QR Code ไม่สามารถล้มเหลวในการตรวจสอบ DMARC และนั่นคือเหตุผลที่แฮกเกอร์ชอบใช้มัน

การป้องกันอีเมลไม่ใช่เครื่องจักรเดียว มันคือเครื่องจักรอย่างน้อยสองเครื่อง และทั้งสองตอบคำถามต่างกัน คำถามแรกคือใครได้รับอนุญาตให้ส่งจดหมายโดยใช้ชื่อโดเมนนี้ คำถามที่สองคือสิ่งที่ข้อความนั้นมีอยู่ในตัวนั้นอันตรายหรือไม่ QR code ผ่านเครื่องจักรแรกไปได้ด้วยการออกแบบ และว่าจะผ่านเครื่องจักรที่สองได้หรือไม่นั้นขึ้นอยู่กับว่าผลิตภัณฑ์ใดกำลังอ่านอีเมลของคุณ

เริ่มต้นจากเครื่องจักรแรก เพราะมันคือเครื่องที่คนเรียกชื่อผิดกัน SPF ตรวจสอบว่าเซิร์ฟเวอร์ส่งได้รับอนุญาตให้ส่งสำหรับโดเมนหรือไม่ DKIM ตรวจสอบลายเซ็นเข้ารหัสลับในข้อความ DMARC ต้องการให้ตัวระบุที่ตรวจสอบแล้วตัวใดตัวหนึ่งตรงกับโดเมนในส่วนหัว From: ที่มองเห็นได้ และให้เจ้าของโดเมนสามารถเผยแพร่ความเห็นชอบว่าควรเกิดอะไรขึ้นเมื่อการจัดตำแหน่งนั้นล้มเหลว ข้อกำหนดปัจจุบัน RFC 9989 ชัดเจนว่ามันคือความเห็นชอบ ไม่ใช่คำสั่ง: "การจัดการข้อความใดๆ ขั้นสุดท้ายนั้นเป็นเรื่องของนโยบายในท้องถิ่นเสมอ และปล่อยให้อยู่ในดุลยพินิจของผู้รับจดหมาย"

ตอนนี้เป็นส่วนที่สำคัญสำหรับ QR code นั้น ข้อกำหนดเดียวกันนั้นแสดงรายการสิ่งที่อยู่นอกขอบเขตของมันอย่างมีจำนัดสั้นลง และในรายการนั้น ในสองคำนั้น คือ "content analysis" DMARC ไม่เคยถูกสร้างขึ้นเพื่ออ่านลิงก์ และมันไม่ได้ถูกทำให้แย่ลงด้วยภาพ มันไม่มีความเห็นเกี่ยวกับเนื้อหาของข้อความเลย นอกจากนี้มันยังบอกอย่างชัดเจนว่า DMARC pass มีค่าเท่าไหร่: "DMARC pass ในตัวของมันเองไม่รับประกันว่าการส่งไปยังกล่องจดหมายขาเข้าของผู้รับจะปลอดภัยหรือสมควรแก่ความพยายาม" ดังนั้นอาชญากรที่ลงทะเบียนโดเมนทั้งทิ้ง กำหนดค่า SPF และ DKIM อย่างถูกต้อง และเผยแพร่ระเบียน DMARC ได้สามารถส่งข้อความให้คุณที่ผ่านการตรวจสอบแต่ละครั้งอย่างสะอาด ไม่มีอะไรถูกเอาชนะ ซองจดหมายถูกลงนามจริง ๆ โดยฝ่ายที่ลงนามมันลงไป คำถามว่าสี่เหลี่ยมที่แนบมาส่งไปยังที่ที่ขโมยรหัสผ่านของคุณหรือไม่นั้นไม่เคยอยู่ในแบบฟอร์มของชั้นการตรวจสอบสิทธิ์เลย

