QR 코드는 DMARC 검사에서 실패할 수 없고, 그것이 바로 사기꾼들이 이를 좋아하는 이유다

이메일 방어는 하나의 기계가 아니다. 최소한 두 개이며, 서로 다른 질문에 답한다. 첫 번째는 이 도메인 이름으로 메일을 보낼 수 있는 권한이 있는 사람이 누구인가를 묻는다. 두 번째는 메시지가 담고 있는 내용이 위험한지를 묻는다. QR 코드는 설계상 첫 번째를 통과하고, 두 번째를 통과하는지 여부는 당신의 메일을 읽고 있는 제품이 무엇인지에 따라 달라진다.

첫 번째 기계부터 시작하자. 사람들이 잘못 이름 붙이는 것이 바로 이것이기 때문이다. SPF는 송신 서버가 도메인을 위해 메일을 보낼 수 있는지 여부를 확인한다. DKIM은 메시지에 대한 암호화 서명을 확인한다. DMARC는 인증된 식별자 중 하나가 보이는 From: 헤더의 도메인과 일치하도록 요구하며, 그 일치가 실패할 때 어떤 일이 일어나야 하는지에 대한 도메인 소유자의 선호도를 게시하도록 한다. 현재 사양인 RFC 9989는 이것이 명령이 아니라 선호도임을 명시하고 있다: "모든 메시지의 최종 처리는 항상 로컬 정책의 문제이며 메일 수신자의 재량에 맡겨진다."

이제 QR 코드에 중요한 부분이다. 같은 사양에서 의도적으로 범위를 벗어난 것들을 나열하고 있으며, 그 목록에는 "콘텐츠 분석"이라는 두 단어가 있다. DMARC는 링크를 읽기 위해 만들어진 적이 없으며, 이미지로 인해 성능이 저하된 것도 아니다. 메시지의 본문에 대해 어떤 의견도 없다. 또한 통과가 무엇인가를 명백히 말한다: "DMARC 통과 자체는 수신자의 받은편지함으로의 전달이 안전하거나 바람직하다는 것을 보장하지 않는다." 따라서 일회용 도메인을 등록하고 그 위에 SPF와 DKIM을 제대로 구성하고 DMARC 레코드를 게시한 범죄자는 모든 인증 검사를 깔끔하게 통과하는 메시지를 당신에게 보낼 수 있다. 아무것도 우회되지 않았다. 봉투는 실제로 이를 서명한 당사자에 의해 서명되었다. 그 작은 사각형이 당신의 비밀번호를 훔치는 곳으로 이어지는지는 인증 계층의 양식에 없던 질문이었다.

그 질문은 두 번째 기계에 속하며, 이곳은 절대적인 것이 무너지는 곳이다. 메시지 본문의 텍스트 링크는 콘텐츠 필터가 추출하고, 확장하고, 평판 데이터와 비교할 수 있는 것이다. QR 이미지 내부의 URL은 먼저 픽셀에서 복구되어야 하며, 이 기능은 보편적이지 않다. 영국의 국가 사이버 보안 센터(National Cyber Security Centre)는 Dave Chismon의 2024년 2월 게시물에서 한계를 정확히 명시한다: "피싱 이메일을 탐지하도록 설계된 모든 보안 도구가 이미지를 스캔하는 것은 아니다." Microsoft는 2024년 11월에 반대편을 기록했다 — Defender for Office 365는 "QR 코드에서 URL을 추출하는 기능을 개선했으며," 메일 흐름의 초기에 이미지 처리로 이들을 끌어내고 이제 QR 메타데이터도 추출하고 주변 패턴을 점수화한다. Microsoft는 또한 그것이 자신의 원격 측정에서 무엇을 변경했는지 게시했다: 최고조에는 "하루에 3백만 건의 시도를 차단"하고 있었으며, 탐지 작업이 배포된 후 "이 수치가 하루에 200,000건의 QR 코드 피싱 시도로 줄어든 것을 보았다." 한 공급업체, 한 제품, 자가 보고 — 하지만 검증 가능하며, 이는 이 주제로 유통되는 업계 전체 백분율에 대해 말할 수 있는 것 이상이다. 이 기사의 이전 버전에는 그러한 백분율이 포함되어 있었다; 그 출처를 확립할 수 없어서 제거되었다.

