سکیمرز نے آپ کو لنکس کی تصویریں میل کرنا کیوں شروع کیا

لنک اسکینر ایک سادہ، مسلسل چیز ہے۔ یہ ای میل میں ٹیکسٹ URLs پڑھتا ہے، انہیں معروف برے ڈومین کی فہرستوں سے چیک کرتا ہے، ری ڈائریکٹس کو فالو کرتا ہے اور ان کو فلیگ کرتا ہے جو کسی خطرناک جگہ تک جاتے ہیں۔ یہ اپنے کام میں ماہر ہے۔ تو سکیمرز نے واضح کام کیا: انہوں نے لنک بھیجنا بند کر دیا۔

انہوں نے لنکس کی تصویریں بھیجنا شروع کیں۔

یہی "quishing" کی چال ہے — QR کوڈ فشنگ۔ QR کوڈ ایک URL ہے جو سیاہ و سفید تصویر کے طور پر انکوڈ ہوتا ہے، تو login-verify.example جیسی منزل ای میل کے صفحہ میں ٹیکسٹ ہونے کی بجائے پکسلز بن جاتی ہے۔ نکتہ یہ نہیں ہے کہ پتہ منقشفہ ہے؛ کوئی بھی کیمرا اسے فوری طور پر ڈی کوڈ کرتا ہے۔ نکتہ یہ ہے کہ یہ اب کہیں لکھا نہیں ہے جہاں آپ یا ٹیکسٹ پارسر اسے پڑھ سکے اس سے پہلے کہ آپ عزم رکھیں۔

آیا فلٹر اب بھی اسے پڑھ سکتا ہے یہ بالکل مصنوع پر منحصر ہے۔ یوکے کے National Cyber Security Centre نے QR کوڈز پر اپنی فروری 2024 کی نوٹ میں محتاط الفاظ میں حد بیان کی ہے: "ای میلز کو فشنگ سے روکنے کے لیے ڈیزائن کی گئی تمام سیکیورٹی ٹولز تصاویر کو اسکین نہیں کریں گی۔" دیکھیں کہ یہ کیا نہیں کہتا۔ یہ نہیں کہتا کہ ان میں سے کوئی نہیں کرتے۔ Microsoft نے نومبر 2024 میں دوسری طرف سے شائع کیا: Defender for Office 365، اس نے لکھا، "QR کوڈز سے URLs نکالنے کی صلاحیتوں میں بہتری کی ہے،" میل فلو کے شروع میں تصویری processing استعمال کرتے ہوئے "QR کوڈز میں چھپے URLs کو نکالنا اور لاگ کرنا،" اور یہ اب QR میٹاڈیٹا بھی نکالتا ہے اور ارد گرد کے پیٹرن کو دیکھتا ہے — کم سے کم صفحہ ٹیکسٹ، برانڈ کا لالچ، ری ڈائریکٹ چین۔ تو "فلٹر اسے نہیں پڑھ سکتا" بہت سی مصنوعات کے لیے ایک وقت کے لیے درست تھا، کچھ کے لیے ابھی بھی درست ہے، اور یہ فطرت کا قانون نہیں ہے۔ اگر آپ یہ جاننا چاہتے ہیں کہ یہ آپ کی اپنی میل کے لیے درست ہے تو یہ آپ کے فراہم کنندہ کی مصنوع اور ترتیب کے بارے میں ایک سوال ہے، QR کوڈز کے بارے میں نہیں۔

اعداد و شمار جو قابل توثیق ہیں وہ ایک ہی فروخت کنندہ سے آتے ہیں، اور وہ منسلکہ دائرے کے ساتھ پڑھنے کے قابل ہیں۔ Microsoft کی نومبر 2024 کی پوسٹ "ہر ماہ 270% کی شرح میں بڑھتے ہوئے کچھ حملے" کے ساتھ ایک اچھالے کی تفصیل دیتی ہے، کہتی ہے کہ "سب سے زیادہ، Defender for Office 365 روزانہ 3 ملین کوششوں کو روک رہا تھا،" اور یہ کہ جب detection کا کام بھیجا گیا "ہم نے یہ تعداد ہر روز 200,000 QR کوڈ فشنگ کوششوں تک سکڑتی دیکھی ہے۔" Microsoft کی Digital Defense Report 2026 موجودہ پیمانے پر کل رقم رکھتی ہے: Defender for Office 365 نے جولائی 2025 اور جون 2026 کے درمیان 145+ ملین QR کوڈ فشنگ حملوں کا پتہ لگایا۔ یہ تمام اعداد و شمار ایک فروخت کنندہ کی اپنی مصنوع کے لیے درپیش ہیں، خود رپورٹ شدہ۔ یہ تمام فشنگ کا حصہ نہیں ہے، اور یہ کوئی انڈسٹری کل نہیں ہے — اس مضمون کے ایک پہلے ورژن نے 25% کے حصے کا حوالہ دیا تھا جو کوئی Microsoft اشاعت معاون نہیں لگتی، اور یہ اعداد و شمار ہٹا دیے گئے ہیں بجائے تبدیل ہونے کے۔

