Bir QR Kodu DMARC Kontrolünü Geçemez — ve Tam da Bu Yüzden Dolandırıcılar Onu Çok Seviyor

E-posta savunması tek bir mekanizma değildir. En az iki mekanizmadır ve farklı sorulara cevap verirler. Birincisi kimin bu alan adını kullanarak posta göndermeye yetkili olduğunu sorar. İkincisi mesajın içerdiğinin tehlikeli olup olmadığını sorar. Bir QR kodu tasarım gereği birincisini aşar ve ikincisini aşıp aşmadığı e-postanızı okuyan ürüne bağlıdır.

Birinci mekanizmayla başlayın, çünkü bu yanlış adlandırılan mekanizmadır. SPF gönderen sunucunun bir alan adı için posta göndermeye izinli olup olmadığını kontrol eder. DKIM mesaj üzerindeki kriptografik imzayı kontrol eder. DMARC kimlik doğrulanmış tanımlayıcılardan birinin görünen From: başlığındaki alan adıyla hizalanmasını gerektir ve alan adı sahibinin bu hizalama başarısız olduğunda ne olması gerektiğine dair bir tercihi yayınlamasına izin verir. Güncel belirtim RFC 9989, bunun bir tercih olduğunu ve komut olmadığını açıkça belirtir: "Herhangi bir mesajın nihai işlenmesi her zaman yerel politika meselesidir ve Mail Receiver'ın takdirine bırakılır."

Şimdi QR kodları için önemli olan kısım. Aynı belirtim kasıtlı olarak kapsamı dışında ne olduğunu listeler ve bu listede, tam bu iki kelimede, "content analysis" (içerik analizi) vardır. DMARC hiçbir zaman bağlantıları okumak için inşa edilmemiştir ve görüntülerle kötüleştirilmemiştir. Mesajın gövdesi hakkında hiçbir görüşü yoktur. Aynı zamanda bir geçişin değerinin ne olduğunu açıkça söyler: "Tek başına bir DMARC geçişi alıcının gelen kutusuna tesliminin güvenli veya istenen olacağını garanti etmez." Dolayısıyla SPF ve DKIM'i düzgün şekilde yapılandıran ve bir DMARC kaydı yayınlayan tek kullanımlık bir alan adı kaydeden bir suçlu size her kimlik doğrulama kontrolünü temiz bir şekilde geçen bir mesaj gönderebilir. Hiçbir şey atlatılmamıştır. Zarf gerçekten onu imzalayan tarafından imzalanmıştır. Ekli karenin sizi nereye götürdüğü ve parolanızı çalıp çalmadığı sorusu kimlik doğrulama katmanının formunda asla yoktu.

Bu soru ikinci mekanizmaya aittir ve burada mutlaklıklar çöker. Bir mesaj gövdesindeki bir metin bağlantısı, bir içerik filtresinin çıkarıp genişletip itibar verileriyle karşılaştırabileceği bir şeydir. Bir QR görüntüsünün içindeki bir URL önce piksellerden kurtarılmalıdır ve bu yetenek evrensel değildir. Birleşik Krallık'ın Ulusal Siber Güvenlik Merkezi, Dave Chismon tarafından Şubat 2024'te yapılan bir yazıda sınırı tam olarak verir: "Kimlik avı e-postalarını tespit etmek için tasarlanan tüm güvenlik araçları görüntüleri taramaz." Microsoft, Kasım 2024'te diğer tarafı belgeleyen — Office 365 için Defender "QR kodlarından URL'leri ayıklamak için yeteneklerini geliştirmiştir" ve bunları posta akışının başında görüntü işlemeyle çıkarır, şimdi ayrıca QR metaverilerini ayıklar ve çevredeki deseni puanlar. Microsoft aynı zamanda bunun kendi telemetrilerine ne değiştirdiğini yayınladı: en yüksek noktada "günlük 3 milyon denemesini engelliyordu" ve algılama çalışması sevk edildikten sonra "bu sayının günlük 200.000 QR kodu kimlik avı denemesine düştüğünü gördük." Bir satıcı, bir ürün, kendi raporu — ama kontrol edilebilir, bu konuyla dolaşan endüstri çapındaki yüzdelerin söylenebileceğinden daha fazladır. Bu makalenin önceki bir sürümü bu yüzdelerden birini taşıyordu; kaynağı belirlenemediği için kaldırılmıştır.

