ایک QR کوڈ DMARC چیک میں ناکام نہیں ہو سکتا، اور یہ بالکل وہی وجہ ہے جس سے scammers کو یہ پسند ہے

Email defence ایک مشین نہیں ہے۔ یہ کم از کم دو ہیں، اور وہ مختلف سوالات کے جواب دیتے ہیں۔ پہلی یہ پوچھتی ہے کہ اس domain کے نام سے mail بھیجنے کی اختیار کس کو ہے۔ دوسری یہ پوچھتی ہے کہ پیغام میں جو کچھ ہے وہ خطرناک ہے یا نہیں۔ ایک QR کوڈ پہلی کو design کی وجہ سے آسانی سے نکل جاتا ہے، اور آیا یہ دوسری کو نکل جائے گا یہ اس بات پر منحصر ہے کہ کون سی product آپ کی mail کو پڑھ رہی ہے۔

پہلی مشین سے شروع کریں، کیونکہ یہ وہ ہے جس کا نام لوگ غلط رکھتے ہیں۔ SPF check کرتا ہے کہ بھیجنے والا server کسی domain کے لیے mail بھیجنے کی اجازت ہے۔ DKIM پیغام پر ایک cryptographic signature check کرتا ہے۔ DMARC یہ ضروری کرتا ہے کہ ان میں سے ایک authenticated identifier نظر آنے والی From: header میں domain کے ساتھ ملے، اور domain کے مالک کو یہ شائع کرنے کی اجازت دیتا ہے کہ جب یہ alignment ناکام ہو تو کیا ہونا چاہیے۔ موجودہ specification، RFC 9989، واضح کرتی ہے کہ یہ ایک preference ہے نہ کہ command: "کسی بھی پیغام کی حتمی handling ہمیشہ مقامی policy کا معاملہ ہے اور Mail Receiver کی صوابدید پر منحصر ہے۔"

اب وہ حصہ جو QR codes کے لیے اہم ہے۔ اسی specification میں اس چیز کی فہرست دی گئی ہے جو عمداً اس کے دائرہ کار سے باہر ہے، اور اس فہرست میں، ان دو الفاظ میں، ہے "content analysis۔" DMARC کبھی links پڑھنے کے لیے بنایا ہی نہیں گیا، اور images نے اسے خراب نہیں کیا۔ اس کا کسی پیغام کی body کے بارے میں کوئی رائے نہیں۔ یہ بھی واضح طور پر کہتا ہے کہ ایک pass کی قیمت کیا ہے: "DMARC pass اپنے آپ میں یہ ضمانت نہیں دیتا کہ recipient کے inbox تک پہنچنا محفوظ یا مطلوبہ ہے۔" تو ایک criminal جو ایک throwaway domain رجسٹر کرتا ہے، اس پر SPF اور DKIM کو صحیح طریقے سے configure کرتا ہے اور DMARC record شائع کرتا ہے، وہ آپ کو ایک پیغام بھیج سکتا ہے جو ہر authentication check کو صاف طریقے سے pass کر دے۔ کوئی چیز bypass نہیں ہوئی۔ envelope واقعی اس party نے sign کیا تھا جس نے اسے sign کیا۔ آیا یہ attached square آپ کے password کو چرانے والی جگہ پر جاتا ہے، یہ سوال کبھی authentication layer کے form میں نہیں تھا۔

یہ سوال دوسری مشین سے تعلق رکھتا ہے، اور یہاں مطلق باتیں ختم ہو جاتی ہیں۔ ایک پیغام کی body میں ایک text link کوئی چیز ہے جو content filter نکال سکتا ہے، expand کر سکتا ہے اور reputation data کے مقابلے میں compare کر سکتا ہے۔ ایک QR image کے اندر URL کو پہلے pixels سے recover کرنا ہوتا ہے، اور یہ صلاحیت ہر جگہ موجود نہیں ہے۔ UK کے National Cyber Security Centre نے، Dave Chismon کی فروری 2024 کی post میں، حد بالکل درست بیان کی: "تمام security tools جو phishing emails کو detect کرنے کے لیے ڈیزائن کیے گئے ہیں، وہ images کو scan نہیں کریں گے۔" Microsoft نے، نومبر 2024 میں، دوسری طرف دستاویز کیا — Defender for Office 365 "نے QR codes سے URLs نکالنے کی اپنی صلاحیتوں میں بہتری کی ہے"، mail flow کے شروع میں image processing کے ذریعے انہیں نکالتے ہوئے اور اب QR metadata بھی نکالتے ہوئے اور ارد گرد کے pattern کو score کرتے ہوئے۔ Microsoft نے یہ بھی شائع کیا کہ اس نے اپنی telemetry میں کیا بدلا: peak پر یہ "روز 3 million attempts کو block کر رہی تھی"، اور detection work شپ ہونے کے بعد، "ہم نے یہ تعداد ہر روز 200,000 QR code phishing attempts تک سکڑتے ہوئے دیکھا۔" ایک vendor، ایک product، خود کی طرف سے رپورٹ کیا گیا — لیکن checkable، جو اس topic کے ساتھ گردش کرنے والے industry-wide percentages کے بارے میں کہا جا سکتا نہیں ہے۔ اس article کے ایک پہلے ورژن میں ان میں سے ایک percentage تھی؛ اسے ہٹایا گیا ہے کیونکہ اس کی source قائم نہیں کی جا سکی۔

