Varför bedragare började skicka dig bilder på länkar

En länkskanner är en enkel, obarmhärtig sak. Den läser e-postens text-URL:er, kontrollerar dem mot listor över kända dåliga domäner, följer omdirigeringar och flaggar de som leder någonstans farligt. Den är bra på sitt jobb. Så bedragare gjorde det självklara: de slutade skicka länkar.

De började skicka bilder på länkar.

Det är tricket bakom "quishing" — QR-kodsphishing. En QR-kod är en URL kodad som en svart-vit bild, så en destinationsom login-verify.example slutar vara text i meddelandetexten och blir pixlar. Poängen är inte att adressen är krypterad; vem som helst kamera avkodar den omedelbar. Poängen är att den inte längre är skriven någonstans du, eller en textparser, kan läsa innan du förbinder dig.

Huruvida ett filter fortfarande kan läsa det beror helt på produkten. Storbritanniens National Cyber Security Centre uttrycker gränsen med försiktiga ord i sin februariuppdatering 2024 om QR-koder: "Inte alla säkerhetverktyg utformade för att detektera phishing-e-post kommer att skanna bilder." Lägg märke till vad det inte säger. Det säger inte att ingen av dem gör det. Microsoft publicerade den andra sidan av det i november 2024: Defender for Office 365, skrev det, "har förbättrat sin förmåga att extrahera URL:er från QR-koder," med bildbehandling tidigt i e-postflödet för att "extrahera och logga URL:er dolda inom QR-koder," och det extraherar nu också QR-metadata och letar efter mönstret omkring — minimal brödtext, ett varumärkesbete, en omdirigeringskedja. Så "filtret kan inte läsa det" var sant för många produkter en tid, är fortfarande sant för några, och är inte en naturlag. Om du vill veta om det är sant för ditt eget e-postprogram är det en fråga om din leverantörs produkt och konfiguration, inte om QR-koder.

De siffror som går att kontrollera kommer från samma leverantör, och de är värda att läsa med omfattningen bifogad. Microsofts inlägg i november 2024 beskriver en ökning med "vissa attacker som ökar i en tillväxttakt på 270 % per månad," säger att "på sin höjdpunkt blockerade Defender for Office 365 3 miljoner försök dagligen," och att efter detektionsarbetet skickades "har vi sett det här antalet krympa till 200 000 QR-kodsphishing-försök varje dag." Microsofts Digital Defense Report 2026 sätter ett totalt på den nuvarande skalan: 145+ miljoner QR-kodsphishing-attacker detekterade mellan juli 2025 och juni 2026 av Defender for Office 365. Alla dessa siffror är en leverantörs telemetri för sin egen produkt, självrapporterad. De är inte en andel av all phishing, och de är inte en branschsumma — en tidigare version av den här artikeln citerade en 25%-andel som ingen Microsoft-publikation verkar stödja, och den siffran har tagits bort snarare än ersatts.

Det som gör tekniken hållbar är övergången, inte kodningen. E-postmeddelandet landar på en bärbar dator, där företagsfiltret, den hanterade webbläsaren och lösenordshanteraren lever. Koden skannas på en telefon, vilket vanligtvis är en personlig enhet. NCSC listar detta bland orsakerna till varför kriminella gynnar metoden: "Personliga enheter kanske inte har samma säkerhetsskydd som en dator tillhandahållen av din arbetsgivare." På en telefon förkortas adressfältet, den fullständiga URL:en är svår att inspektera, och en lösenordshanterare som skulle ha väigrat att autofyll på fel domän är inte inblandad alls.

Teman är trist förutsägbara, vilket är en indikator i sig, och de dyker upp i konsumentvarnignarna nästan ord för ord. FTC:s varning i december 2023 beskriver bedragare som täcker den riktiga QR-koden på en parkeringsmätare med sitt eget klistermärke, och varnar tydligt: "Scanna inte en QR-kod i ett e-postmeddelande eller textmeddelande som du inte förväntade dig," särskilt ett som pressar dig att agera omedelbar. FBI:s IC3 offentliga tjänstemeddelande från januari 2022 säger samma sak om manipulering — "Cyberbrottslingar manipulerar både digitala och fysiska QR-koder för att ersätta legitima koder med skadliga koder" — och säger till människor att kontrollera fysiska koder för "ett klistermärke placerat ovanpå originalkoden." En kod för att återaktivera utgångande multifaktorautentisering, en signeringsbegäran som du inte förväntade dig, ett leveransmeddelande som ber dig bekräfta leverans: designmålet är alltid en liten, trovärdig anledning att lyfta telefonen innan något kontrolleras.

Så de defensiva dragen är de tråkiga, och de är de som myndigheterna faktiskt publicerar. IC3:s råd, för ett meddelande som vill ha en betalning eller en inloggning efter en skanning: "ring företaget för att verifiera," med "företagets telefonnummer genom en betrodd webbplats snarare än ett nummer som tillhandahålls i e-postmeddelandet," och "undvik att göra betalningar genom en webbplats som navigeras från en QR-kod. Ange i stället manuellt en känd och betrodd URL." Inget av det kräver att du bedömer huruvida en viss kvadrat är skadlig — vilket är den delen ingen människa är bra på.

En sak som en QR-kod i ett e-postmeddelande aldrig säger dig är om meddelandet förfalskades. Domänautentisering besvarar en helt annan fråga, och den nuvarande DMARC-specifikationen placerar uttryckligen "innehållsanalys" utanför sitt omfång — vilket är varför ett fullständigt autentiserat meddelande kan bära en skadlig bild. Den mekanismen är värd sitt eget läsande, och det är ämnet för en följeartikel i denna serie.

Rättelse, 20 oktober 2026. En tidigare version av den här artikeln sa att ett skräppostfilter inte kan läsa en QR-kod och att skannrar är blinda för den kodade adressen. Det är sant för vissa e-postsäkerhetsprodukter och inte för andra: Microsoft dokumenterade URL-extrahering från QR-koder i Defender for Office 365 i november 2024, och NCSC:s formulering är att inte alla verktyg skannar bilder. Artikeln citerade också en siffra på ungefär 25 % av e-postphishing med QR-koder, tillskriven Microsoft; ingen Microsoft-publikation som stödjer den andelen kunde hittas, så siffran har tagits bort och ersatts med siffror som Microsoft publicerar direkt, med deras produkt och period angiven. En demonstrationsphishing-domän som hade renderats som en aktiv länk har ersatts med ett exempel som inte kan klickas på i det reserverade .example-namnrymden, och en citation till CISA-hemsidan har ersatts med de specifika FBI IC3- och FTC-rådgivningarna.