Egy QR-kód nem bukhat meg a DMARC-ellenőrzésen, és pontosan ezért szeretik a csalók

Az e-mail-védelem nem egyetlen gép. Legalább kettő, és különböző kérdésekre válaszolnak. Az első azt kérdezi, hogy ki volt jogosult arra, hogy levelet küldjön ezzel a tartománynévvel. A második azt kérdezi, hogy az üzenet tartalma veszélyes-e. A QR-kód az első előtt siklana el a terv szerint, és hogy átmegy-e a második előtt, az attól függ, hogy melyik termék olvassa az e-mailjeit.

Kezdjük az első géppel, mert ezt a nevet gyakran rosszul adják meg. Az SPF azt ellenőrzi, hogy az e-mailek küldési szerverét jogosult-e a tartomány leveleit küldeni. A DKIM egy kriptográfiai aláírást ellenőriz az üzenet felett. A DMARC megköveteli, hogy az egyik hitelesített azonosító egyezzen meg a látható From: fejlécben szereplő tartománnyal, és lehetővé teszi a tartomány tulajdonosának, hogy publikálja az előnyben részesített módot arra az esetre, ha az igazítás meghiúsul. A jelenlegi specifikáció, az RFC 9989, világosan kijelenti, hogy ez egy preferencia és nem egy parancs: „Az üzenetek végső kezelése mindig helyi szabályzat kérdése, és a Levél Fogadó döntésére van bízva."

Most jön az a rész, amely a QR-kódok szempontjából számít. Ugyanez a specifikáció felsorolja azt, ami szándékosan kívül esik a hatáskörén, és azon a listán, abban a két szóban található: „content analysis" (tartalomelemzés). A DMARC sohasem lett a linkek olvasására létrehozva, és a képek nem romlottak el. Nincs véleménye az üzenet törzsével szemben. Azt is világosan mondja, hogy mit ér egy sikeres ellenőrzés: „egy DMARC-sikerességi jelzés önmagában nem garantálja, hogy az üzenet a címzett postafiókjába való kézbesítése biztonságos vagy kívánatos lenne." Tehát egy olyan bűnöző, aki egy eldobható tartományt regisztrál, helyesen konfigurál SPF-et és DKIM-et rá, és közzétesz egy DMARC-rekordot, küldhet Önnek egy olyan üzenetet, amely tisztán átmegy az összes hitelesítési ellenőrzésen. Semmi nem lett megkerülve. A boríték valóban azt a felet írta alá, aki aláírta. Az a kérdés, hogy az ehhez csatolt négyzet valahova vezet-e, ahol ellopják az Ön jelszavát, sohasem volt a hitelesítési réteg formáján.

Ez a kérdés a második géphez tartozik, és itt esnek szét az abszolútumok. Az üzenet törzsébe tartozó szöveges link valami, amit egy tartalomszűrő ki tud nyerni, kibont és összehasonlíthat a reputációs adatokkal. Egy QR-képben lévő URL-t először ki kell nyerni a pixelekből, és ez a képesség nem univerzális. Az Egyesült Királyság Nemzeti Kibervédelmi Központja (National Cyber Security Centre) egy 2024. februári bejegyzésben, Dave Chismon írása szerint, pontosan adja meg a határt: „Nem az összes phishing-e-maileket felismerni tervezett biztonsági eszköz fog képeket vizsgálni." A Microsoft 2024 novemberében dokumentálta a másik oldalt — a Defender for Office 365 „javított képességgel rendelkezik a QR-kódokból származó URL-ek kinyerésére", kép-feldolgozással nyeri ki azokat a postaforgalom korai szakaszában, és most már QR-metaadatokat is kibont és pontoz az körülvevő mintázatot. A Microsoft azt is közzétette, hogy ez mit változtatott a saját telemetriájában: a csúcson ez volt a „3 millió próbálkozás napi blokkolása", és miután az észlelési munka kiszállított, „azt láttuk, hogy ez a szám 200 000 QR-kód phishing-kísérletre csökkent naponta." Egy szállító, egy termék, önjelentésű — de ellenőrizhető, ami több, mint amit az iparág-szintű százalékok mondanak el, amelyek ezzel a témával keringenek. A cikk korábbi verziója tartalmazott az egyik percentilis; eltávolították, mert a kezdete nem volt megállapítható.