FTC کا 6 دسمبر 2023 کا consumer alert، consumer education specialist Alvaro Puig کی طرف سے، یہاں مسئلہ کا روز مرہ ورژن بیان کیا گیا ہے: scammers ایک حقیقی parking-meter کوڈ کو اپنی sticker سے ڈھانپتے ہیں، ایک پیغام جو یہ دعویٰ کرتا ہے کہ ایک package deliver نہیں ہو سکی، ایک account جس کو دوبارہ فعال کرنے کی ضرورت ہے۔ اس کی advice ایک جملہ لمبا ہے اور اسے کسی خاص کوڈ کو جانچنے کی ضرورت نہیں: "کسی ایسے QR کوڈ کو scan نہ کریں جو آپ کو email یا text message میں آیا ہو اور جس کی آپ کو توقع نہیں تھی۔" FBI کا IC3 announcement جنوری 2022 سے physical tell شامل کرتا ہے — check کریں کہ آیا "اصل کوڈ پر کوئی sticker لگایا گیا ہے" — اور procedural والا: ایک پیغام کے لیے جو payment چاہتا ہے، "company کو call کریں تاکہ verify کریں"، "trusted site" کے ذریعے پایا گیا number استعمال کرتے ہوئے "بجائے email میں دیے گئے number کے"، اور "QR کوڈ سے navigate کی گئی site کے ذریعے payments کرنے سے بچیں۔ بجائے اس کے، ایک معروف اور قابل اعتماد URL کو manually enter کریں۔"

اور پھر device ہے، جو یہ حقیقی وجہ ہے جس سے یہ کام کر رہا ہے۔ QR کوڈ laptop پر scan نہیں ہوتا جہاں managed browser، corporate filter اور password manager جو غلط domain پر autofill سے انکار کرتا ہے، سب ہوتے ہیں۔ یہ phone پر scan ہوتا ہے، جس کو NCSC ان وجوہات میں شامل کرتا ہے جن سے criminals اس طریقے کو ترجیح دیتے ہیں: "Personal devices میں وہی security protections نہیں ہو سکتے جو آپ کے employer کی طرف سے فراہم کی گئی computer میں ہوں۔" phone پر address bar truncate ہوتا ہے، مکمل URL کو inspect کرنا awkward ہوتا ہے، اور جو شخص scan کر رہا ہے وہ عام طور پر کہیں کھڑا ہوتا ہے، تھوڑا سا غصے میں، احتیاط سے نہیں پڑھ رہا۔

تو ایمانداری سے خلاصہ "filters اندھے ہیں" سے تنگ ہے۔ Domain authentication کام کر رہی ہے اور اپنے سوال کا جواب صحیح طریقے سے دے رہی ہے۔ QR images کا content analysis موجود ہے، کچھ products میں تعینات ہے اور دوسروں میں نہیں، اور کم از کم ان میں سے ایک میں 2024 میں قابل قیاس طریقے سے بہتر ہوا۔ حملہ اس لیے برقرار رہتا ہے کیونکہ یہ حتمی moment کو ایک device پر منتقل کرتا ہے جو اس میں سے اکثر machinery کے باہر ہے، اور ایک ایسے شخص کے سامنے ہے جس کو سالوں سے ایک چھوٹے سے square کو ایک سہولت کے طور پر treat کرنے کے لیے trained کیا گیا ہے۔ Square filter کو lie نہیں کرتا۔ یہ بات کو آپ کے پاس منتقل کرتا ہے۔

تصحیح، 20 اکتوبر 2026۔ اس article کے ایک پہلے ورژن میں کہا گیا تھا کہ ہر spam filter اور ہر header check text پڑھنے کے لیے بنایا گیا تھا اور QR کوڈ ان سب کے لیے invisible ہے۔ Domain authentication content کو design کی وجہ سے examine نہیں کرتی — DMARC specification "content analysis" کو out of scope کے طور پر درج کرتی ہے — لیکن content filtering ایک علیحدہ layer ہے، اور Microsoft نے نومبر 2024 میں Defender for Office 365 میں QR URL extraction کی دستاویز بنائی، جب کہ NCSC کی wording یہ ہے کہ تمام tools images کو scan نہیں کریں گے۔ ایک statistic جو late-2023 online phishing کے 22% کو QR codes سے منسوب کرتی تھی اسے ہٹایا گیا ہے کیونکہ اس کے لیے کوئی primary source نہیں ملا؛ اسے approximate figure سے replace نہیں کیا گیا۔ NCSC page کے لیے ایک citation جو حقیقت میں QR codes کو discuss کرتی نہیں ہے اسے NCSC blog post سے replace کیا گیا جو کرتی ہے، FTC alert اب دقیق طریقے سے dated ہے، اور ایک demonstration phishing domain کو reserved .example namespace پر ایک non-clickable example سے replace کیا گیا۔

@@END@@