En QR-kod kan inte misslyckas ett DMARC-check — och det är exakt varför bedragare älskar den

E-postförsvar är inte en maskin. Det är minst två, och de svarar på olika frågor. Den första frågar vem som är auktoriserad att skicka post med det här domännamnet. Den andra frågar om vad meddelandet innehåller är farligt. En QR-kod kommer förbi den första med design, och om den kommer förbi den andra beror på vilken produkt som läser din post.

Börja med den första maskinen, för det är den som människor namnger fel. SPF kontrollerar om servern som skickar är tillåten att skicka för en domän. DKIM kontrollerar en kryptografisk signatur över meddelandet. DMARC kräver att en av dessa autentiserade identifierare passar upp med domänen i den synliga From:-rubriken, och låter domänägaren publicera en preferens för vad som ska hända när den justeringen misslyckas. Den aktuella specifikationen, RFC 9989, är tydlig om att det är en preferens och inte ett kommando: "The final handling of any message is always a matter of local policy and is left to the discretion of the Mail Receiver."

Nu delen som spelar roll för QR-koder. Samma specifikation listar vad som medvetet ligger utanför dess omfattning, och på den listan, i dessa två ord, står "content analysis." DMARC byggdes aldrig för att läsa länkar, och det har inte försämrats av bilder. Det har ingen åsikt om brödtexten i ett meddelande alls. Det säger också tydligt vad en godkänd check är värd: "a DMARC pass by itself does not guarantee that delivery to the recipient's inbox would be safe or desirable." Så en kriminell som registrerar en engångdomän, konfigurerar SPF och DKIM på den ordentligt och publicerar en DMARC-post kan skicka dig ett meddelande som klarar varje autentiseringskontroll rent. Inget kringgicks. Kuvertet var verkligen signerat av den part som signerade det. Frågan om huruvida den bifogade kvadraten leder någonstans som stjäler ditt lösenord var aldrig på autentiseringslagerets blankett.

Den frågan tillhör den andra maskinen, och det är här absolutheterna faller isär. En textlänk i en meddelandetext är något som ett innehållsfilter kan extrahera, expandera och jämföra mot ryktesdata. En URL inne i en QR-bild måste återhämtas från pixlar först, och denna möjlighet är inte universell. Storbritanniens National Cyber Security Centre skrev i ett februari 2024-inlägg av Dave Chismon gränsen exakt: "Not all security tools designed to detect phishing emails will scan images." Microsoft dokumenterade den andra sidan i november 2024 — Defender for Office 365 "has improved its capabilities to extract URLs from QR codes," drar ut dem med bildbehandling tidigt i e-postflödet och extraherar nu också QR-metadata och poängsätter det omgivande mönstret. Microsoft publicerade också vad det förändrade i sin egen telemetri: på toppen var det "blocking 3 million attempts daily," och efter detekteringsarbetet levererades, "we have seen this number shrink to 200,000 QR code phishing attempts every day." En leverantör, en produkt, självrapporterad — men verifierbar, vilket är mer än vad som kan sägas för de branschomfattande percentagen som cirkulerar med detta ämne. En tidigare version av denna artikel innehöll ett av dessa percentagen; det har tagits bort eftersom dess ursprung inte kunde fastställas.

FTC:s konsumentvarning från 6 december 2023, av konsumentkonsulent Alvaro Puig, är där den vardagliga versionen av problemet presenteras: bedragare som täcker en verklig parkeringsmätarkod med sitt eget klistermärke, ett meddelande som hävdar att ett paket inte kunde levereras, ett konto som förmodligen behöver återaktiveras. Dess råd är en mening lång och kräver inte att du bedömer någon särskild kod: "Don't scan a QR code in an email or text message you weren't expecting." FBI:s IC3-meddelande från januari 2022 lägger till det fysiska tecknet — kontrollera om det finns "a sticker placed on top of the original code" — och det procedurella: för ett meddelande som vill ha en betalning, "call the company to verify," med ett nummer som hittats "through a trusted site rather than a number provided in the email," och "avoid making payments through a site navigated to from a QR code. Instead, manually enter a known and trusted URL."

Och sedan finns det enheten, som är den verkliga anledningen till att det här fortsätter att fungera. En QR-kod skannas inte på den bärbara datorn där den hanterade webbläsaren, det företagsfilter och lösenordshanteraren som vägrar att autofylla på fel domän alla finns. Den skannas på en telefon, som NCSC listar bland anledningarna till att kriminella föredrar metoden: "Personal devices may not have the same security protections as a computer that's provided by your employer." På en telefon trunkeras adressfältet, den fullständiga URL:en är obekväm att inspektera, och personen som gör skanning står vanligtvis någonstans, något irriterad, utan att läsa noggrant.

Så den ärliga sammanfattningen är smalare än "filtren är blinda." Domänautentisering fungerar och svarar på sin egen fråga korrekt. Innehållsanalys av QR-bilder finns, distribueras i vissa produkter och inte i andra, och förbättrades mätbart i minst en av dem 2024. Attacken överlever för att den förflyttar det avgörande ögonblicket till en enhet som ligger utanför det mesta av denna maskineri, och framför en person som har tränats i flera år att behandla en liten kvadrat som en bekvämlighet. Kvadraten ljuger inte till filtret. Det flyttar konversationen till dig.

Rättelse, 20 oktober 2026. En tidigare version av denna artikel sa att varje skräppostfilter och varje rubrikskontroll var byggt för att läsa text och att en QR-kod är osynlig för alla dem. Domänautentisering granskar inte innehåll enligt design — DMARC-specifikationen listar "content analysis" som utanför räckvidd — men innehållsfiltrering är ett separat lager, och Microsoft dokumenterade QR URL-extraktion i Defender for Office 365 i november 2024, medan NCSC:s formulering är att inte alla verktyg skannar bilder. En statistik som tillskrev 22% av sent-2023 online-nätfiske till QR-koder har tagits bort eftersom ingen primär källa för det kunde identifieras; den har inte ersatts med en ungefärlig siffra. En hänvisning till en NCSC-sida som faktiskt inte diskuterar QR-koder har ersatts med NCSC-blogginlägget som gör det, FTC-varningen är nu daterad exakt, och en demonstrationsnätfiskedomän har ersatts med ett icke-klickbart exempel på det reserverade .example-namnrummet.