คำถามนั้นอยู่ที่เครื่องจักรที่สอง และนี่คือที่ที่การวัดสิ่งที่แน่นอนพังลง ลิงก์ข้อความในเนื้อหาข้อความคือสิ่งที่ตัวกรองเนื้อหาสามารถแยกออก ขยาย และเปรียบเทียบกับข้อมูลชื่อเสียง URL ภายใน QR code ภาพต้องกู้คืนจากพิกเซลก่อน และความสามารถนั้นไม่มีให้ทั่วไป National Cyber Security Centre ของสหราชอาณาจักร ในโพสต์เดือนกุมภาพันธ์ 2024 โดย Dave Chismon ให้ขีดจำกัดอย่างแม่นยำ: "ไม่ใช่เครื่องมือรักษาความปลอดภัยทั้งหมดที่ออกแบบมาเพื่อตรวจจับอีเมลฟิชชิงจะสแกนภาพ" Microsoft ในเดือนพฤศจิกายน 2024 ได้ลงทะเบียนด้านอื่น — Defender for Office 365 "ได้ปรับปรุงความสามารถในการแยก URL จาก QR code" โดยดึงพวกมันออกด้วยการประมวลผลภาพระหว่างต้นน้ำการไหลของจดหมายและตอนนี้ยังแยก QR metadata และให้คะแนนรูปแบบรอบตัว Microsoft ยังเผยแพร่ว่าสิ่งนั้นเปลี่ยนแปลงในโทรมิเตอร์ของตัวเอง: ที่จุดสูงสุดมันกำลัง "ปิดกั้นความพยายาม 3 ล้านครั้งต่อวัน" และหลังจากการทำงานตรวจจับส่วนนั้นถูกส่งออกไป "เราได้เห็นตัวเลขนี้หดตัวเป็น 200,000 ความพยายาม QR code phishing ต่อวัน" หนึ่งผู้ขาย ผลิตภัณฑ์หนึ่ง รายงานตนเอง — แต่ตรวจสอบได้ ซึ่งมากกว่าสิ่งที่สามารถพูดได้สำหรับเปอร์เซ็นต์ทั่วทั้งอุตสาหกรรมที่หมุนเวียนพร้อมกับหัวข้อนี้ เวอร์ชันก่อนหน้าของบทความนี้มีเปอร์เซ็นต์หนึ่ง แต่ได้รับการลบออกแล้วเพราะไม่สามารถระบุแหล่งที่มาของมันได้

การแจ้งเตือนผู้บริโภคของ FTC ลงวันที่ 6 ธันวาคม 2023 โดย Alvaro Puig ผู้เชี่ยวชาญในการศึกษาผู้บริโภค คือที่ที่เวอร์ชันประจำวันของปัญหาถูกนำเสนออก: แฮกเกอร์ปิดโค้ด QR มิเตอร์จอดจริงด้วยสติกเกอร์ของตัวเอง ข้อความอ้างว่าแพคเกจไม่สามารถจัดส่งได้ บัญชีที่ควรต้องเปิดใช้งานใหม่ คำแนะนำของมันคือประโยคเดียวและไม่ต้องให้คุณประเมินโค้ดใด ๆ เป็นพิเศษ: "อย่าสแกน QR code ในอีเมลหรือข้อความข้อความที่คุณไม่คาดหวัง" ประกาศ IC3 ของ FBI จากเดือนมกราคม 2022 เพิ่มคำบอกกล่าวด้านกายภาพ — ตรวจสอบว่าจะ "สติกเกอร์วางไว้ด้านบนของโค้ดเดิม" — และอันนั้นตามขั้นตอน: สำหรับข้อความที่ต้องการการชำระเงิน "โทรหาบริษัท เพื่อตรวจสอบ" โดยใช้หมายเลข "ผ่านไซต์ที่เชื่อถือได้แทนที่จะเป็นหมายเลขที่ระบุไว้ในอีเมล" และ "หลีกเลี่ยงการชำระเงินผ่านไซต์ที่นำทางมาจาก QR code แทนให้ป้อน URL ที่ทราบและเชื่อถือได้ด้วยตนเอง"

