Um código QR não consegue falhar em uma verificação DMARC, e é exatamente por isso que os fraudadores adoram

A defesa de email não é uma máquina única. São pelo menos duas, e respondendo a perguntas diferentes. A primeira pergunta quem foi autorizado a enviar emails usando este domínio. A segunda pergunta se o que a mensagem contém é perigoso. Um código QR passa pela primeira por design, e se ele passa pela segunda depende de qual produto está lendo seu email.

Comece pela primeira máquina, porque é a que as pessoas nomeiam errado. SPF verifica se o servidor de envio está autorizado a enviar para um domínio. DKIM verifica uma assinatura criptográfica sobre a mensagem. DMARC exige que um dos identificadores autenticados alinhe com o domínio no cabeçalho From: visível, e permite que o proprietário do domínio publique uma preferência sobre o que deve acontecer quando esse alinhamento falha. A especificação atual, RFC 9989, é explícita de que é uma preferência e não um comando: "O tratamento final de qualquer mensagem é sempre uma questão de política local e fica a critério do receptor de email."

Agora a parte que importa para códigos QR. A mesma especificação lista o que está deliberadamente fora de seu escopo, e nessa lista, em duas palavras, está "análise de conteúdo." DMARC nunca foi construído para ler links, e não foi degradado por imagens. Ele não tem opinião sobre o corpo de uma mensagem. Também diz claramente o que um "pass" vale: "um DMARC pass por si só não garante que a entrega à caixa de entrada do destinatário seria segura ou desejável." Portanto, um criminoso que registra um domínio descartável, configura corretamente SPF e DKIM nele e publica um registro DMARC pode enviar uma mensagem que passa em todas as verificações de autenticação perfeitamente. Nada foi contornado. O envelope realmente foi assinado pela parte que o assinou. A questão de se o quadrado anexado leva a algum lugar que rouba sua senha nunca esteve no formulário da camada de autenticação.

Essa pergunta pertence à segunda máquina, e é aqui que os absolutos desaparecem. Um link de texto em um corpo de mensagem é algo que um filtro de conteúdo pode extrair, expandir e comparar com dados de reputação. Uma URL dentro de uma imagem QR tem que ser recuperada de pixels primeiro, e essa capacidade não é universal. O National Cyber Security Centre do Reino Unido, em um post de fevereiro de 2024 de Dave Chismon, estabelece o limite exatamente: "Nem todas as ferramentas de segurança projetadas para detectar emails de phishing vão escanear imagens." Microsoft, em novembro de 2024, documentou o outro lado — Defender for Office 365 "melhorou suas capacidades de extrair URLs de códigos QR," removendo-os com processamento de imagem no início do fluxo de email e agora também extraindo metadados de QR e pontuando o padrão ao redor. Microsoft também publicou o que isso mudou em sua própria telemetria: no pico ela estava "bloqueando 3 milhões de tentativas diariamente," e depois que o trabalho de detecção foi entregue, "vimos este número diminuir para 200.000 tentativas de phishing com código QR por dia." Um fornecedor, um produto, auto-relatado — mas verificável, que é mais do que pode ser dito sobre os percentuais em toda a indústria que circulam com este tópico. Uma versão anterior deste artigo trazia um desses percentuais; ele foi removido porque sua origem não pôde ser estabelecida.

O alerta do consumidor do FTC de 6 de dezembro de 2023, do especialista em educação do consumidor Alvaro Puig, é onde a versão cotidiana do problema é descrita: fraudadores cobrindo um código de parquímetro real com seu próprio adesivo, uma mensagem alegando que um pacote não pôde ser entregue, uma conta que supostamente precisa ser reativada. Seu conselho é uma frase e não requer que você avalie nenhum código em particular: "Não escaneie um código QR em um email ou mensagem de texto que você não estava esperando." O anúncio do IC3 do FBI de janeiro de 2022 adiciona o indicador físico — verificar se há "um adesivo colocado sobre o código original" — e o procedural: para uma mensagem que quer um pagamento, "ligue para a empresa para verificar," usando um número encontrado "através de um site confiável em vez de um número fornecido no email," e "evite fazer pagamentos através de um site acessado a partir de um código QR. Em vez disso, digite manualmente uma URL conhecida e confiável."

E então existe o dispositivo, que é a razão real de isso continuar funcionando. Um código QR não é escaneado no laptop onde o navegador gerenciado, o filtro corporativo e o gerenciador de senha que se recusa a preenchimento automático no domínio errado vivem. Ele é escaneado em um telefone, que o NCSC lista entre as razões pelas quais os criminosos favorecem o método: "Dispositivos pessoais podem não ter as mesmas proteções de segurança que um computador fornecido pelo seu empregador." Em um telefone, a barra de endereço é truncada, a URL completa é desconfortável de inspecionar, e a pessoa fazendo o escaneamento geralmente está em pé em algum lugar, levemente irritada, não lendo com cuidado.

Então o resumo honesto é mais estreito do que "os filtros estão cegos." A autenticação de domínio está funcionando e respondendo sua própria pergunta corretamente. A análise de conteúdo de imagens QR existe, está implantada em alguns produtos e em outros não, e melhorou mensuravelmente em pelo menos um deles em 2024. O ataque sobrevive porque relocat o momento decisivo para um dispositivo que fica fora da maioria dessa maquinaria, e na frente de uma pessoa que foi treinada por anos para tratar um quadradinho como uma conveniência. O quadrado não mente para o filtro. Ele move a conversa para você.

Correção, 20 de outubro de 2026. Uma versão anterior deste artigo dizia que todo filtro de spam e toda verificação de cabeçalho foi construído para ler texto e que um código QR é invisível para todos eles. A autenticação de domínio não examina conteúdo por design — a especificação DMARC lista "análise de conteúdo" como fora de escopo — mas filtragem de conteúdo é uma camada separada, e Microsoft documentou extração de URL de QR em Defender for Office 365 em novembro de 2024, enquanto o texto do NCSC é que nem todas as ferramentas escaneiam imagens. Uma estatística atribuindo 22% do phishing online do final de 2023 a códigos QR foi removida porque nenhuma fonte primária para ela pôde ser identificada; ela não foi substituída por uma figura aproximada. Uma citação a uma página do NCSC que na verdade não discute códigos QR foi substituída pelo post do blog do NCSC que faz, o alerta do FTC agora está datado com precisão, e um domínio de phishing de demonstração foi substituído por um exemplo não-clicável no namespace reservado .example.