Чому шахраї почали надсилати вам зображення посилань

Сканер посилань — це простий і невтомний інструмент. Він читає текстові URL-адреси в листі, перевіряє їх за списками відомих шкідливих доменів, перейшовши за перенаправленнями, й позначає ті, що ведуть на небезпечні сайти. Він добре справляється зі своєю роботою. Тому шахраї зробили логічний крок: вони перестали надсилати посилання.

Вони почали надсилати зображення посилань.

У цьому полягає хитрість «quishing» — фішингу через QR-коди. QR-код — це URL, закодований як чорно-біле зображення, тому адреса на кшталт login-verify.example перестає бути текстом у тілі повідомлення й стає пікселями. Справа не в тому, що адреса зашифрована; будь-яка камера миттєво її декодує. Справа в тому, що вона більше не записана де-небудь, де ви або текстовий парсер можете прочитати до того, як ви йдете далі.

Чи може фільтр ще прочитати її, залежить повністю від продукту. У своїй записці від лютого 2024 року про QR-коди Національний центр кібербезпеки Великої Британії (NCSC) виражається обережно: «Не всі інструменти безпеки, призначені для виявлення фішингових листів, сканують зображення». Зверніть увагу, що цей текст не каже. Він не говорить, що жоден з них це не робить. Microsoft опублікував іншу сторону питання у листопаді 2024 року: Defender for Office 365, написала компанія, «поліпшив свої можливості з видобування URL-адрес з QR-кодів», використовуючи обробку зображень на ранніх етапах потоку пошти для «видобування й логування URL-адрес, прихованих у QR-кодах», і тепер також видобуває метадані QR та шукає навколишній шаблон — мінімальний текст у тілі, приманку бренду, ланцюг перенаправлень. Отже, твердження «фільтр не може це прочитати» було істинним для багатьох продуктів деякий час, залишається істинним для деяких і не є законом природи. Якщо ви хочете дізнатися, чи це так для вашої пошти, це питання про продукт вашого постачальника й його конфігурацію, а не про QR-коди.

Перевіренні цифри походять від одного й того ж постачальника, й вони варті прочитання з врахуванням контексту. У записці Microsoft від листопада 2024 року описується сплеск із «деякими атаками, що зростають із темпом 270% на місяць», говориться, що «у піку Defender for Office 365 блокував 3 мільйони спроб щодня», і що після впровадження роботи виявлення «ми побачили, що це число скоротилося до 200 000 спроб фішингу через QR-коди щодня». Звіт Microsoft Digital Defense Report 2026 наводить загальний обсяг поточного масштабу: 145+ мільйонів атак фішингу через QR-коди, виявлених між липнем 2025 та червнем 2026 року Defender for Office 365. Усі ці цифри — телеметрія одного постачальника для його власного продукту, самостійно звітована. Це не частка від усього фішингу, і це не загальнозвітова сума — попередня версія цієї статті цитувала 25% частку, яку не видається підтримувати жодна публікація Microsoft, і ця цифра була видалена замість заміни.

Те, що робить цю техніку тривкою, — це передача, а не кодування. Лист потрапляє на ноутбук, де живуть корпоративний фільтр, керований браузер і менеджер паролів. Код сканується на телефоні, який зазвичай є особистим пристроєм. NCSC вказує це серед причин, чому злочинці віддають перевагу цьому методу: «Особисті пристрої можуть не мати таких же засобів захисту, як комп'ютер, наданий вашим роботодавцем». На телефоні адресний рядок урізується, повну URL-адресу складно перевірити, а менеджер паролів, який відмовив би автозаповненню на неправильному домені, взагалі не задіяний.

Тематика нудна й передбачувана, що сама по собі показує, і вона з'являється в попередженнях для споживачів майже слово в слово. У попередженні FTC від грудня 2023 року описується, як шахраї закривають справжній QR-код на паркометрі своєю наклейкою, й ясно попереджає: «Не скануйте QR-код у листі чи SMS, на який ви не очікували», особливо той, що спонукає вас до негайних дій. Публічна служба інформування FBI IC3 від січня 2022 року говорить те саме про втручання — «Кіберзлочинці втручаються як у цифрові, так і у фізичні QR-коди, щоб замінити законні коди на шкідливі» — і радить людям перевіряти фізичні коди на «наклейку, покладену поверх оригінального коду». Код для повторного включення дворівневої автентифікації, що закінчується, запит підпису, якого ви не очікували, повідомлення про доставку з проханням підтвердити доставку: мета дизайну — завжди невеликий, правдоподібний привід піднести телефон, перш ніж щось перевіриться.

Отже, захисні заходи — це нудні, й це ті, які агентства насправді публікують. Поради IC3 для повідомлення, що вимагає платежу або входу після сканування: «подзвоніть компанії для перевірки», використовуючи «номер телефону компанії через надійний сайт, а не номер, наданий у листі», і «уникайте здійснення платежів через сайт, на який перейшли через QR-код. Натомість вручну введіть відомий і надійний URL». Нічого в цьому не вимагає від вас оцінювати, чи є той чи інший квадрат шкідливим — а це частина, у якій жоден людський не гарний.

Одна річ, яку QR-код у листі ніколи не каже вам, — чи було повідомлення підроблено. Аутентифікація домену відповідає на зовсім інше питання, і поточна специфікація DMARC явно виключає «аналіз вмісту» зі своєї області — тому повністю аутентифіковане повідомлення може містити шкідливе зображення. Цей механізм варто прочитати окремо, і це предмет супровідної статті в цій серії.

Виправлення, 20 жовтня 2026 року. Попередня версія цієї статті говорила, що спам-фільтр не може прочитати QR-код і що сканери не здатні прочитати закодовану адресу. Це істинно для деяких продуктів електронної безпеки, але не для інших: Microsoft задокументував видобування URL-адрес з QR-кодів у Defender for Office 365 у листопаді 2024 року, а формулювання NCSC таке, що не всі інструменти сканують зображення. Статтю також цитувала цифру близько 25% фішингу електронної пошти з використанням QR-кодів, приписану Microsoft; жодна публікація Microsoft, яка би підтримувала цю частку, не знайдена, тому цифра була видалена й замінена цифрами, які Microsoft публікує безпосередньо, з визначеним їхнім продуктом і періодом. Демонстраційний фішинговий домен, який був відтворений як живе посилання, замінено на приклад, що не клацається, у зарезервованому просторі імен .example, а посилання на домашню сторінку CISA замінено на конкретні рекомендації FBI IC3 та FTC.