Mã QR không thể trượt qua kiểm tra DMARC, và đó chính là lý do tại sao những kẻ lừa đảo yêu thích nó

Bảo vệ email không phải là một cỗ máy. Nó là ít nhất hai cỗ máy, và chúng trả lời những câu hỏi khác nhau. Cái thứ nhất hỏi: ai được phép gửi mail sử dụng tên domain này. Cái thứ hai hỏi: liệu nội dung tin nhắn có nguy hiểm không. Một mã QR vượt qua cái thứ nhất bằng thiết kế, và liệu nó có vượt qua cái thứ hai tùy thuộc vào sản phẩm nào đang đọc email của bạn.

Bắt đầu với cỗ máy thứ nhất, vì đó là cái mà mọi người đặt tên sai. SPF kiểm tra xem máy chủ gửi có được phép gửi cho một domain không. DKIM kiểm tra chữ ký mã hóa trên tin nhắn. DMARC yêu cầu một trong những định danh được xác thực này phải khớp với domain trong header From: hiển thị, và cho phép chủ sở hữu domain công bố tùy chọn cho những gì nên xảy ra khi sự căn chỉnh này không thành công. Thông số kỹ thuật hiện tại, RFC 9989, rõ ràng rằng đó là một tùy chọn chứ không phải một lệnh: "Xử lý cuối cùng của bất kỳ tin nhắn nào luôn là vấn đề của chính sách cục bộ và được để lại cho quyết định của Người Nhận Mail."

Bây giờ phần quan trọng đối với mã QR. Thông số kỹ thuật tương tự liệt kê những gì được cố ý nằm ngoài phạm vi của nó, và trong danh sách đó, trong hai từ đó, là "content analysis" (phân tích nội dung). DMARC không bao giờ được xây dựng để đọc các liên kết, và nó không bị giảm chất lượng bởi các hình ảnh. Nó hoàn toàn không có ý kiến về thân của tin nhắn. Nó cũng nói rõ ràng giá trị của một lần vượt qua là gì: "một DMARC pass (lần vượt qua) tự nó không đảm bảo rằng việc gửi đến hộp thư đến của người nhận sẽ an toàn hay mong muốn." Vì vậy, một tội phạm đăng ký một domain tạm thời, cấu hình SPF và DKIM trên nó một cách thích hợp và công bố một bản ghi DMARC có thể gửi cho bạn một tin nhắn vượt qua mọi kiểm tra xác thực một cách sạch sẽ. Không có gì bị vượt qua. Phong bì thực sự được ký bởi bên ký nó. Câu hỏi liệu hình vuông được đính kèm có dẫn tới nơi nào đó đánh cắp mật khẩu của bạn không bao giờ nằm trên biểu mẫu của lớp xác thực.

Câu hỏi đó thuộc về cỗ máy thứ hai, và đây là nơi những điều tuyệt đối sụp đổ. Một liên kết văn bản trong thân tin nhắn là thứ mà một bộ lọc nội dung có thể trích xuất, mở rộng và so sánh với dữ liệu danh tiếng. Một URL bên trong hình ảnh QR phải được khôi phục từ các pixel trước, và khả năng này không phổ biến. Trung tâm An ninh mạng Quốc gia Anh Quốc, trong một bài đăng tháng Hai năm 2024 của Dave Chismon, xác định giới hạn chính xác: "Không phải tất cả các công cụ bảo mật được thiết kế để phát hiện email giả mạo sẽ quét hình ảnh." Microsoft, vào tháng Mười một năm 2024, đã ghi lại mặt khác — Defender for Office 365 "đã cải thiện khả năng trích xuất URL từ mã QR," kéo chúng ra bằng xử lý hình ảnh sớm trong luồng mail và hiện cũng trích xuất siêu dữ liệu QR và chấm điểm mẫu xung quanh. Microsoft cũng công bố những gì đã thay đổi trong telemetry riêng của nó: ở đỉnh cao, nó "chặn 3 triệu nỗ lực hàng ngày," và sau khi công việc phát hiện được triển khai, "chúng tôi đã thấy con số này giảm xuống còn 200,000 nỗ lực giả mạo mã QR mỗi ngày." Một nhà cung cấp, một sản phẩm, tự báo cáo — nhưng có thể kiểm chứng được, cao hơn những phần trăm toàn ngành lưu hành với chủ đề này. Một phiên bản trước đó của bài viết này đã mang một trong những phần trăm đó; nó đã bị loại bỏ vì không thể xác định được nguồn gốc của nó.

