Почему мошенники начали отправлять вам фотографии ссылок

Сканер ссылок — простой и неутомимый инструмент. Он читает текстовые адреса в письме, проверяет их против списков известных опасных доменов, следит за редиректами и помечает те, которые ведут на опасные сайты. Он хорошо справляется со своей задачей. Поэтому мошенники сделали очевидное: они перестали отправлять ссылки.

Они начали отправлять фотографии ссылок.

В этом суть «quishing» — фишинга с использованием QR-кодов. QR-код — это адрес, закодированный в виде чёрно-белого изображения, поэтому адрес вроде login-verify.example перестаёт быть текстом в теле письма и становится пиксельной картинкой. Смысл не в том, что адрес зашифрован; камера любого телефона декодирует его мгновенно. Смысл в том, что его больше нельзя прочитать текстом вам или текстовому парсеру, прежде чем вы перейдёте по нему.

Может ли фильтр всё ещё его прочитать, зависит исключительно от продукта. Национальный центр кибербезопасности Великобритании (UK's National Cyber Security Centre) осторожно формулирует это в своём документе от февраля 2024 года о QR-кодах: «Не все инструменты безопасности, предназначенные для обнаружения фишинг-писем, сканируют изображения». Обратите внимание, что в этом утверждении не сказано. В нём не говорится, что ни один из них это не делает. Microsoft опубликовала другую сторону вопроса в ноябре 2024: Defender for Office 365, писала она, «улучшила свои возможности по извлечению адресов из QR-кодов», используя обработку изображений на ранней стадии потока почты для «извлечения и логирования адресов, скрытых в QR-кодах», а теперь также извлекает метаданные QR и ищет окружающий паттерн — минимальный текст в теле, приманка под брендом, цепочка редиректов. Так что утверждение «фильтр не может это прочитать» было верно для многих продуктов некоторое время, остаётся верным для некоторых и не является законом природы. Если вы хотите узнать, верно ли это для вашей почты, это вопрос о продукте и конфигурации вашего провайдера, а не о самих QR-кодах.

Проверяемые цифры поступают от одного поставщика, и их стоит читать с указанием масштаба. Пост Microsoft от ноября 2024 описывает всплеск с «некоторыми атаками, растущими со скоростью 270% в месяц», говорит, что «на пике Defender for Office 365 блокировал 3 миллиона попыток в день» и что после развёртывания обнаружения «мы видим, что это число сократилось до 200 000 фишинг-атак с QR-кодами в день». Доклад Microsoft Digital Defense Report 2026 приводит общее количество в текущем масштабе: более 145 миллионов атак фишинга с QR-кодами, обнаруженных между июлем 2025 и июнем 2026 году Defender for Office 365. Все эти цифры — телеметрия одного поставщика по своему продукту, самостоятельно опубликованная. Это не доля всего фишинга и не отраслевой итог — более ранняя версия этой статьи ссылалась на долю в 25%, которую, похоже, не поддерживает ни одна публикация Microsoft, и эта цифра была удалена, а не заменена.

Долговечность этого метода основана на передаче, а не на кодировании. Письмо приходит на ноутбук, где находятся корпоративный фильтр, управляемый браузер и менеджер паролей. Код сканируют на телефоне, который обычно является личным устройством. NCSC указывает на это среди причин, по которым преступники отдают предпочтение этому методу: «Личные устройства могут не иметь таких же защит, как компьютер, предоставленный вашим работодателем». На телефоне адресная строка сокращена, полный адрес трудно проверить, и менеджер паролей, который отказал бы в автозаполнении на неправильном домене, вообще не участвует.

Тематика скучно предсказуема, что само по себе является признаком, и она появляется в потребительских предупреждениях почти слово в слово. Предупреждение FTC от декабря 2023 описывает мошенников, закрывающих настоящий QR-код на паркомате своей собственной наклейкой, и ясно предупреждает: «Не сканируйте QR-код в письме или текстовом сообщении, которое вы не ожидали», особенно если он подталкивает вас к немедленным действиям. Объявление общественной службы FBI IC3 от января 2022 говорит то же самое о подделке — «Киберпреступники подделывают как цифровые, так и физические QR-коды, заменяя законные коды вредоносными» — и советует людям проверять физические коды на предмет «наклейки, размещённой поверх оригинального кода». Код для повторного включения истекающей двухфакторной аутентификации, неожиданный запрос подписи, уведомление о доставке, просящее подтвердить получение: цель проекта всегда одна — найти небольшую правдоподобную причину поднять телефон, прежде чем что-либо проверяется.

Защитные меры — скучные, и это те, которые агентства действительно публикуют. Совет IC3 для сообщения, которое требует платёж или вход после сканирования: «позвоните в компанию для проверки», используя «номер телефона компании через доверенный сайт, а не номер, указанный в письме», и «избегайте платежей через сайт, на который вы перешли по QR-коду. Вместо этого вручную введите известный и доверенный адрес». Ничего из этого не требует от вас суждения о том, является ли конкретный квадрат вредоносным — а в этом человек не силён.

Одно, что QR-код в письме никогда вам не скажет, — был ли это поддельное сообщение. Аутентификация домена отвечает на совсем другой вопрос, и текущая спецификация DMARC явно исключает «анализ содержимого» из своей области — поэтому полностью аутентифицированное письмо может содержать вредоносное изображение. Этот механизм заслуживает отдельного изучения, и это тема сопутствующей статьи в этой серии.

Исправление, 20 октября 2026. Более ранняя версия этой статьи говорила, что спам-фильтр не может прочитать QR-код и что сканеры слепы к закодированному адресу. Это верно для некоторых продуктов безопасности электронной почты и неверно для других: Microsoft задокументировала извлечение адресов из QR-кодов в Defender for Office 365 в ноябре 2024, а формулировка NCSC заключается в том, что не все инструменты сканируют изображения. Статья также ссылалась на цифру примерно 25% фишинга в электронной почте с использованием QR-кодов, приписываемую Microsoft; ни одна публикация Microsoft, поддерживающая эту долю, не могла быть найдена, поэтому цифра была удалена и заменена цифрами, которые Microsoft публикует непосредственно, с указанием своего продукта и периода. Демонстрационный фишинг-домен, который был представлен как активная ссылка, был заменён на неактивный пример в зарезервированном пространстве имён .example, а ссылка на домашнюю страницу CISA была заменена конкретными рекомендациями FBI IC3 и FTC.