Un cod QR nu poate eșua o verificare DMARC, și tocmai de asta îi plac infractorilor

Apărarea email nu este o singură mașinărie. Sunt cel puțin două, și răspund la întrebări diferite. Prima întreabă cine a fost autorizat să trimită mail folosind acest domeniu. A doua întreabă dacă ceea ce conține mesajul este periculos. Un cod QR trece pe lângă prima prin design, și dacă trece pe lângă a doua depinde de care produs citește poșta ta.

Începe cu prima mașinărie, pentru că aceasta este cea pe care oamenii o denumesc greșit. SPF verifică dacă serverul de trimitere este autorizat să trimită pentru un domeniu. DKIM verifică o semnătură criptografică peste mesaj. DMARC cere ca una dintre acele identificatori autentificați să se alinieze cu domeniul din antetul From: vizibil, și permite proprietarului domeniului să publice o preferință pentru ce ar trebui să se întâmple atunci când acea aliniere eșuează. Specificația curentă, RFC 9989, este explicită că aceasta este o preferință și nu o comandă: "The final handling of any message is always a matter of local policy and is left to the discretion of the Mail Receiver."

Acum partea care contează pentru codurile QR. Aceeași specificație listează ce se află deliberat în afara domeniului ei, și pe acea listă, în acele două cuvinte, se află "content analysis." DMARC nu a fost niciodată construit pentru a citi linkuri, și nu a fost degradat de imagini. Nu are nicio părere despre corpul unui mesaj deloc. De asemenea, spune clar ce valorează o trecere: "a DMARC pass by itself does not guarantee that delivery to the recipient's inbox would be safe or desirable." Deci un infractor care înregistrează un domeniu de unică folosință, configurează SPF și DKIM pe el în mod corect și publică o înregistrare DMARC poate să-ți trimită un mesaj care trece de fiecare verificare de autentificare perfect curat. Nimic nu a fost ocolit. Plicul cu adevărat a fost semnat de partea care l-a semnat. Întrebarea dacă pătratul atașat duce undeva care-ți fură parola nu a fost niciodată pe formularul stratului de autentificare.

Acea întrebare aparține mașinăriei a doua, și aceasta este unde absolurile se destramă. Un link de text într-un corp de mesaj este ceva pe care un filtru de conținut poate să-l extragă, să-l dezvolte și să-l compare cu date de reputație. Un URL într-o imagine QR trebuie mai întâi recuperat din pixeli, și acea capacitate nu este universală. National Cyber Security Centre din Marea Britanie, într-o postare din februarie 2024 de Dave Chismon, dă limita exact: "Not all security tools designed to detect phishing emails will scan images." Microsoft, în noiembrie 2024, a documentat cealaltă parte — Defender for Office 365 "has improved its capabilities to extract URLs from QR codes," extragând-le prin procesare de imagini devreme în fluxul de mail și extragând acum și metadate QR și punctuând modelul înconjurător. Microsoft a publicat de asemenea ce s-a schimbat în telemetria proprie: în vârf era "blocking 3 million attempts daily," și după ce detectarea a fost lansată, "we have seen this number shrink to 200,000 QR code phishing attempts every day." Un furnizor, un produs, auto-raportate — dar verificabile, ceea ce e mai mult decât se poate spune pentru procentajele industriei care circulă pe această temă. O versiune anterioară a acestui articol avea unul din acele procentaje; a fost eliminat pentru că originea lui nu a putut fi stabilită.

Alerta pentru consumatori a FTC din 6 decembrie 2023, de către specialistul educației pentru consumatori Alvaro Puig, este locul unde versiunea zilnică a problemei este explicată: infractori care acoperă un cod de parcare real cu propria etichetă, un mesaj pretinzând că un pachet nu a putut fi livrat, un cont care nu ar trebui să fie reactivat. Sfatul ei este o singură propoziție și nu necesită să evaluezi niciun cod particular: "Don't scan a QR code in an email or text message you weren't expecting." Anunțul IC3 al FBI din ianuarie 2022 adaugă indiciul fizic — verifică dacă există "a sticker placed on top of the original code" — și cel procedural: pentru un mesaj care cere o plată, "call the company to verify," folosind un număr găsit "through a trusted site rather than a number provided in the email," și "avoid making payments through a site navigated to from a QR code. Instead, manually enter a known and trusted URL."

Și apoi este dispozitivul, care este adevăratul motiv pentru care asta continuă să funcționeze. Un cod QR nu se scanează pe laptopul în care browserul gestionat, filtrul corporativ și managerul de parole care refuză să umple automat pe domenii greșite trăiesc toți. Se scanează pe un telefon, pe care NCSC o listează printre motivele pentru care infractorii favorizează metoda: "Personal devices may not have the same security protections as a computer that's provided by your employer." Pe un telefon bara de adrese se trunchiază, URL-ul complet este stângaci de inspectat, și persoana care face scanarea de obicei stă undeva, ușor enervată, nu citind atent.

Deci rezumatul cinstit este mai îngust decât "filtrele sunt oarbe." Autentificarea domeniului funcționează și răspunde la propria ei întrebare corect. Analiza conținutului imaginilor QR există, este implementată în unele produse și nu în altele, și s-a îmbunătățit măsurabil în cel puțin unul dintre ele în 2024. Atacul supraviețuiește pentru că mută momentul decisiv pe un dispozitiv care stă în afara majorității acelei mașinării, și în fața unei persoane care a fost instruită ani de zile să trateze un pătrat mic ca pe o comoditate. Pătratul nu minte filtrului. Mută conversația la tine.

Corectură, 20 octombrie 2026. O versiune anterioară a acestui articol spunea că orice filtru de spam și orice verificare de antet a fost construit pentru a citi text și că un cod QR este invizibil pentru toți. Autentificarea domeniului nu examinează conținut prin design — specificația DMARC listează "content analysis" ca fiind în afara domeniului — dar filtrarea conținutului este un strat separat, și Microsoft a documentat extragerea URL-ului QR în Defender for Office 365 în noiembrie 2024, în timp ce formularea NCSC este că nu toate instrumentele scanează imagini. O statistică atribuind 22% din phishing-ul online din sfârșitul 2023 codurilor QR a fost eliminată pentru că nicio sursă primară pentru ea nu a putut fi identificată; nu a fost înlocuită cu o cifră aproximativă. O citare la o pagină NCSC care de fapt nu discută coduri QR a fost înlocuită cu postarea blog NCSC care o face, alerta FTC este acum datată precis, și un domeniu de phishing demonstrativ a fost înlocuit cu un exemplu ne-clickabil pe spațiul rezervat .example.