Miért kezdtek a csalók képeket küldeni a linkekről

A link-szkenner egyszerű, könyörtelen dolog. Beolvassa az emailban szereplő szöveges URL-eket, ellenőrzi őket az ismert rossz doménok listáira, követi az átirányításokat, és jelöli azokat, amelyek valami kellemetlen helyre vezetnek. Jól teljesít a munkáját. Így a csalók megtették az egyértelműt: abbahagyták a linkek küldését.

Képeket kezdtek küldeni a linkekről.

Ez a „quishing" mögött húzódó trükk — a QR-kód halászat. A QR-kód egy URL-t kódol fekete-fehér képként, így egy olyan cím, mint a login-verify.example, nem marad szöveg az üzenet törzsében, hanem pixelekké válik. Nem arról van szó, hogy a cím titkosított; bárki kamerája egy pillanat alatt dekódolja. Arról van szó, hogy már sehol nem írva, ahol te vagy egy szövegértelmező le tudnátok olvasni, mielőtt elkötelezed magad.

Hogy egy szűrő még mindig el tudja-e olvasni, teljes egészében a terméktől függ. Az Egyesült Királyság Nemzeti Kibervédelmi Központja (National Cyber Security Centre) óvatosan fogalmaz meg egy határt február 2024-es QR-kódokról szóló jegyzetében: „Nem minden, a phishing-emailek felderítésére tervezett biztonsági eszköz fog képeket szkenelni." Figyelj arra, mit nem mond ez. Nem azt mondja, hogy egyik sem. A Microsoft november 2024-ben publikálta az ellenkező oldalát: a Defender for Office 365 — írta — „javította a QR-kódokból való URL-ek kinyerésének képességeit", képfeldolgozást használva az e-mail áramlás korai szakaszában az „URL-ek kinyeréséhez és naplózásához a QR-kódok között", és most már a QR-metaadatokat is kinyeri, valamint a körülötte lévő mintát keresi — minimális törzs szöveg, márka csali, átirányítási lánc. Tehát „a szűrő nem tudja olvasni" sok termékről volt igaz egy ideig, néhány termékről még mindig igaz, és nem a természet törvénye. Ha szeretnéd tudni, hogy a saját postafiókodra igaz-e, az egy kérdés a szolgáltatód terméke és konfigurációja szempontjából, nem a QR-kódokról.

Az ellenőrizhető számok ugyanattól a szállítótól származnak, és érdemes az értelmezési hatókörrel együtt olvasni. A Microsoft november 2024-es posztja „egy hirtelen ugrást írásol le, amely havi 270%-os növekedési ütemmel nő", azt mondja, hogy „a tetőpontján a Defender for Office 365 napi 3 millió kísérletet blokkolt", és hogy az észlelési munka telepítése után „naponta 200 000 QR-kód halászat kísérletért csökkent ez a szám." A Microsoft Digital Defense Report 2026 egy teljes értékelést helyez el az aktuális skálán: 145+ millió QR-kód halászat támadás feldetektálva 2025 július és 2026 június között a Defender for Office 365 által. Ezek az adatok mind egy szállító telemetriája a saját termékéről, önjelentés. Nem a phishing részesedése, és nem egy iparági teljes — a cikk korábbi verziója egy 25%-os részesedésre hivatkozott, amely egyetlen Microsoft-publikációban sem jelenik meg támogatásként, és ezt az adatot eltávolítták, nem pedig helyettesítették.

Azt, ami a technikát tartósnak teszi, az átadás, nem a kódolás. Az email egy laptopra érkezik, ahol a vállalati szűrő, a felügyelt böngésző és a jelszókezelő él. A kódot egy telefon szkennelib, amely általában személyes eszköz. Az NCSC ezt sorolja fel az okok között, hogy miért kedvelik ezt a módszert a bűnözők: „A személyes eszközökön nem lehetnek ugyanazok a biztonsági védelmek, mint egy munkaadó által biztosított számítógépen." A telefon kíméletes, a teljes URL nehéz ellenőrizni, és egy jelszókezelő, amely megtagadta volna az automatikus kitöltést a rossz domén alatt, egyáltalán nem szerepel.