Cảnh báo người tiêu dùng của FTC ngày 6 Tháng Mười hai năm 2023, của chuyên gia giáo dục người tiêu dùng Alvaro Puig, là nơi phiên bản hàng ngày của vấn đề được trình bày: những kẻ lừa đảo che phủ một mã đồng hồ đỗ xe thực tế bằng sticker của chính họ, một tin nhắn tuyên bố rằng một gói hàng không thể được giao, một tài khoản được cho là cần phải kích hoạt lại. Lời khuyên của nó là một câu duy nhất và không yêu cầu bạn đánh giá bất kỳ mã cụ thể nào: "Đừng quét mã QR trong email hoặc tin nhắn văn bản mà bạn không mong đợi." Thông báo IC3 của FBI từ tháng Một năm 2022 bổ sung các dấu vết vật lý — kiểm tra xem có "một sticker dán trên mã gốc" hay không — và cái kiểu thủ tục: đối với một tin nhắn muốn thanh toán, "hãy gọi cho công ty để xác minh," sử dụng một số được tìm thấy "qua một trang tin cậy thay vì một số được cung cấp trong email," và "tránh thanh toán thông qua một trang web được điều hướng từ mã QR. Thay vào đó, hãy nhập thủ công một URL đã biết và đáng tin cậy."

Và sau đó là thiết bị, đó là lý do thực sự tại sao cái này tiếp tục hoạt động. Mã QR không được quét trên laptop nơi trình duyệt được quản lý, bộ lọc công ty và trình quản lý mật khẩu từ chối tự động điền trên domain sai đều tồn tại. Nó được quét trên điện thoại, mà NCSC liệt kê giữa những lý do tại sao những kẻ tội phạm ưa thích phương pháp này: "Các thiết bị cá nhân có thể không có cùng các biện pháp bảo vệ bảo mật như một máy tính được cung cấp bởi chủ doanh nghiệp của bạn." Trên điện thoại, thanh địa chỉ cắt ngắn, URL đầy đủ khó kiểm tra, và người quét thường đang đứng ở đâu đó, hơi khó chịu, không đọc cẩn thận.

Vì vậy, bản tóm tắt trung thực hơn là "các bộ lọc bị mù." Xác thực domain đang hoạt động và trả lời câu hỏi của nó một cách chính xác. Phân tích nội dung của hình ảnh QR tồn tại, được triển khai trong một số sản phẩm và không phải trong những sản phẩm khác, và cải thiện có thể đo lường được trong ít nhất một trong số chúng vào năm 2024. Cuộc tấn công tồn tại vì nó chuyển thời điểm quyết định sang một thiết bị nằm ngoài hầu hết cỗ máy đó, và trước mặt một người được đào tạo trong nhiều năm để coi một hình vuông nhỏ như một tiện ích. Hình vuông đó không nói dối với bộ lọc. Nó chuyển cuộc trò chuyện tới bạn.

Bổ sung, 20 Tháng Mười năm 2026. Một phiên bản trước đó của bài viết này nói rằng mọi bộ lọc spam và mọi kiểm tra header đều được xây dựng để đọc văn bản và rằng mã QR không hiển thị với tất cả chúng. Xác thực domain không xem xét nội dung bằng thiết kế — thông số kỹ thuật DMARC liệt kê "content analysis" (phân tích nội dung) là ngoài phạm vi — nhưng bộ lọc nội dung là một lớp riêng biệt, và Microsoft đã ghi lại việc trích xuất URL QR trong Defender for Office 365 vào tháng Mười một năm 2024, trong khi cách diễn đạt của NCSC là không phải tất cả các công cụ đều quét hình ảnh. Một thống kê quy từ 22% phishing trực tuyến cuối năm 2023 cho mã QR đã bị loại bỏ vì không thể xác định được nguồn gốc chính thức của nó; nó chưa được thay thế bằng một con số gần đúng. Một trích dẫn đến một trang NCSC thực ra không thảo luận về mã QR đã được thay thế bằng bài đăng blog NCSC thực hiện, cảnh báo FTC hiện được định ngày chính xác, và một domain giả mạo minh họa đã được thay thế bằng một ví dụ không thể nhấp trên namespace .example được dành riêng.