FTC의 2023년 12월 6일 소비자 경보는 소비자 교육 전문가 Alvaro Puig에 의한 것이며, 일상적인 문제의 버전이 설명되어 있다: 사기꾼들이 실제 주차 미터 코드를 자신의 스티커로 덮고, 패키지를 배달할 수 없다는 메시지, 계정을 재활성화해야 한다는 것이다. 그 조언은 한 문장이며 특정 코드를 평가할 필요가 없다: "예상하지 못한 이메일이나 문자 메시지의 QR 코드를 스캔하지 마십시오." FBI의 2022년 1월 IC3 발표는 물리적 단서를 추가한다 — "원래 코드 위에 붙인 스티커"가 있는지 확인 — 그리고 절차적인 것: 결제를 요구하는 메시지의 경우 "회사에 전화로 확인하되," "이메일에서 제공한 번호가 아닌 신뢰할 수 있는 사이트를 통해 찾은" 번호를 사용하고 "QR 코드에서 이동한 사이트를 통해 결제하는 것을 피하십시오. 대신 알려진 신뢰할 수 있는 URL을 수동으로 입력하십시오."

그리고 나서 기기가 있으며, 이것이 이것이 계속 작동하는 실제 이유다. QR 코드는 관리되는 브라우저, 회사 필터, 잘못된 도메인에서 자동 입력을 거부하는 비밀번호 관리자가 모두 있는 노트북에서 스캔되지 않는다. 휴대폰에서 스캔되며, NCSC는 범죄자들이 이 방법을 선호하는 이유 중 하나로 나열한다: "개인용 기기는 고용주가 제공하는 컴퓨터와 동일한 보안 보호 기능이 없을 수 있다." 휴대폰에서 주소 표시줄이 잘려 있고, 전체 URL은 검사하기가 어렵고, 스캔을 하는 사람은 보통 어딘가에 서 있으며, 약간 짜증이 나 있고, 주의 깊게 읽지 않고 있다.

따라서 정직한 요약은 "필터가 맹목적이다"보다 더 좁다. 도메인 인증이 작동하고 있으며 자신의 질문에 올바르게 답하고 있다. QR 이미지의 콘텐츠 분석이 존재하고, 일부 제품에는 배포되어 있고 다른 제품에는 없으며, 2024년에 그 중 적어도 하나에서 측정 가능하게 개선되었다. 이 공격이 생존하는 이유는 결정적인 순간을 대부분의 그러한 기계 외부에 있는 기기로 옮기고, 많은 년간 작은 사각형을 편의로 취급하도록 훈련받은 사람 앞에 놓기 때문이다. 그 사각형은 필터에 거짓말을 하지 않는다. 그것은 대화를 당신에게로 옮긴다.

정정, 2026년 10월 20일. 이 기사의 이전 버전은 모든 스팸 필터와 모든 헤더 검사가 텍스트를 읽기 위해 만들어졌으며 QR 코드는 모두에게 보이지 않는다고 말했다. 도메인 인증은 설계상 콘텐츠를 검사하지 않는다 — DMARC 사양은 "콘텐츠 분석"을 범위 밖으로 나열한다 — 하지만 콘텐츠 필터링은 별도의 계층이며, Microsoft는 2024년 11월에 Defender for Office 365에서 QR URL 추출을 기록했으며, NCSC의 표현은 모든 도구가 이미지를 스캔하는 것은 아니라는 것이다. 2023년 말 온라인 피싱의 22%를 QR 코드에 귀속하는 통계는 이에 대한 1차 출처를 찾을 수 없어서 제거되었으며; 대략적인 수치로 대체되지 않았다. QR 코드에 대해 실제로 논의하지 않는 NCSC 페이지의 인용은 실제로 논의하는 NCSC 블로그 게시물로 대체되었으며, FTC 경보는 이제 정확히 날짜가 지정되었으며, 시연용 피싱 도메인은 예약된 .example 네임스페이스의 클릭 불가능한 예제로 대체되었다.

@@END@@