QRコードはDMARC チェックに失敗できない。それがまさに詐欺師がこれを大好きな理由だ

メール防御は一つのマシンではない。少なくとも二つあり、異なる質問に答える。最初のものは、このドメイン名を使用してメールを送信する権限を持つのは誰かを尋ねる。二番目のものは、メッセージに含まれるコンテンツが危険かどうかを尋ねる。QRコードは設計上、最初のものをすり抜け、二番目を通過するかどうかは、あなたのメールを読んでいる製品次第だ。

最初のマシンから始めよう。人々が名前を間違えるのはこれだからだ。SPF は送信サーバーがドメインの代わりに送信することが許可されているかどうかを確認する。DKIM はメッセージ上の暗号署名をチェックする。DMARC は認証済みの識別子の一つが表示されている From: ヘッダーのドメインと一致することを要求し、ドメイン所有者がそのアラインメントが失敗したときに何が起こるべきかについての設定を公開することができる。現在の仕様 RFC 9989 は、それが命令ではなく設定であることを明示している。「いかなるメッセージの最終的な処理も常にローカルポリシーの問題であり、メール受信者の判断に委ねられている。」

ここからが QR コードに関係のある部分だ。同じ仕様は意図的に範囲外にあるものをリストアップしており、そのリストに、その二語が「コンテンツ分析」である。DMARC はリンクを読むために構築されたことはなく、画像によって低下させられたこともない。メッセージの本文について何の意見も持たない。また、合格が何の価値があるかも明示している。「DMARC 合格だけでは、受信者のインボックスへの配信が安全または望ましいことを保証しない。」したがって、使い捨てドメインを登録し、その上で SPF と DKIM を適切に設定し、DMARC レコードを公開した犯罪者は、すべての認証チェックをきれいに通過するメッセージを送信できる。何もバイパスされていない。エンベロープは本当にそれに署名した当事者によって署名された。その正方形がどこにあなたのパスワードを盗む場所に通じているかどうかの質問は、認証レイヤーのフォームにはなかった。

その質問は二番目のマシンに属し、ここが絶対値が崩れるところだ。メッセージ本文内のテキストリンクは、コンテンツフィルタが抽出、展開し、レピュテーションデータと比較できるものだ。QR 画像内の URL は最初にピクセルから復旧する必要があり、その能力は普遍的ではない。英国の National Cyber Security Centre は、Dave Chismon による 2024 年 2 月の投稿で、限界を正確に与える。「フィッシングメールを検出するために設計されたすべてのセキュリティツールが画像をスキャンするわけではない。」Microsoft は 2024 年 11 月に反対側を文書化した—Defender for Office 365 は「QR コードから URL を抽出する能力を改善し」、メールフロー内で早期に画像処理を使用してそれを抽出し、現在 QR メタデータも抽出して周囲のパターンをスコアリングしている。Microsoft はまたそれが独自のテレメトリで何を変えたかを公開した。ピーク時には「1 日 3 百万件の試行をブロック」していたが、検出作業が出荷された後、「この数が 1 日 200,000 QR コードフィッシング試行に縮小したのを見ている。」一つのベンダー、一つの製品、自己報告だが—チェック可能で、このトピックで流通している業界全体の パーセンテージについてはそれ以上のことが言えない。この記事の以前のバージョンはそれらのパーセンテージの一つを含んでいた。それが削除されたのは、その起源を確立できなかったからだ。

FTC の 2023 年 12 月 6 日のコンシューマーアラート(消費者教育スペシャリスト Alvaro Puig による)は、問題の日常的なバージョンが説かれているところだ。実際の駐車メーターのコードを自分のステッカーで覆う詐欺師、パッケージが配達されなかったと主張するメッセージ、再度有効化する必要があるとされているアカウント。その助言は一文であり、特定のコードを評価する必要がない。「予期していないメールやテキストメッセージ内の QR コードをスキャンしないこと。」FBI の 2022 年 1 月の IC3 アナウンスは物理的な兆候を追加する—「元のコードの上に置かれたステッカーがあるかどうか」をチェックする—および手続き的なもの。支払いを要求するメッセージの場合、「会社に確認する電話をかけ」、「メールで提供された番号ではなく信頼できるサイト経由で見つかった」番号を使用して、「QR コードからナビゲートされたサイト経由での支払いを避け、代わりに既知で信頼できる URL を手動で入力する。」

そしてそこにはデバイスがあり、これが本当にこれが機能し続ける理由だ。QR コードはマネージドブラウザ、企業フィルター、および間違ったドメイン上での自動入力を拒否するパスワードマネージャーのすべてが存在するノートパソコンでスキャンされない。それはスマートフォンでスキャンされ、NCSC はそれを犯罪者がこの方法を好む理由の中にリストアップしている。「個人用デバイスは、雇用者から提供されるコンピュータと同じセキュリティ保護を持たないかもしれない。」スマートフォン上でアドレスバーは切り詰められ、完全な URL は検査しづらく、スキャンをしている人は通常どこかに立っており、やや不機嫌で、注意深く読んでいない。

したがって正直な要約は「フィルタが盲目だ」よりも狭い。ドメイン認証は機能しており、独自の質問に正しく答えている。QR 画像のコンテンツ分析は存在し、一部の製品には導入されているが他の製品には導入されておらず、2024 年にそのうち少なくとも一つで測定可能に改善された。攻撃は決定的な瞬間をほとんどすべてのその機械の外に座っているデバイスに再配置し、小さな正方形を便利として扱うために何年も訓練されている人の前に再配置することによって生き残っている。その正方形はフィルタに嘘をつかない。会話をあなたに移す。

修正、2026 年 10 月 20 日。 この記事の以前のバージョンは、すべてのスパムフィルタとすべてのヘッダーチェックがテキストを読むために構築されたこと、および QR コードはそれらのすべてに見えない、と述べていた。ドメイン認証は設計上コンテンツを検査しない—DMARC 仕様は「コンテンツ分析」を範囲外としてリストアップしている—しかしコンテンツフィルタリングは別のレイヤーであり、Microsoft は 2024 年 11 月に Defender for Office 365 の QR URL 抽出を文書化し、NCSC の言葉遣いは「すべてのツールが画像をスキャンするわけではない」ということだ。2023 年後半のオンラインフィッシングの 22% が QR コードに起因することを述べている統計は、それについてのプライマリソースが特定できなかったため削除されている。それは概数図に置き換えられていない。QR コードについて実際には議論しない NCSC ページへの引用は、実際に議論する NCSC ブログ投稿に置き換えられ、FTC アラートは現在正確に日付が付けられ、デモンストレーションフィッシングドメインは予約済み .example 名前空間上のクリック不可能な例に置き換えられた。