جو تکنیک کو دیرپائی بناتا ہے وہ handoff ہے، encoding نہیں۔ ای میل لیپ ٹاپ پر آتی ہے، جہاں کارپوریٹ فلٹر، managed browser اور password manager رہتے ہیں۔ کوڈ فون پر اسکین ہوتا ہے، جو عام طور پر ایک ذاتی ڈیوائس ہے۔ NCSC اس کو ان وجوہات میں درج کرتا ہے کہ مجرم اس طریقے کے حق میں ہیں: "ذاتی ڈیوائسز کے پاس وہی سیکیورٹی حفاظت نہیں ہو سکتی ہے جو کمپیوٹر پر ہے جو آپ کے ملازم نے فراہم کیا ہے۔" فون پر address bar سمٹتا ہے، مکمل URL کا معائنہ کرنا مشکل ہے، اور password manager جو غلط domain پر autofill سے انکار کرتا تو بالکل شامل نہیں ہے۔

تھیمز بورنگ طریقے سے متوقع ہیں، جو خود میں ایک انتباہ ہے، اور وہ صارف انتباہات میں لفظ بہ لفظ ظاہر ہوتے ہیں۔ FTC کا دسمبر 2023 کا الرٹ سکیمرز کو پارکنگ میٹر پر اصل QR کوڈ کو اپنے سٹیکر سے ڈھانپتے ہوئے بیان کرتا ہے، اور صاف طریقے سے انتباہ دیتا ہے: "ای میل یا ٹیکسٹ میسج میں QR کوڈ کو اسکین نہ کریں جس کی آپ کو توقع نہیں تھی،" خاص طور پر وہ جو آپ کو فوری طور پر کام کرنے پر دھکیلے۔ FBI کا IC3 عوامی خدمت کا اعلان جنوری 2022 سے یکساں ہے tampering کے بارے میں — "سائبر مجرمین ڈیجیٹل اور جسمانی QR کوڈز دونوں میں taampering کرتے ہیں تاکہ قانونی کوڈز کو malicious کوڈز سے بدل سکیں" — اور لوگوں کو جسمانی کوڈز کو "اصل کوڈ پر رکھی گئی سٹیکر" کے لیے چیک کرنے کے لیے کہتا ہے۔ اپنی ختم ہو رہی multi-factor authentication کو دوبارہ قابل بنانے کے لیے ایک کوڈ، ایک signature request جس کی آپ کو توقع نہیں تھی، ایک شپنگ نوٹس جو آپ سے delivery کی تصدیق کرنے کو کہے: ڈیزائن کا مقصد ہمیشہ فون اٹھانے کے لیے ایک چھوتا، قابل فہم وجہ ہے اس سے پہلے کہ کوئی چیز چیک ہو۔

تو دفاعی حرکات سست ہیں، اور یہ وہ ہیں جو ایجنسیاں دراصل شائع کرتی ہیں۔ IC3 کا مشورہ، پیغام کے لیے جو اسکین کے بعد ادائیگی یا لاگ ان کا مطالبہ کرتا ہے: "کمپنی کو التوا میں کال کریں،" "قابل اعتماد سائٹ کے ذریعے کمپنی کے فون نمبر" کا استعمال کرتے ہوئے "بجائے ای میل میں فراہم کردہ نمبر کے،" اور "QR کوڈ سے نیویگیٹ کی گئی سائٹ کے ذریعے ادائیگیاں کرنے سے گریز کریں۔ بجائے اس کے، معروف اور قابل اعتماد URL کو دستی طور پر درج کریں۔" اس میں کوئی نہیں ہے جو آپ کو فیصلہ کرنے کی ضرورت ہے کہ آیا ایک خاص مربع malicious ہے — جو حصہ کوئی انسان اچھا نہیں ہے۔

ایک چیز جو ای میل میں QR کوڈ آپ کو کبھی نہیں بتاتا ہے وہ یہ ہے کہ پیغام forged تھا یا نہیں۔ Domain authentication ایک بالکل مختلف سوال کا جواب دیتا ہے، اور موجودہ DMARC specification واضح طور پر "content analysis" کو اپنے دائرے سے باہر رکھتا ہے — جس کی وجہ سے مکمل طور پر متوثق پیغام ایک malicious image رکھ سکتا ہے۔ یہ آلیہ اپنی پڑھائی کے قابل ہے، اور یہ اس سلسلے میں ایک ساتھی مضمون کا موضوع ہے۔

تصحیح، 20 اکتوبر 2026۔ اس مضمون کے ایک پہلے ورژن میں کہا گیا تھا کہ spam filter QR کوڈ نہیں پڑھ سکتا اور اسکینرز encoded پتے سے اندھے ہیں۔ یہ کچھ ای میل سیکیورٹی مصنوعات کے لیے درست ہے اور دوسروں کے لیے نہیں: Microsoft نے نومبر 2024 میں Defender for Office 365 میں QR کوڈز سے URL نکالنے کی تفصیل دی، اور NCSC کا الفاظ یہ ہیں کہ تمام ٹولز تصاویر کو اسکین نہیں کریں۔ مضمون نے تقریباً 25% ای میل فشنگ QR کوڈز استعمال کرنے کا اعداد و شمار بھی حوالہ دیا، جو Microsoft کو منسوب ہے؛ کوئی Microsoft اشاعت اس حصے کی تائید نہیں کر سکی، تو یہ اعداد و شمار ہٹا دیے گئے ہیں اور Microsoft براہ راست شائع کردہ اعداد و شمار سے بدل دیے گئے ہیں، ان کی مصنوع اور مدت بیان کی گئی۔ ایک demonstration phishing domain جو ایک live link کے طور پر دیا گیا تھا اس کو non-clickable مثال سے reserved .example namespace پر بدل دیا گیا ہے، اور CISA home page کا حوالہ مخصوص FBI IC3 اور FTC مشورے سے بدل دیا گیا ہے۔