Dlaczego oszuści zaczęli wysyłać Ci zdjęcia linków

Skaner linków to prosta, nieubłagana rzecz. Czyta tekstowe adresy URL w e-mailu, porównuje je z listami znanych złych domen, podąża za przekierowaniami i oznacza te, które prowadzą gdzieś niebezpiecznie. Dobrze sobie z tym radzi. Oszuści zrobili więc oczywistą rzecz: przestali wysyłać linki.

Zaczęli wysyłać zdjęcia linków.

To jest sztuczka stojąca za „quishingiem" — phishingiem z kodami QR. Kod QR to adres URL zakodowany jako czarno-białe zdjęcie, więc adres docelowy taki jak login-verify.example przestaje być tekstem w treści wiadomości i staje się pikselami. Rzecz nie w tym, że adres jest zaszyfrowany; aparat każdego odkodowuje go natychmiast. Rzecz w tym, że nie jest już nigdzie zapisany, gdzie Ty albo parser tekstu mógłbyście go przeczytać, zanim się zobowiążesz.

To, czy filtr potrafi go jeszcze przeczytać, zależy całkowicie od produktu. Brytyjskie National Cyber Security Centre ujmuje to granicę w ostrożnych słowach w swojej nocie z lutego 2024 dotyczącej kodów QR: „Nie wszystkie narzędzia bezpieczeństwa zaprojektowane do wykrywania phishingowych e-maili będą skanować obrazy". Zwróć uwagę na to, czego to nie mówi. Nie mówi, że żaden z nich to robi. Microsoft opublikował drugą stronę sprawy w listopadzie 2024: Defender for Office 365, napisał, „poprawił swoje możliwości ekstrakcji adresów URL z kodów QR", używając przetwarzania obrazu na wczesnym etapie przepływu poczty do „ekstrakcji i rejestracji adresów URL ukrytych w kodach QR", a teraz także wydobywa metadane kodów QR i szuka otaczającego wzorca — minimalny tekst treści, haczyk marki, łańcuch przekierowań. Tak więc „filtr nie potrafi go przeczytać" przez pewien czas było prawdą dla wielu produktów, nadal jest dla niektórych, i nie jest to prawo natury. Jeśli chcesz wiedzieć, czy to jest prawdą w przypadku Twojej poczty, to pytanie dotyczy produktu i konfiguracji dostawcy, a nie kodów QR.

Liczby, które są sprawdzalne, pochodzą od tego samego dostawcy, i warto je czytać z dołączonego zakresu. Post Microsoftu z listopada 2024 opisuje wzrost z „niektórymi atakami zwiększającymi się w tempie 270% miesięcznie", mówi, że „w szczycie Defender for Office 365 blokował 3 miliony prób dziennie", i że po wdrożeniu pracy nad detekcją „widzieliśmy, że liczba ta zmniejszyła się do 200 000 phishingowych ataków z kodami QR każdego dnia". Microsoft Digital Defense Report 2026 podaje całkowitą skalę bieżącą: 145+ milionów ataków phishingowych z kodami QR wykrytych między lipcem 2025 a czerwcem 2026 przez Defender for Office 365. Wszystkie te liczby to telemetria jednego dostawcy dla jego własnego produktu, zgłoszona samodzielnie. To nie jest udział we wszystkim phishingu, i to nie jest łączna liczba dla branży — wcześniejsza wersja tego artykułu cytowała udział 25%, który żadna publikacja Microsoftu zdaje się nie wspiera, i ta liczba została usunięta zamiast być zastąpiona.

To, co czyni tę technikę trwałą, to nie kodowanie, lecz przekazanie. E-mail ląduje na laptopie, gdzie mieszkają korporacyjny filtr, zarządzana przeglądarka i menedżer haseł. Kod jest skanowany na telefonie, który zazwyczaj jest urządzeniem osobistym. NCSC wymienia to wśród powodów, dla których przestępcy faworyzują metodę: „Urządzenia osobiste mogą nie mieć takich samych zabezpieczeń jak komputer dostarczony przez pracodawcę". Na telefonie pasek adresu się skraca, pełny adres URL jest trudny do zbadania, a menedżer haseł, który by odmówił automatycznego wypełnienia na złej domenie, nie jest w ogóle zaangażowany.

