Kode QR Tidak Bisa Gagal Pemeriksaan DMARC, dan Itulah Mengapa Penipu Sangat Menyukainya

Pertahanan email bukan satu mesin. Ini setidaknya dua, dan mereka menjawab pertanyaan berbeda. Yang pertama menanyakan siapa yang berwenang mengirim surat menggunakan nama domain ini. Yang kedua menanyakan apakah apa yang ada di dalam pesan berbahaya. Sebuah kode QR melewati yang pertama dengan desain sengaja, dan apakah kode itu lolos dari yang kedua tergantung pada produk mana yang membaca surat Anda.

Mulai dengan mesin yang pertama, karena ini adalah mesin yang orang-orang salah namai. SPF memeriksa apakah server pengirim diizinkan mengirim untuk domain tertentu. DKIM memeriksa tanda tangan kriptografi di atas pesan. DMARC mensyaratkan bahwa salah satu dari pengidentifikasi terautentikasi itu selaras dengan domain dalam header From: yang terlihat, dan memungkinkan pemilik domain untuk menerbitkan preferensi tentang apa yang harus terjadi ketika penyelarasan itu gagal. Spesifikasi saat ini, RFC 9989, tegas bahwa ini adalah preferensi dan bukan perintah: "Penanganan akhir pesan apa pun selalu merupakan masalah kebijakan lokal dan diserahkan kepada kebijaksanaan Penerima Surat."

Sekarang bagian yang penting untuk kode QR. Spesifikasi yang sama mencantumkan apa yang sengaja berada di luar cakupannya, dan dalam daftar itu, dalam dua kata tersebut, adalah "analisis konten." DMARC tidak pernah dibangun untuk membaca tautan, dan tidak pernah dirusak oleh gambar. Ini tidak memiliki pendapat tentang isi pesan sama sekali. Ini juga mengatakan dengan terang apa yang bernilai lulus: "lulus DMARC dengan sendirinya tidak menjamin bahwa pengiriman ke kotak masuk penerima akan aman atau diinginkan." Jadi seorang penjahat yang mendaftar domain sekali pakai, mengonfigurasi SPF dan DKIM dengan benar, dan menerbitkan catatan DMARC dapat mengirimkan Anda pesan yang lolos dari setiap pemeriksaan autentikasi dengan bersih. Tidak ada yang dilewati. Amplop benar-benar ditandatangani oleh pihak yang menandatanganinya. Pertanyaan tentang apakah kuadrat yang terlampir mengarah ke suatu tempat yang mencuri kata sandi Anda tidak pernah ada dalam formulir lapisan autentikasi.

Pertanyaan itu milik mesin kedua, dan di sinilah keputusan mutlak jatuh. Tautan teks dalam isi pesan adalah sesuatu yang dapat diekstrak filter konten, diperluas dan dibandingkan dengan data reputasi. URL di dalam gambar QR harus dipulihkan dari piksel terlebih dahulu, dan kemampuan ini tidak universal. National Cyber Security Centre UK, dalam posting Februari 2024 oleh Dave Chismon, memberikan batasnya dengan tepat: "Tidak semua alat keamanan yang dirancang untuk mendeteksi email phishing akan memindai gambar." Microsoft, pada November 2024, mendokumentasikan sisi lainnya — Defender for Office 365 "telah meningkatkan kemampuannya untuk mengekstrak URL dari kode QR," menariknya dengan pemrosesan gambar di awal aliran surat dan sekarang juga mengekstrak metadata QR dan menilai pola sekitarnya. Microsoft juga menerbitkan apa yang berubah dalam telemetrinya sendiri: pada puncaknya itu "memblokir 3 juta percobaan harian," dan setelah pekerjaan deteksi dikirim, "kami telah melihat angka ini menyusut menjadi 200.000 upaya phishing kode QR setiap hari." Satu vendor, satu produk, dilaporkan sendiri — tetapi dapat diverifikasi, yang lebih dari dapat dikatakan untuk persentase industri-lebar yang beredar dengan topik ini. Versi sebelumnya dari artikel ini membawa salah satu persentase itu; itu telah dihapus karena asalnya tidak dapat ditetapkan.