Az FTC 2023. december 6-i fogyasztói figyelmeztetése, Alvaro Puig fogyasztásvédelmi oktatási szakértő írása, ahol a probléma mindennapos verziója kerül kitárásra: csalók, akik egy igazi parkolómérő-kódot a saját matricájukkal takarnak el, egy üzenet, amely azt állítja, hogy egy csomag nem volt kézbesítve, egy számla, amely állítólag újra aktiválásra szorul. Tanácsa egy mondatból áll, és nem szükséges, hogy értékelje az adott kódot: „Ne olvass be QR-kódot egy olyan e-mailből vagy szöveges üzenetből, amelyet nem várhattál." Az FBI IC3 2022. januári bejelentése hozzáadja a fizikai jelzést — ellenőrizd, hogy van-e „az eredeti kód tetejére helyezett matrica" — és az eljárási: egy olyan üzenet esetén, amely fizetést akar, „hívd fel a céget az ellenőrzéshez", egy számot használva, amely „egy megbízható webhely helyett található meg egy e-mailben megadott szám helyett", és „kerülj el a fizetéseket egy olyan webhelyen keresztül, amelyre QR-kódból navigálsz. Ehelyett manuálisan írj be egy ismert és megbízható URL-t."

És akkor van az eszköz, amely az igazi ok, miért működik ez folyamatosan. A QR-kódot nem a laptopra lehet beolvasni, ahol a felügyelt böngésző, a vállalati szűrő és a jelszókezelő, amely megtagadja az automatikus kitöltést a nem megfelelő tartományon, mind ott élnek. A telefonra kerül sor, amelyet az NCSC a bűnözők erre a módszerre való kedvelésének okai között sorol fel: „A személyes eszközök nem feltétlenül rendelkeznek ugyanazokkal a biztonsági intézkedésekkel, mint egy számítógép, amelyet a munkaadó biztosít." Egy telefonon a címsor rövidítve van, a teljes URL túl nehézkes az ellenőrzéshez, és az ember, aki a beolvasást végzi, általában valahol áll, kissé bosszús, nem gondosan olvassa el.

A tisztességes összefoglalás tehát szűkebb, mint az „a szűrők vakok." A tartomány-hitelesítés működik és helyesen válaszol a saját kérdésére. A QR-képek tartalomelemzése létezik, néhány termékben van telepítve, másokban pedig nem, és legalább az egyikben 2024-ben mérhető módon javult. Az támadás azért marad meg, mert a döntő pillanatot egy olyan eszközre helyezi át, amely a legtöbb ilyen gépezet kívül esik, és egy olyan személy előtt, akit évek óta arra képeztek ki, hogy egy kis négyzetet kényelemnek tekintsen. A négyzet nem hazudik a szűrőnek. Ö a beszélgetést továbbítja Önhöz.

Korrekció, 2026. október 20. A cikk korábbi verziója azt mondta, hogy minden spamszűrő és minden fejléc-ellenőrzés szövegolvasásra épül, és a QR-kód mindannyiuk számára láthatatlan. A tartomány-hitelesítés terv szerint nem vizsgálja meg a tartalmat — a DMARC-specifikáció a „tartalomelemzést" hatáskörön kívülinek sorolja — de a tartalomszűrés egy külön réteg, és a Microsoft dokumentálta a QR-URL-kinyerést a Defender for Office 365-ben 2024 novemberében, míg az NCSC megfogalmazása az, hogy nem az összes eszköz vizsgálja meg a képeket. A 2023 év végén az online phishing 22%-ára vonatkozó statisztika, amely QR-kódoknak tulajdonított, eltávolításra került, mert nem találtak rá elsődleges forrást; nem lett helyettesítve hozzávetőleges számmal. Az NCSC-oldal egy idézete, amely valójában nem tárgyalja a QR-kódokat, az NCSC blog bejegyzésével helyettesítettük, amely tárgyalja, az FTC-figyelmeztetés mostantól pontosan dátummal rendelkezik, és egy bemutató phishing-tartomány helyébe a fenntartott .example névtérben egy nem kattintható példa lépett.