Tematy są nudno przewidywalne, co samo w sobie jest wskaźnikiem, i pojawiają się w ostrzeżeniach dla konsumentów niemal słowo w słowo. Alert FTC z grudnia 2023 opisuje oszustów zasłaniających rzeczywisty kod QR na liczniku parkingowym swoją własną naklejką i ostrzega jasno: „Nie skanuj kod QR w e-mailu lub wiadomości tekstowej, której się nie spodziewałeś", szczególnie tego, który pcha Cię do natychmiastowego działania. Publiczne zawiadomienie FBI IC3 ze stycznia 2022 mówi to samo o manipulacji — „Cyberprzestępcy manipulują zarówno cyfrowymi jak i fizycznymi kodami QR, aby zastąpić legalne kody złośliwymi kodami" — i mówi ludziom, aby sprawdzili kody fizyczne pod kątem „naklejki umieszczonej na oryginalnym kodzie". Kod do ponownego włączenia wygasającej uwierzytelniania wielopoziomowego, prośba o podpis, której się nie spodziewałeś, powiadomienie o przesyłce prosząc o potwierdzenie dostawy: cel projektowania to zawsze mały, wiarygodny powód do podniesienia telefonu zanim cokolwiek będzie sprawdzone.

Tak więc działania obronne to nudne, i to te, które agencje faktycznie publikują. Rada IC3, dla wiadomości, która chce płatności lub logowania po skanowaniu: „zadzwoń do firmy, aby to zweryfikować", używając „numeru telefonu firmy z zaufanej strony zamiast numeru podanego w e-mailu", i „unikaj dokonywania płatności za pośrednictwem strony, do której nawigowałeś z kodu QR. Zamiast tego ręcznie wprowadź znany i zaufany adres URL". Nic w tym nie wymaga oceny, czy konkretny kwadrat jest złośliwy — co jest częścią, w której żaden człowiek nie jest dobry.

Jedna rzecz, którą kod QR w e-mailu nigdy Ci nie mówi, to czy wiadomość była sfałszowana. Uwierzytelnianie domeny odpowiada na zupełnie inne pytanie, a obecna specyfikacja DMARC wyraźnie umieszcza „analizę treści" poza swoim zakresem — dlatego w pełni uwierzytelniona wiadomość może zawierać złośliwy obraz. Ten mechanizm wart jest swojej lektury, i jest to przedmiot towarzyszącego artykułu w tej serii.

Sprostowanie, 20 października 2026. Wcześniejsza wersja tego artykułu powiedziała, że filtr spamu nie potrafi przeczytać kodu QR i że skanery są ślepe na zakodowany adres. To jest prawdą dla niektórych produktów bezpieczeństwa e-maila, a nie dla innych: Microsoft udokumentował ekstrakcję adresów URL z kodów QR w Defender for Office 365 w listopadzie 2024, a sformułowanie NCSC brzmi, że nie wszystkie narzędzia skanują obrazy. Artykuł cytował także liczbę około 25% phishingu e-mailowego wykorzystującego kody QR, przypisaną Microsoftowi; nie znaleziono żadnej publikacji Microsoftu wspierającej ten udział, więc liczba została usunięta i zastąpiona liczbami, które Microsoft publikuje bezpośrednio, z wymienionymi produktem i okresem. Demonstracyjna domena phishingowa, która była renderowana jako aktywny link, została zastąpiona przykładem nieklikalnymprzestrzeni zarezerwowanej .example, i cytacja do strony domowej CISA została zastąpiona konkretnymi poradnikami FBI IC3 i FTC.