A témák unalomig kiszámíthatóak, ami önmagában tanulmány, és szinte szó szerinti alakban jelennek meg a fogyasztói figyelmeztetésekben. Az FTC december 2023-as riasztása azt írja le, hogy a csalók lefedik az igazi QR-kódot egy parkolóméterre saját matricájukkal, és világosan figyelmezteti: „Ne szkennelje az emailben vagy szövegüzenetben szereplő QR-kódot, amelyit nem várt", különösen azt, amely az azonnali cselekvésre sarkall. Az FBI IC3 nyilvános szolgáltatási közleménye január 2022-ből ugyanezt mondja a manipulációról — „A kiberbűnözők både digitális és fizikai QR-kódokat manipulálnak, hogy az alapvető kódokat rosszindulatú kódokkal helyettesítsék" — és azt tanácsolja az embereknek, hogy ellenőrizzék a fizikai kódokat az „eredeti kód tetejére helyezett matrica" miatt. Az lejáró többtényezős hitelesítés újbóli engedélyezésére szolgáló kód, egy váratlan aláírási kérés, egy szállítási értesítés, amely arra kér, hogy megerősítsd a szállítást: a tervezési cél mindig egy kis, valószínű ok, hogy felemeld a telefont, mielőtt bármit ellenőriznél.

Tehát a védekezési lépések az unalmas olyanok, és ezek azok, amelyeket az ügynökségek ténylegesen publikálnak. Az IC3 tanácsa egy olyan üzenethez, amely egy szkenelés után egy fizetést vagy bejelentkezést akar: „hívd fel a vállalatot az ellenőrzéshez", a „cég telefonszámát egy megbízható oldalon keresztül, nem pedig az emailben megadott szám", és „kerüld el a fizetéseket egy QR-kódról navigált webhelyen keresztül. Helyette manuálisan add meg az ismert és megbízható URL-t." Semmi nem szükséges ahhoz, hogy megítéld, egy adott négyzet rosszindulatú-e — ami az a rész, amelyben egyetlen ember sem jó.

Az egyik dolog, amit egy QR-kód egy emailben soha nem mond el, hogy az üzenet hamisított-e. A tartomány hitelesítése egy teljesen más kérdésre válaszol, és a jelenlegi DMARC specifikáció kifejezetten a „tartalom-elemzést" kívül helyezi a hatóköréből — ami azért van, mert egy teljesen hitelesített üzenet rosszindulatú képet hordozhat. Ez a mechanizmus saját olvasásra érdemel, és ez a sorozat egy kiegészítő cikk tárgya.

Helyesbítés, 2026. október 20. A cikk korábbi verziója azt mondta, hogy a spamszűrő nem tudja olvasni a QR-kódot, és hogy a szkennerek vakok az kódolt cím felé. Ez igaz az egyes e-mail biztonsági termékekre, és nem igaz másokra: a Microsoft a Defender for Office 365-ben az URL-ek QR-kódokból való kinyerésén dokumentálódott november 2024-ben, és az NCSC szövege az, hogy nem minden eszköz szkennel képeket. A cikk egy körülbelül 25%-os szám-megosztásra is hivatkozott az e-mail phishing-ben QR-kódok felhasználásával, amelyet a Microsoftnak tulajdonítottak; egyetlen Microsoft-publikáció sem támogatja ezt az értéket, ezért az adatot eltávolítottak, és helyette a Microsoft közvetlenül publikálja az adatokat, termékük és időszakuk megjelöléséel. A bemutatás phishing tartomány, amely élő hivatkozásként volt megjelenítve, helyettesítve van a nem kattintható példával a fenntartott .example névterületen, és az FBI IC3 és FTC tanácsadások helyett az CISA kezdőlapra való hivatkozást helyettesítette.