Peringatan konsumen FTC dari 6 Desember 2023, oleh spesialis pendidikan konsumen Alvaro Puig, adalah di mana versi sehari-hari dari masalah itu diuraikan: penipu menutup kode meter parkir nyata dengan stiker mereka sendiri, pesan yang mengklaim paket tidak dapat dikirimkan, akun yang seharusnya perlu diaktifkan kembali. Sarannya adalah satu kalimat panjang dan tidak memerlukan Anda untuk menilai kode tertentu: "Jangan pindai kode QR dalam email atau pesan teks yang tidak Anda harapkan." Pengumuman IC3 FBI dari Januari 2022 menambahkan tanda fisik — periksa apakah ada "stiker yang ditempatkan di atas kode asli" — dan yang prosedural: untuk pesan yang menginginkan pembayaran, "hubungi perusahaan untuk memverifikasi," menggunakan nomor yang ditemukan "melalui situs tepercaya daripada nomor yang diberikan dalam email," dan "hindari melakukan pembayaran melalui situs yang dinavigasi dari kode QR. Sebagai gantinya, masukkan secara manual URL yang dikenal dan terpercaya."

Dan kemudian ada perangkat, yang merupakan alasan sebenarnya mengapa ini terus bekerja. Kode QR tidak dipindai di laptop tempat browser terkelola, filter perusahaan dan manajer kata sandi yang menolak untuk autofill di domain yang salah semuanya tinggal. Ini dipindai di ponsel, yang NCSC cantumkan di antara alasan-alasan mengapa penjahat menyukai metode ini: "Perangkat pribadi mungkin tidak memiliki perlindungan keamanan yang sama dengan komputer yang disediakan oleh pemberi kerja Anda." Di ponsel bilah alamat terpotong, URL lengkap canggung untuk diperiksa, dan orang yang melakukan pemindaian biasanya berdiri di suatu tempat, sedikit kesal, tidak membaca dengan hati-hati.

Jadi ringkasan jujur lebih sempit daripada "filter itu buta." Autentikasi domain bekerja dan menjawab pertanyaannya sendiri dengan benar. Analisis konten gambar QR ada, digunakan dalam beberapa produk dan tidak di yang lain, dan meningkat terukur di setidaknya satu di antaranya pada 2024. Serangan bertahan karena memindahkan momen yang menentukan ke perangkat yang berada di luar sebagian besar mesin itu, dan di depan orang yang telah dilatih selama bertahun-tahun untuk menganggap persegi kecil sebagai kenyamanan. Persegi itu tidak berbohong kepada filter. Itu memindahkan percakapan kepada Anda.

Koreksi, 20 Oktober 2026. Versi sebelumnya dari artikel ini mengatakan bahwa setiap spam filter dan setiap pemeriksaan header dibangun untuk membaca teks dan bahwa kode QR tidak terlihat oleh semua orang. Autentikasi domain tidak memeriksa konten dengan desain — spesifikasi DMARC mencantumkan "analisis konten" sebagai di luar cakupan — tetapi pemfilteran konten adalah lapisan terpisah, dan Microsoft mendokumentasikan ekstraksi URL QR di Defender for Office 365 pada November 2024, sedangkan ungkapan NCSC adalah bahwa tidak semua alat memindai gambar. Statistik yang menyebutkan 22% phishing online akhir 2023 untuk kode QR telah dihapus karena tidak ada sumber utama untuk itu yang dapat diidentifikasi; itu belum diganti dengan angka perkiraan. Kutipan ke halaman NCSC yang sebenarnya tidak membahas kode QR telah diganti dengan posting blog NCSC yang melakukannya, peringatan FTC sekarang tertanggal dengan tepat, dan domain phishing demonstrasi telah diganti dengan contoh yang tidak dapat diklik pada namespace .example yang dicadangkan.

@@END@@