QR-код не может не пройти проверку DMARC — и именно поэтому мошенники его обожают

Защита почты — это не одна машина. Это как минимум две, и они отвечают на разные вопросы. Первая спрашивает: кому разрешено отправлять письма, используя этот доменный адрес? Вторая спрашивает: опасно ли то, что содержится в сообщении? QR-код беспрепятственно проходит мимо первой по замыслу, а пройдет ли он мимо второй — зависит от того, какой продукт читает вашу почту.

Начнём с первой машины, потому что люди неправильно её называют. SPF проверяет, разрешено ли отправляющему серверу отправлять письма от имени домена. DKIM проверяет криптографическую подпись на сообщении. DMARC требует, чтобы один из этих аутентифицированных идентификаторов совпадал с доменом в видимом заголовке From:, и позволяет владельцу домена опубликовать предпочтение, что должно происходить при отсутствии такого совпадения. Текущая спецификация RFC 9989 явно указывает, что это предпочтение, а не команда: «Окончательная обработка любого сообщения всегда определяется локальной политикой и остаётся на усмотрение получателя почты».

Теперь то, что имеет значение для QR-кодов. Та же спецификация перечисляет, что намеренно находится вне её области действия, и в этом списке, в двух словах, стоит «анализ содержимого». DMARC никогда не был создан для чтения ссылок и не был деградирован изображениями. У него вообще нет никакого мнения о теле сообщения. Он также ясно говорит, чего стоит положительный результат: «положительный результат DMARC сам по себе не гарантирует, что доставка в папку входящих получателя будет безопасной или желательной». Поэтому преступник, который регистрирует одноразовый домен, правильно настраивает на нём SPF и DKIM и публикует запись DMARC, может отправить вам сообщение, которое чисто проходит все проверки подлинности. Ничего не было обойдено. Конверт действительно был подписан той стороной, которая его подписала. Вопрос о том, ведёт ли прикреплённый квадрат на сайт, который украдёт ваш пароль, никогда не стоял на форме уровня аутентификации.

Этот вопрос принадлежит второй машине, и здесь абсолютные истины рушатся. Текстовую ссылку в теле сообщения фильтр содержимого может извлечь, развернуть и сравнить с данными репутации. URL внутри QR-изображения сначала нужно восстановить из пиксельных данных, и эта возможность распространена не везде. Британский Национальный центр кибербезопасности (NCSC) в посте от февраля 2024 года, написанном Дейвом Чисмоном, формулирует это ограничение точно: «Не все инструменты безопасности, предназначенные для обнаружения фишинговых писем, сканируют изображения». Microsoft в ноябре 2024 года задокументировал другую сторону — Defender for Office 365 «улучшил свои возможности по извлечению URL-адресов из QR-кодов», извлекая их с помощью обработки изображений на ранних этапах потока почты и теперь также извлекая метаданные QR и оценивая окружающую схему. Microsoft также опубликовал, что это изменило в его собственной телеметрии: на пике он «блокировал 3 млн попыток в день», а после развёртывания работы по обнаружению «мы увидели, что это число сократилось до 200 000 попыток фишинга с QR-кодами каждый день». Один поставщик, один продукт, самостоятельно заявленная статистика — но проверяемая, что больше, чем можно сказать об охватывающих всю отрасль процентах, которые циркулируют по этой теме. Более ранняя версия этой статьи содержала один из этих процентов; он был удален, потому что его источник не удалось установить.

Потребительское предупреждение FTC от 6 декабря 2023 года, подготовленное специалистом по просвещению потребителей Альваро Пюигом, — это то место, где изложена повседневная версия проблемы: мошенники закрывают реальный QR-код паркомата своей наклейкой, сообщение о том, что посылка не может быть доставлена, аккаунт, который якобы требует переактивации. Его совет занимает одно предложение и не требует от вас оценки какого-либо конкретного кода: «Не сканируйте QR-код в неожиданном для вас письме или текстовом сообщении». Объявление FBI из января 2022 года добавляет физический признак — проверьте, есть ли «наклейка, наложенная поверх исходного кода» — и процедурный: для сообщения, требующего платежа, «позвоните в компанию для проверки», используя номер, найденный «через надежный сайт, а не номер, указанный в письме», и «избегайте совершения платежей через сайт, на который вы перешли по QR-коду. Вместо этого вручную введите известный и надежный URL».

А затем есть устройство, которое и есть настоящая причина, по которой это продолжает работать. QR-код не сканируется на ноутбуке, где живут управляемый браузер, корпоративный фильтр и менеджер паролей, который отказывается автозаполнять на неправильном домене. Его сканируют на телефоне, который NCSC указывает среди причин, по которым преступники предпочитают этот метод: «Личные устройства могут не иметь таких же средств защиты, как компьютер, предоставленный вашим работодателем». На телефоне адресная строка усечена, полный URL сложно проверить, а человек, выполняющий сканирование, обычно стоит где-то, немного раздражённый, и не читает внимательно.

Итак, честное резюме более узкое, чем «фильтры ничего не видят». Проверка подлинности домена работает и правильно отвечает на собственный вопрос. Анализ содержимого QR-изображений существует, развёрнут в некоторых продуктах и отсутствует в других, и заметно улучшился как минимум в одном из них в 2024 году. Атака выживает, потому что переносит решающий момент на устройство, которое находится вне большей части этого механизма, и перед человеком, которого много лет учили рассматривать маленький квадрат как удобство. Квадрат не лжёт фильтру. Он переводит разговор к вам.

Исправление от 20 октября 2026 года. В более ранней версии этой статьи говорилось, что каждый спам-фильтр и каждая проверка заголовка были построены для чтения текста и что QR-код невидим для всех них. Проверка подлинности домена не изучает содержимое по замыслу — спецификация DMARC указывает «анализ содержимого» как вне области действия — но анализ содержимого — это отдельный уровень, и Microsoft задокументировала извлечение URL-адресов из QR-кодов в Defender for Office 365 в ноябре 2024 года, а формулировка NCSC состоит в том, что не все инструменты сканируют изображения. Статистика, приписывающая 22% фишинга в интернете в конце 2023 года QR-кодам, была удалена, потому что для неё не удалось найти первоисточник; она не была заменена на приблизительное число. Цитирование страницы NCSC, которая на самом деле не обсуждает QR-коды, было заменено постом блога NCSC, который это делает, оповещение FTC теперь датировано точно, и демонстрационный фишинговый домен был заменен примером, на который нельзя щёлкнуть, из зарезервированного пространства имён .example.