Een QR-code kan een DMARC-controle niet falen, en precies daarom houden oplichters er van

E-mailbeveiliging is niet één machine. Het zijn er minstens twee, en ze beantwoorden verschillende vragen. De eerste vraagt wie geautoriseerd is om e-mail via deze domeinnaam te verzenden. De tweede vraagt of wat het bericht bevat gevaarlijk is. Een QR-code glipt langs de eerste er door design, en of het de tweede passeert hangt ervan af welk product je e-mail leest.

Begin met de eerste machine, omdat dat degene is die mensen verkeerd noemen. SPF controleert of de verzendserver e-mail voor een domein mag verzenden. DKIM controleert een cryptografische handtekening over het bericht. DMARC vereist dat een van die geverifieerde identifiers aansluit op het domein in de zichtbare From:-header, en stelt de domaineigenaar in staat een voorkeur te publiceren voor wat moet gebeuren als die afstemming mislukt. De huidige specificatie, RFC 9989, stelt expliciet dat het een voorkeur is en geen commando: "The final handling of any message is always a matter of local policy and is left to the discretion of the Mail Receiver."

Nu het onderdeel dat voor QR-codes van belang is. Dezelfde specificatie somt op wat opzettelijk buiten haar bereik valt, en op die lijst staat, in die twee woorden: "content analysis." DMARC was nooit gebouwd om links te lezen, en is niet verslechterd door afbeeldingen. Het heeft helemaal geen mening over de inhoud van een bericht. Het zegt ook duidelijk wat een geslaagde controle waard is: "a DMARC pass by itself does not guarantee that delivery to the recipient's inbox would be safe or desirable." Dus een crimineel die een wegwerp-domein registreert, SPF en DKIM er correct op configureert en een DMARC-record publiceert, kan je een bericht sturen dat elke verificatie schoon passeert. Er is niets omzeild. De envelop was echt ondertekend door de partij die het ondertekende. De vraag of het bijgevoegde vierkantje ergens naar leidt dat je wachtwoord steelt stond nooit op het formulier van de verificatielaag.

Die vraag hoort bij de tweede machine, en hier vallen de absoluutstellingen uit elkaar. Een tekstlink in een berichtlichaam is iets wat een inhoudsfilter kan uitpakken, uitbreiden en vergelijken met reputatiegegevens. Een URL in een QR-afbeelding moet eerst uit pixels worden teruggewonnen, en dat vermogen is niet universeel. Het UK's National Cyber Security Centre stelt in een februaripost van 2024 door Dave Chismon de limiet exact: "Not all security tools designed to detect phishing emails will scan images." Microsoft documenteerde in november 2024 de andere kant — Defender for Office 365 "has improved its capabilities to extract URLs from QR codes," haalt ze eruit met beeldverwerking vroeg in de e-mailstroom en extraheert nu ook QR-metagegevens en beoordeelt het omringende patroon. Microsoft publiceerde ook wat dat veranderde in zijn eigen telemetrie: op het hoogtepunt was het "blocking 3 million attempts daily," en nadat het detectiewerk was uitgebracht, "we have seen this number shrink to 200,000 QR code phishing attempts every day." Één leverancier, één product, zelf gerapporteerd — maar verifieerbaar, wat meer is dan van de branchebrede percentages kan worden gezegd die over dit onderwerp circuleren. Een eerdere versie van dit artikel droeg een van die percentages; deze is verwijderd omdat de oorsprong niet kon worden vastgesteld.

De waarschuwing van de FTC voor consumenten van 6 december 2023, door consumenteneducatiespecialist Alvaro Puig, is waar de alledaagse versie van het probleem uiteen wordt gezet: oplichters die een echte parkeermetercode met hun eigen sticker bedekken, een bericht dat claimt dat een pakket niet kon worden bezorgd, een account dat schijnbaar moet worden heracativeerd. Haar advies is één zin lang en vereist niet dat je een bepaalde code beoordeelt: "Don't scan a QR code in an email or text message you weren't expecting." De aankondiging van de FBI's IC3 van januari 2022 voegt het fysieke kenmerk toe — controleer of er "a sticker placed on top of the original code" is — en de procedurele: voor een bericht dat betaling wil, "call the company to verify," gebruik je een nummer gevonden "through a trusted site rather than a number provided in the email," en "avoid making payments through a site navigated to from a QR code. Instead, manually enter a known and trusted URL."

En dan is er het apparaat, wat de echte reden is waarom dit blijft werken. Een QR-code wordt niet gescand op de laptop waar de beheerde browser, het bedrijfsfilter en de wachtwoordmanager die weigert automatisch in te vullen op het verkeerde domein allemaal zitten. Het wordt gescand op een telefoon, die de NCSC tussen de redenen noemt waarom criminelen de methode prefereren: "Personal devices may not have the same security protections as a computer that's provided by your employer." Op een telefoon wordt de adresbalk ingekort, is de volledige URL lastig te inspecteren, en de persoon die scant staat meestal ergens, licht geïrriteerd, leest niet zorgvuldig.

Dus de eerlijke samenvatting is beperkter dan "de filters zijn blind." Domeinauthenticatie werkt en beantwoordt zijn eigen vraag correct. Inhoudsanalyse van QR-afbeeldingen bestaat, is in sommige producten en niet in anderen ingezet, en verbeterde meetbaar in minstens één ervan in 2024. De aanval overleeft omdat het het beslissende moment naar een apparaat verplaatst dat buiten het meeste van die mechanisme zit, en voor een persoon die jarenlang is getraind om een klein vierkantje als een gemak te zien. Het vierkantje liegt niet tegen het filter. Het verplaatst het gesprek naar jou.

Correctie, 20 oktober 2026. Een eerdere versie van dit artikel zei dat elk spamfilter en elke headercontrole was gebouwd om tekst te lezen en dat een QR-code voor al deze onzichtbaar is. Domeinauthenticatie onderzoekt inhoud niet, per ontwerp — de DMARC-specificatie somt "content analysis" op als buiten bereik — maar inhoudsfiltering is een aparte laag, en Microsoft documenteerde QR-URL-extractie in Defender for Office 365 in november 2024, terwijl de formulering van de NCSC is dat niet alle tools afbeeldingen scannen. Een statistiek die 22% van phishing eind-2023 online aan QR-codes toeschreef is verwijderd omdat geen primaire bron ervoor kon worden geïdentificeerd; deze is niet vervangen door een geschatte waarde. Een citaat naar een NCSC-pagina die QR-codes eigenlijk niet bespreekt is vervangen door de NCSC-blogpost die dat wel doet, de FTC-waarschuwing is nu nauwkeurig gedateerd, en een demonstratie-phishingdomein is vervangen door een niet-klikbaar voorbeeld op de gereserveerde .example naamruimte.