QR-код не може не пройти перевірку DMARC — саме тому шахраї його така люблять

Захист електронної пошти — це не один механізм. Це щонайменше два механізми, і вони відповідають на різні питання. Перший запитує: хто мав дозвіл надсилати листи з цього домену. Другий запитує: чи є те, що міститься в повідомленні, небезпечним. QR-код проходить повз перший механізм за дизайном, а чи пройде він повз другий — залежить від того, який продукт читає вашу пошту.

Почнемо з першого механізму, тому що людство його неправильно називає. SPF перевіряє, чи дозволено серверу відправника надсилати від імені домену. DKIM перевіряє криптографічний підпис повідомлення. DMARC вимагає, щоб один із цих верифікованих ідентифікаторів збігся з доменом у видимій шапці From:, і дозволяє власнику домену оприлюднити пріоритет того, що має статися, коли це збігнення не відбудеться. Поточна специфікація, RFC 9989, явно говорить, що це пріоритет, а не команда: «The final handling of any message is always a matter of local policy and is left to the discretion of the Mail Receiver.»

Тепер частина, що має значення для QR-кодів. Та сама специфікація перелічує, що навмисне виходить за межі її охоплення, і на цьому списку, двома словами, є «content analysis». DMARC ніколи не будувався на читанні посилань, і його не погіршили зображення. Він зовсім не має думки про вміст повідомлення. Він також чітко каже, на що варто покладатися за позитивного результату: «a DMARC pass by itself does not guarantee that delivery to the recipient's inbox would be safe or desirable». Отже, злочинець, який реєструє одноразовий домен, правильно налаштовує на ньому SPF і DKIM та оприлюднює запис DMARC, може надіслати вам повідомлення, яке чистенько пройде усі перевірки верифікації. Нічого не було обійдено. Конверт дійсно був підписаний тією стороною, яка його підписала. Питання про те, чи веде той прикріплений квадратик до місця, яке вкраде ваш пароль, ніколи не було на формі шару верифікації.

Це питання належить до другого механізму, і тут абсолюти розпадаються. Текстове посилання в тілі повідомлення — це те, що фільтр вмісту може виділити, розширити та порівняти з даними репутації. URL всередині QR-зображення спочатку потрібно відновити з пікселів, і це не універсальна можливість. Національний центр кібербезпеки Великобританії (NCSC) у дописі від лютого 2024 року авторства Dave Chismon дає точне обмеження: «Not all security tools designed to detect phishing emails will scan images». Microsoft у листопаді 2024 року задокументував іншу сторону — Defender for Office 365 «has improved its capabilities to extract URLs from QR codes», витягуючи їх за допомогою обробки зображень на ранній стадії потоку листів і тепер також видобуваючи QR-метадані та оцінюючи навколишній паттерн. Microsoft також опублікував, що це змінило в його власній телеметрії: у піковий час він «blocking 3 million attempts daily», а після розгортання роботи виявлення «we have seen this number shrink to 200,000 QR code phishing attempts every day». Один продавець, один продукт, самостійно повідомив — але перевіряється, чого не скажеш про загальногалузеві відсотки, що циркулюють з цієї теми. Більш ранша версія цієї статті містила один із цих відсотків; він був видалений, тому що його джерело не вдалося встановити.

Споживацьке попередження FTC від 6 грудня 2023 року, написане спеціалістом з освітніх питань для споживачів Alvaro Puig, — це те місце, де висвітлюється повсякденна версія проблеми: шахраї закривають справжній код паркувального лічильника своєю наклейкою, повідомлення стверджують, що пакет не вдалося доставити, акаунт, на думку якого, потребує реактивації. Його рекомендація складається з одного речення і не потребує від вас оцінки будь-якого конкретного коду: «Don't scan a QR code in an email or text message you weren't expecting». Оголошення FBI від січня 2022 року з IC3 додає фізичний ознак — перевірте, чи є «a sticker placed on top of the original code» — і процедурний: для повідомлення, яке хоче платежу, «call the company to verify», використовуючи номер знайдений «through a trusted site rather than a number provided in the email», і «avoid making payments through a site navigated to from a QR code. Instead, manually enter a known and trusted URL».

А потім є пристрій, що є справжньою причиною того, чому це продовжує працювати. QR-код сканується не на ноутбуку, де живуть керований браузер, корпоративний фільтр і менеджер паролів, який відмовляється автоматично заповнювати на неправильному домені. Він сканується на телефоні, який NCSC перелічує серед причин, чому злочинці люблять цей метод: «Personal devices may not have the same security protections as a computer that's provided by your employer». На телефоні рядок адреси скорочується, повний URL незручно перевіряти, а людина, яка сканує, зазвичай стоїть десь, трохи роздратована, не читаючи уважно.

Отже, чесна резюме вужча, ніж «фільтри сліпі». Верифікація домену працює й правильно відповідає на своє питання. Аналіз вмісту QR-зображень існує, розгорнутий у деяких продуктах, а не в інших, і помітно поліпшився щонайменше в одному з них у 2024 році. Атака виживає, тому що переносить вирішальний момент на пристрій, який лежить поза більшістю цього обладнання, і перед людиною, яка роками тренувалась сприймати маленький квадратик як зручність. Квадратик не бреше фільтру. Він переносить розмову на вас.

Виправлення, 20 жовтня 2026. Більш ранша версія цієї статті стверджувала, що кожний спам-фільтр і кожна перевірка заголовків були побудовані на читанні тексту і що QR-код невидимий для всіх них. Верифікація домену не вивчає вміст за дизайном — специфікація DMARC перелічує «content analysis» як поза меж — але фільтрація вмісту — це окремий рівень, і Microsoft задокументував видобування URL-адрес QR у Defender for Office 365 у листопаді 2024 року, тоді як формулювання NCSC полягає в тому, що не всі інструменти сканують зображення. Статистика, яка приписувала 22% фішингу онлайн у кінці 2023 року QR-кодам, була видалена, тому що жодне первинне джерело для неї не могло бути визначене; його не було замінено приблизною цифрою. Посилання на сторінку NCSC, яка насправді не обговорює QR-коди, було замінено постом блогу NCSC, який це робить, та оповіщення FTC тепер має точну дату, а демонстраційний домен фішингу було замінено на неклікабельний приклад у зарезервованому просторі імен .example.