FTC'nin 6 Aralık 2023 tarihli tüketici uyarısı, tüketici eğitimi uzmanı Alvaro Puig tarafından, problemin günlük versiyonunun ortaya konduğu yerdir: dolandırıcılar gerçek bir oto parkı sayacı kodunu kendi çıkartmasıyla kapatan, bir paketin teslim edilemediğini iddia eden mesaj, yeniden etkinleştirilmesi gerektiğini söyleyen bir hesap. Önerisi bir cümledir ve belirli herhangi bir kodu değerlendirmenizi gerektirmez: "Beklemediğiniz bir e-posta veya kısa mesajda QR kodu taramayın." FBI'ın Ocak 2022'den gelen IC3 duyurusu fiziksel göstergeyi ekler — "orijinal kodun üzerine yapıştırılmış bir çıkartma" olup olmadığını kontrol edin — ve prosedürel olanı: ödeme isteyen bir mesaj için "şirketi doğrulamak için arayın," "e-postada sağlanan bir numara yerine güvenilir bir site aracılığıyla bulunan" bir numara kullanarak ve "bir QR koddan gidilen bir siteden ödeme yapmaktan kaçının. Bunun yerine bilinen ve güvenilir bir URL'yi elle girin."

Ve sonra cihaz vardır, bu da bunun işe yaramaya devam etmesinin gerçek nedenidir. Bir QR kodu yönetilen tarayıcı, kurumsal filtrenin ve yanlış alan adı üzerinde otomatik doldurulmayı reddeden parola yöneticisinin hepsi yaşadığı dizüstü bilgisayarda taranmaz. Telefonda taranır, NCSC'nin suçluların yöntemi tercih etme nedenleri arasında listelediği: "Kişisel cihazlar işvereniniz tarafından sağlanan bir bilgisayarla aynı güvenlik korumasına sahip olmayabilir." Bir telefonda adres çubuğu kısaltılır, tam URL denetlemesi zordur ve taramayı yapan kişi genellikle bir yerde duruyor, hafif sinirli, dikkatlice okumamaya devam ediyor.

Dolayısıyla dürüst özet "filtrelerin kör olması" kadar dar değildir. Alan adı kimlik doğrulaması çalışmaktadır ve kendi sorusunu doğru bir şekilde cevaplamaktadır. QR görüntülerinin içerik analizi vardır, bazı ürünlerde dağıtılmış ve diğerlerinde değildir ve 2024'te en azından birinde ölçülebilir şekilde gelişmiştir. Saldırı, çoğu bu makinemenin dışında oturan ve yıllar boyunca küçük bir kareyi bir rahatlık olarak ele alma konusunda eğitilmiş bir kişinin önünde, belirleyici anı bu cihaza taşıyarak yaşamaya devam eder. Kare filtreye yalan söylemez. Konuşmayı sana taşır.

Düzeltme, 20 Ekim 2026. Bu makalenin önceki bir sürümü tüm istenmeyen posta filtrelerinin ve tüm başlık kontrollerinin metin okumak için inşa edildiğini ve bir QR kodunun hepsine görünmez olduğunu söyledi. Alan adı kimlik doğrulaması tasarım gereği içeriği incelemez — DMARC belirtimi "içerik analizi"ni kapsam dışında listeler — ama içerik filtreleme ayrı bir katmandır ve Microsoft, Kasım 2024'te Office 365 için Defender'da QR URL ayıklamasını belgeleyen, NCSC'nin ifadesi ise tüm araçların görüntüleri taramadığıdır. 2023'ün sonlarındaki çevrimiçi kimlik avının %22'sini QR kodlara atfeden bir istatistik kaldırılmıştır çünkü bunun için hiçbir birincil kaynak tanımlanamamıştır; yaklaşık bir rakamla değiştirilmemiştir. QR kodları hakkında aslında tartışan bir NCSC sayfasına yapılan bir atıf, gerçekten tartışan NCSC blog yazısı ile değiştirilmiş, FTC uyarısı şimdi kesin tarihlidir ve bir demo kimlik avı alan adı ayrılmış .example isim alanında tıklanamayan bir örnek ile değiştirilmiştir.