Kod QR nie może nie przejść sprawdzenia DMARC — i właśnie dlatego oszuści go uwielbiają

Obrona poczty elektronicznej to nie jedna maszyna. To co najmniej dwie maszyny, i odpowiadają na różne pytania. Pierwsza pyta, kto został upoważniony do wysyłania poczty dla tej domeny. Druga pyta, czy to, co zawiera wiadomość, jest niebezpieczne. Kod QR przechodzi obok pierwszej z nich z założenia, a to, czy przejdzie obok drugiej, zależy od tego, który produkt czyta Twoją pocztę.

Zacznij od pierwszej maszyny, bo to ta, której ludzie dają złą nazwę. SPF sprawdza, czy serwer wysyłający ma prawo wysyłać dla domeny. DKIM sprawdza podpis kryptograficzny na wiadomości. DMARC wymaga, aby jeden z tych uwierzytelnionych identyfikatorów zgadzał się z domeną w widocznym nagłówku From:, i pozwala właścicielowi domeny opublikować preferencję dotyczącą tego, co powinno się stać, gdy to wyrównanie nie powiedzie się. Obecna specyfikacja, RFC 9989, jednoznacznie stwierdza, że jest to preferencja, a nie nakaz: „Ostateczna obsługa każdej wiadomości jest zawsze kwestią lokalnej polityki i pozostawiona do decyzji odbiorcy poczty".

Teraz część, która ma znaczenie dla kodów QR. Ta sama specyfikacja wymienia to, co jest celowo poza jej zakresem, i na tej liście, w tych dwóch słowach, znajduje się „content analysis" (analiza zawartości). DMARC nigdy nie został zbudowany, aby czytać linki, i nie został pogorszony przez obrazy. Nie ma on żadnej opinii na temat treści wiadomości. Mówi też jasno, ile warte jest przejście: „sam przebieg DMARC nie gwarantuje, że dostawa do skrzynki odbiorczej odbiorcy byłaby bezpieczna lub pożądana". Tak więc przestępca, który zarejestruje domenę jednorazową, prawidłowo skonfiguruje SPF i DKIM na niej i opublikuje rekord DMARC, może wysłać Ci wiadomość, która przechodzi każdy sprawdzenie uwierzytelniającego czyszczą. Nic nie zostało obejść. Koperta rzeczywiście została podpisana przez stronę, która ją podpisała. Pytanie o to, czy dołączony kwadrat prowadzi gdzieś, gdzie ktoś wykradnie Twoje hasło, nigdy nie znajdowało się na formularzu warstwy uwierzytelniającej.

To pytanie należy do drugiej maszyny, i tutaj absoluty się rozpadają. Link tekstowy w treści wiadomości to coś, co filtr zawartości może wyodrębnić, rozwinąć i porównać z danymi reputacyjnymi. Adres URL wewnątrz obrazu QR musi być najpierw odzyskany z pikseli, i ta zdolność nie jest powszechna. Brytyjskie Narodowe Centrum Cyberbezpieczeństwa (National Cyber Security Centre), w poście Dave'a Chismona z lutego 2024 r., określa granicę dokładnie: „Nie wszystkie narzędzia bezpieczeństwa zaprojektowane do wykrywania phishingowych wiadomości e-mail będą skanować obrazy". Microsoft, w listopadzie 2024 r., udokumentował drugą stronę — Defender for Office 365 „poprawił swoje możliwości ekstrahowania adresów URL z kodów QR", wyciągając je za pomocą przetwarzania obrazów na wczesnym etapie przepływu poczty, a teraz także ekstrahując metadane QR i oceniając otaczający wzór. Microsoft opublikował również to, co to zmieniło w jego telemetrii: w szczytowym momencie „blokował 3 miliony prób dziennie", a po wdrożeniu pracy detekcji, „widzieliśmy, że liczba ta spadła do 200 000 prób phishingu z kodem QR każdego dnia". Jeden dostawca, jeden produkt, raport własny — ale weryfikowalny, co jest więcej niż można powiedzieć o percentach dotyczących całej branży, które krążą przy tym temacie. Wcześniejsza wersja tego artykułu zawierała jeden z tych percentów; został usunięty, ponieważ nie można było ustalić jego źródła.

