Un codice QR non può fallare un controllo DMARC, e questo è esattamente il motivo per cui i truffatori lo adorano

La difesa della posta elettronica non è una sola macchina. Ne sono almeno due, e rispondono a domande diverse. La prima chiede chi era autorizzato a inviare messaggi usando questo nome di dominio. La seconda chiede se quello che il messaggio contiene è pericoloso. Un codice QR passa la prima per design, e se passa la seconda dipende da quale prodotto sta leggendo la tua posta.

Inizia con la prima macchina, perché è quella che la gente nomina male. SPF verifica se il server di invio è autorizzato a inviare per un dominio. DKIM controlla una firma crittografica sul messaggio. DMARC richiede che uno di quegli identificatori autenticati corrisponda al dominio nell'intestazione From: visibile, e permette al proprietario del dominio di pubblicare una preferenza per quello che dovrebbe accadere quando quell'allineamento fallisce. La specifica attuale, RFC 9989, è esplicita nel fatto che è una preferenza e non un comando: "The final handling of any message is always a matter of local policy and is left to the discretion of the Mail Receiver."

Ora la parte che importa per i codici QR. La stessa specifica elenca quello che è deliberatamente fuori dal suo ambito, e in quel elenco, in quelle due parole, c'è "content analysis." DMARC non è mai stato costruito per leggere link, e non è stato degradato dalle immagini. Non ha alcuna opinione sul corpo di un messaggio. Dice anche chiaramente cosa vale un pass: "a DMARC pass by itself does not guarantee that delivery to the recipient's inbox would be safe or desirable." Quindi un criminale che registra un dominio usa e getta, configura correttamente SPF e DKIM su di esso e pubblica un record DMARC può inviarti un messaggio che passa ogni controllo di autenticazione in modo pulito. Nulla è stato aggirato. La busta era veramente firmata dalla parte che l'ha firmata. La domanda se il quadratino allegato ti porta da qualche parte che ruba la tua password non è mai stata sul modulo del livello di autenticazione.

Quella domanda appartiene alla seconda macchina, e qui gli assoluti si sgretolano. Un link testuale nel corpo di un messaggio è qualcosa che un filtro dei contenuti può estrarre, espandere e confrontare con dati di reputazione. Un URL dentro un'immagine QR deve essere recuperato dai pixel per primo, e quella capacità non è universale. Il National Cyber Security Centre del Regno Unito, in un post di febbraio 2024 di Dave Chismon, dà il limite esattamente: "Not all security tools designed to detect phishing emails will scan images." Microsoft, a novembre 2024, ha documentato l'altro lato — Defender for Office 365 "has improved its capabilities to extract URLs from QR codes," estraendoli con elaborazione delle immagini all'inizio del flusso di posta e ora estraendo anche metadati QR e valutando il pattern circostante. Microsoft ha anche pubblicato quello che è cambiato nella propria telemetria: al picco stava "blocking 3 million attempts daily," e dopo che il lavoro di rilevamento è stato lanciato, "we have seen this number shrink to 200,000 QR code phishing attempts every day." Un fornitore, un prodotto, auto-riferito — ma verificabile, che è più di quello che si può dire per le percentuali a livello di industria che circolano su questo argomento. Una versione precedente di questo articolo conteneva una di quelle percentuali; è stata rimossa perché la sua origine non poteva essere stabilita.

L'avviso per i consumatori dell'FTC del 6 dicembre 2023, dello specialista in educazione dei consumatori Alvaro Puig, è dove viene esposto il problema nella versione di tutti i giorni: i truffatori che coprono un codice di parchimetro reale con il loro adesivo, un messaggio che afferma che un pacco non poteva essere consegnato, un account che presumibilmente ha bisogno di riattivazione. Il suo consiglio è una sola frase e non ti richiede di valutare alcun codice particolare: "Don't scan a QR code in an email or text message you weren't expecting." L'annuncio dell'FBI IC3 di gennaio 2022 aggiunge il segno fisico — controlla se c'è "a sticker placed on top of the original code" — e quello procedurale: per un messaggio che vuole un pagamento, "call the company to verify," usando un numero trovato "through a trusted site rather than a number provided in the email," e "avoid making payments through a site navigated to from a QR code. Instead, manually enter a known and trusted URL."

E poi c'è il dispositivo, che è la vera ragione per cui questo continua a funzionare. Un codice QR non viene scansionato sul laptop dove il browser gestito, il filtro aziendale e il gestore di password che si rifiuta di autocompilare sul dominio sbagliato vivono tutti. Viene scansionato su un telefono, che l'NCSC elenca tra i motivi per cui i criminali favoriscono il metodo: "Personal devices may not have the same security protections as a computer that's provided by your employer." Su un telefono la barra degli indirizzi si tronca, l'URL completo è difficile da ispezionare, e la persona che sta facendo la scansione di solito sta in piedi da qualche parte, leggermente infastidita, non leggendo attentamente.

Quindi il riassunto onesto è più stretto di "i filtri sono ciechi." L'autenticazione del dominio sta funzionando e sta rispondendo correttamente alla sua propria domanda. L'analisi dei contenuti delle immagini QR esiste, è distribuita in alcuni prodotti e non in altri, e è migliorata misurabilmente in almeno uno di essi nel 2024. L'attacco sopravvive perché trasferisce il momento decisivo su un dispositivo che si trova al di fuori della maggior parte di quel macchinario, e di fronte a una persona che è stata addestrata per anni a trattare un piccolo quadrato come una comodità. Il quadrato non mente al filtro. Sposta la conversazione a te.

Correzione, 20 ottobre 2026. Una versione precedente di questo articolo diceva che ogni filtro antispam e ogni controllo di intestazione era costruito per leggere testo e che un codice QR è invisibile a tutti loro. L'autenticazione del dominio non esamina il contenuto per design — la specifica DMARC elenca "content analysis" come fuori ambito — ma il filtraggio dei contenuti è un livello separato, e Microsoft ha documentato l'estrazione degli URL QR in Defender for Office 365 a novembre 2024, mentre la formulazione dell'NCSC è che non tutti gli strumenti scansionano le immagini. Una statistica che attribuisce il 22% del phishing online della fine del 2023 ai codici QR è stata rimossa perché nessuna fonte primaria per essa poteva essere identificata; non è stata sostituita con una cifra approssimativa. Una citazione a una pagina dell'NCSC che in realtà non discute i codici QR è stata sostituita con il post del blog dell'NCSC che lo fa, l'avviso dell'FTC è ora datato precisamente, e un dominio di phishing dimostrativo è stato sostituito con un esempio non cliccabile nello spazio dei nomi riservato .example.

@@END@@