และจากนั้นก็มีอุปกรณ์ ซึ่งเป็นเหตุผลจริงว่าเหตุใดจึงยังคงได้ผล QR code ไม่ได้ถูกสแกนบนแล็ปท็อปที่มีเบราว์เซอร์ที่มีการจัดการ ตัวกรององค์กร และตัวจัดการรหัสผ่านที่ปฏิเสธการเติมอัตโนมัติบนโดเมนที่ผิด ได้ถูกสแกนบนโทรศัพท์ ซึ่ง NCSC แสดงรายการไว้ในบรรดาเหตุผลที่อาชญากรชอบวิธีการนี้: "อุปกรณ์ส่วนตัวอาจไม่มีการป้องกันความปลอดภัยเดียวกันกับคอมพิวเตอร์ที่ได้รับมาจากนายจ้างของคุณ" บนโทรศัพท์แถบที่อยู่ขยายตัวลง URL แบบเต็มอยู่ที่ที่ดูแล้วอึดอัด และบุคคลที่สแกนมักจะยืนอยู่ที่ไหนสักแห่ง มารยาดรำคาญเล็กน้อย ไม่ได้อ่านอย่างใจเย็น

ดังนั้นสรุปที่ซื่อสัตย์จึงแคบลง กว่า "ตัวกรองไม่เห็น" การตรวจสอบสิทธิ์ของโดเมนกำลังทำงาน และกำลังตอบคำถามของตัวเองอย่างถูกต้อง การวิเคราะห์เนื้อหาของภาพ QR มีอยู่ และมีการใช้งานในบางผลิตภัณฑ์ไม่ใช่ผลิตภัณฑ์อื่น ๆ และปรับปรุงแบบกำหนดวัดได้ในอย่างน้อยหนึ่งผลิตภัณฑ์ในปี 2024 การโจมตีนั้นยังคงมีชีวิตอยู่เพราะมันย้ายช่วงเวลาที่มีการตัดสินใจไปยังอุปกรณ์ที่นั่งอยู่นอกเครื่องจักรส่วนใหญ่นั้น และต่อหน้าบุคคลที่ได้รับการฝึกอบรมมาเป็นเวลาหลายปีเพื่อถือว่าสี่เหลี่ยมเล็ก ๆ ว่าเป็นสิ่งสะดวก สี่เหลี่ยมไม่โกหกกับตัวกรอง มันย้ายการสนทนาให้คุณ

การแก้ไข 20 ตุลาคม 2026 เวอร์ชันก่อนหน้าของบทความนี้กล่าวว่าตัวกรองสแปมทั้งหมดและการตรวจสอบส่วนหัวทั้งหมดถูกสร้างขึ้นเพื่ออ่านข้อความและ QR code นั้นมองไม่เห็นสำหรับทั้งหมด การตรวจสอบสิทธิ์ของโดเมนไม่ตรวจสอบเนื้อหาตามการออกแบบ — ข้อกำหนด DMARC แสดงรายการ "content analysis" เป็นนอกขอบเขต — แต่การกรองเนื้อหาเป็นชั้นแยกต่างหาก และ Microsoft ได้เอกสารแยก QR URL ใน Defender for Office 365 ในเดือนพฤศจิกายน 2024 ในขณะที่ถ้อยคำของ NCSC คือไม่ใช่เครื่องมือทั้งหมดที่สแกนภาพ สถิติที่นำเสนอ 22% ของการฟิชชิงออนไลน์ในปลายปี 2023 ไปยัง QR code ได้ถูกลบออกเพราะไม่สามารถระบุแหล่งที่มาหลักได้ มันไม่ได้ถูกแทนที่ด้วยตัวเลขโดยประมาณ การอ้างอิงไปยังหน้า NCSC ที่ไม่ได้พูดถึง QR code ในความเป็นจริงได้ถูกแทนที่ด้วยโพสต์บล็อก NCSC ที่ทำ การแจ้งเตือน FTC ได้รับวันที่ที่ชัดเจน และโดเมนฟิชชิงสาธิตได้ถูกแทนที่ด้วยตัวอย่างที่ไม่สามารถคลิกได้ในเนมสเปส .example ที่สงวนไว้

@@END@@