Ostrzeżenie konsumenckie FTC z 6 grudnia 2023 r., autorstwa specjalisty ds. edukacji konsumentów Álvaro Puiga, to miejsce, gdzie opisany jest codzienna wersja problemu: oszuści przykrywający rzeczywisty kod parkometru swoją naklejką, wiadomość twierdząca, że pakiet nie mógł być dostarczony, konto, które rzekomo wymaga ponownej aktywacji. Jego rada to jedno zdanie i nie wymaga od Ciebie oceny jakiegokolwiek konkretnego kodu: „Nie skanuj kod QR w wiadomości e-mail lub SMS-ie, którego się nie spodziewałeś". Ogłoszenie FBI IC3 z stycznia 2022 r. dodaje fizyczny znak — sprawdzić, czy znajduje się tam „naklejka nałożona na wierzch oryginalnego kodu" — i procedurę: dla wiadomości, która żąda płatności, „zadzwoń do firmy, aby zweryfikować", używając numeru znalezionego „poprzez zaufaną stronę, a nie numer podany w wiadomości e-mail", i „unikaj dokonywania płatności za pośrednictwem strony nawigowanej z kodu QR. Zamiast tego ręcznie wprowadź znany i zaufany adres URL".

I wtedy jest urządzenie, które jest prawdziwym powodem, dla którego to wciąż działa. Kod QR nie jest skanowany na laptopie, gdzie znajduje się zarządzana przeglądarka, filtr korporacyjny i menedżer haseł, który odmawia autouzupełniania na złej domenie. Jest skanowany na telefonie, który NCSC wymienia wśród powodów, dla których przestępcy faworyzują tę metodę: „Urządzenia osobiste mogą nie mieć takich samych zabezpieczeń co komputer dostarczony przez Twojego pracodawcę". Na telefonie pasek adresu się skraca, pełny adres URL jest niezręczny do sprawdzenia, a osoba dokonująca skanowania zwykle stoi gdzieś, lekko zirytowana, nie czytając uważnie.

Tak więc uczciwe podsumowanie jest węższe niż „filtry są niewidome". Uwierzytelnianie domeny działa i prawidłowo odpowiada na swoje własne pytanie. Analiza zawartości obrazów QR istnieje, jest wdrażana w niektórych produktach, a nie w innych, i mierzalnie się poprawiła w co najmniej jednym z nich w 2024 r. Atak przetrwał, ponieważ przenosi decydujący moment na urządzenie, które znajduje się poza większością tego aparatu, i przed osobą, która przez lata była przeszkolona do traktowania małego kwadratu jako wygody. Kwadrat nie kłamie filtrowi. Przenosi rozmowę na Ciebie.

Sprostowanie, 20 października 2026 r. Wcześniejsza wersja tego artykułu mówiła, że każdy filtr spamu i każde sprawdzenie nagłówka zostały zbudowane, aby czytać tekst i że kod QR jest dla nich wszystkich niewidoczny. Uwierzytelnianie domeny nie bada zawartości z założenia — specyfikacja DMARC wymienia „content analysis" (analiza zawartości) jako poza zakresem — ale filtrowanie zawartości to osobna warstwa, a Microsoft udokumentował ekstrakcję adresu URL z kodu QR w Defender for Office 365 w listopadzie 2024 r., podczas gdy sformułowanie NCSC jest takie, że nie wszystkie narzędzia skanują obrazy. Statystyka przypisująca 22% phishingu online z końca 2023 r. kodom QR została usunięta, ponieważ nie można było zidentyfikować dla niej żadnego pierwotnego źródła; nie została zastąpiona przybliżoną liczbą. Cytowanie strony NCSC, która w rzeczywistości nie omawia kodów QR, zostało zastąpione wpisem na blogu NCSC, który to robi, alert FTC jest teraz precyzyjnie datowany, a demonstracyjna domena phishingu została zastąpiona nieklikowalnym przykładem w zarezerwowanej przestrzeni nazw .example.

@@END@@