- Microsoft Digital Defense Report 2026 — 145+ million QR-code phishing attacks detected by Defender for Office 365, July 2025 – June 2026
- UK NCSC — QR Codes: what's the real risk? — Dave Chismon, 8 February 2024. "Not all security tools designed to detect phishing emails will scan images"; personal devices lack employer protections
- FTC — Scammers hide harmful links in QR codes to steal your information — Consumer alert, 6 December 2023, by Alvaro Puig. "Don't scan a QR code in an email or text message you weren't expecting"
- FBI IC3 — Cybercriminals Tampering with QR Codes to Steal Victim Funds — Public service announcement I-011822-PSA, 18 January 2022. Verification steps and the advice to enter a trusted URL manually