De ce escrocii au început să vă trimit imagini cu linkuri

Un scaner de linkuri e un lucru simplu și neobosit. Citește URL-urile text dintr-un email, le verifică cu liste de domenii cunoscute ca periculoase, urmărește redirecționările și le marchează pe cele care duc la ceva rău. E bun la treaba lui. Deci escrocii au făcut lucrul evident: au încetinit să trimită linkuri.

Au început să trimită imagini cu linkuri.

Asta-i trucul din spatele "quishing"-ului — phishing cu cod QR. Un cod QR e o adresă URL codată ca o imagine alb-negru, deci o destinație precum login-verify.example nu mai e text în corpul mesajului și devine pixeli. Ideea nu-i că adresa e criptată; aparatul foto de oricine o decodează instant. Ideea-i că nu mai e scrisă nicăieri ca să o citești tu, sau un parser text, înainte să te angajezi.

Dacă un filtru o poate citi în continuare depinde exclusiv de produs. Centrul Național de Securitate Cibernetică al Regatului Unit exprimă limita cu cuvinte atente în nota din februarie 2024 despre coduri QR: "Nu toate instrumentele de securitate proiectate pentru a detecta emailuri de phishing vor scana imagini." Observă ce nu spune asta. Nu spune că niciuna nu o face. Microsoft a publicat cealaltă parte în noiembrie 2024: Defender for Office 365, a scris, "și-a îmbunătățit capacitățile de extragere a URL-urilor din coduri QR", folosind procesare de imagine devreme în fluxul de mail pentru a "extrage și înregistra URL-uri ascunse în coduri QR", și extrage acum și metadate QR și caută modelul din jur — text minim în corp, o capcană de brand, un lanț de redirecționare. Deci "filtrul nu poate să-l citească" a fost adevărat pentru multe produse o vreme, e încă adevărat pentru unele, și nu-i o lege a naturii. Dacă vrei să știi dacă-i adevărat pentru mail-ul tău, asta-i o întrebare despre produsul furnizorului tău și configurația lui, nu despre codurile QR.

Numerele care sunt verificabile vin de la același vânzător, și merita citite cu contextul atașat. Postarea din noiembrie 2024 a Microsoft descrie o creștere cu "unele atacuri crescând cu o rată de 270% pe lună", spune că "la vârf, Defender for Office 365 blocase 3 milioane încercări zilnic", și că după ce munca de detectare a fost implementată "am văzut că acest număr s-a micșorat la 200.000 încercări de phishing cu cod QR zilnic." Microsoft Digital Defense Report 2026 pune un total pe scara actuală: 145+ milioane atacuri de phishing cu cod QR detectate între iulie 2025 și iunie 2026 de Defender for Office 365. Toate acele cifre sunt telemetrie unui vânzător pentru propriul lui produs, raportate de sine. Nu sunt o cotă din tot phishing-ul, și nu sunt un total din industrie — o versiune anterioară a acestui articol cita o cotă de 25% atribuită Microsoft; nicio publicație Microsoft nu pare să sprijine această cotă, și cifra a fost eliminată mai degrabă decât înlocuită.

Ceea ce face tehnica durabilă-i procesul de transfer, nu codificarea. Emailul ajunge pe laptop, unde se află filtrul corporativ, browserul gestionat și managerul de parole. Codul se scaneaza pe telefon, care e de obicei un dispozitiv personal. NCSC o listează printre motivele pentru care criminalii favorizează metoda: "Dispozitivele personale s-ar putea să nu aibă aceleași protecții de securitate ca și un computer furnizat de angajatorul tău." Pe un telefon bara de adresă se trunchiază, URL-ul complet e greu de inspectat, și un manager de parole care ar fi refuzat să completeze automat pe domeniu greșit nu-i implicat de loc.

Temele sunt plictisitor de previzibile, ceea ce-i sugestiv în sine, și apar în avertismentele pentru consumatori aproape cuvânt cu cuvânt. Alertarea din decembrie 2023 a FTC descrie escrocii care acoperă codul QR real pe o parcare cu propria lor etichetă, și avertizează clar: "Nu scana un cod QR într-un email sau mesaj text pe care nu l-ai așteptat", mai ales unu care te împinge să acționezi imediat. Anunțul de serviciu public IC3 al FBI din ianuarie 2022 spune același lucru despre tamponare — "Infractorii cibernetici tamponează atât coduri QR digitale cât și fizice ca să înlocuiască coduri legitime cu coduri rău intenționate" — și spune oamenilor să verifice codurile fizice pentru "o etichetă pusă deasupra codului original." Un cod ca să reactivezi autentificarea multi-factor expirând, o cerere de semnătură pe care nu o așteptai, o notificare de transport care te cere să confirmi livrarea: scopul designului e mereu o mică, plauzibilă temă ca să ridici telefonul înainte ca orice să fie verificat.

Deci mișcările defensive-s pe cele plictisitoare, și-s pe acelea pe care agențiile chiar le publică. Sfatul IC3, pentru un mesaj care vrea o plată sau o autentificare după o scanare: "sună compania ca să verifici", folosind "numărul de telefon al companiei printr-un site de încredere mai degrabă decât un număr furnizat în email", și "evită plăți printr-un site la care ai navigat de la un cod QR. În schimb, introdu manual o adresă URL cunoscută și de încredere." Nimic din asta nu te cere să judeci dacă un pătrat particular e rău intenționat — ce nu-i bun la asta nici un om.

Un lucru pe care un cod QR în email nu-ți spune niciodată e dacă mesajul a fost falsificat. Autentificarea domeniu răspunde la o întrebare cu totul diferită, și specificația actuală DMARC plasează în mod explicit "analiza conținutului" în afara domeniului ei — de aia un mesaj pe deplin autentificat poate purta o imagine rău intenționată. Acel mecanism merită lectura lui proprie, și-i subiectul unui articol însoțitor din seria aceasta.

Corectare, 20 octombrie 2026. O versiune anterioară a acestui articol spunea că un filtru de spam nu poate citi un cod QR și că scanerul-e orb la adresa codată. Asta-i adevărat pentru unele produse de securitate de email și nu pentru altele: Microsoft a documentat extragerea de URL din coduri QR în Defender for Office 365 în noiembrie 2024, și cuvintele NCSC-ului-s că nu toate instrumentele scaneaza imagini. Articolul a citat și o cifră de aproximativ 25% din phishing-ul prin email folosind coduri QR, atribuită Microsoft; nicio publicație Microsoft care să susțină acea cotă nu a putut fi găsită, deci cifra a fost eliminată și înlocuită cu cifre pe care Microsoft le publică direct, cu produsul lor și perioada menționate. Un domeniu de phishing demonstrativ care fusese prezentat ca un link activ a fost înlocuit cu un exemplu care nu-i clickabil pe spațiul rezervat .example, și o citație la pagina de start CISA a fost înlocuită cu avertismentele specifice FBI IC3 și FTC.