Tại Sao Những Kẻ Lừa Đảo Bắt Đầu Gửi Cho Bạn Những Bức Ảnh Chứa Liên Kết

Một bộ quét liên kết là một cơ chế đơn giản, không khoan nhượng. Nó đọc những URL văn bản trong email, kiểm tra chúng so với danh sách các miền đã biết là xấu, theo dõi các chuyển hướng và đánh dấu những liên kết dẫn đến nơi nguy hiểm. Nó làm việc tốt. Vì vậy những kẻ lừa đảo đã làm điều hiển nhiên: họ dừng gửi liên kết.

Họ bắt đầu gửi những bức ảnh của các liên kết.

Đó là thủ đoạn đằng sau "quishing" — lừa đảo bằng mã QR. Một mã QR là một URL được mã hóa dưới dạng hình ảnh đen trắng, vì vậy một địa chỉ như login-verify.example không còn là văn bản trong phần thân tin nhắn mà trở thành các điểm ảnh. Vấn đề không phải là địa chỉ được mã hóa; máy ảnh của bất kỳ ai cũng có thể giải mã nó ngay lập tức. Vấn đề là nó không còn được viết ở bất kỳ đâu mà bạn hoặc một trình phân tích văn bản có thể đọc được trước khi bạn thực hiện hành động.

Liệu một bộ lọc có thể vẫn đọc nó hay không hoàn toàn phụ thuộc vào sản phẩm. Trung tâm An ninh Mạng Quốc gia của Anh đặt giới hạn bằng những lời cẩn thận trong ghi chú của tháng hai năm 2024 về mã QR: "Không phải tất cả các công cụ bảo mật được thiết kế để phát hiện email lừa đảo đều quét hình ảnh." Lưu ý điều đó không nói gì. Nó không nói không có cái nào làm được. Microsoft công bố phía còn lại của nó vào tháng mười một năm 2024: Defender for Office 365, nó viết, "đã cải thiện khả năng trích xuất URL từ mã QR," sử dụng xử lý hình ảnh sớm trong luồng thư để "trích xuất và ghi lại URL ẩn trong mã QR," và nó hiện cũng trích xuất siêu dữ liệu QR và tìm kiếm mẫu xung quanh — phần thân tin nhắn tối thiểu, lure thương hiệu, chuỗi chuyển hướng. Vì vậy "bộ lọc không thể đọc nó" từng đúng với nhiều sản phẩm trong một thời gian, vẫn đúng với một số sản phẩm, và không phải là quy luật tự nhiên. Nếu bạn muốn biết liệu nó có đúng với dịch vụ thư của riêng bạn hay không, đó là một câu hỏi về sản phẩm và cấu hình của nhà cung cấp của bạn, không phải về mã QR.

Những con số có thể kiểm chứng được đến từ cùng một nhà cung cấp, và chúng đáng được đọc có kèm phạm vi. Bài viết của Microsoft tháng mười một năm 2024 mô tả một sự gia tăng với "một số cuộc tấn công tăng với tốc độ tăng trưởng 270% mỗi tháng," nói rằng "ở đỉnh cao, Defender for Office 365 đã chặn 3 triệu lần thử mỗi ngày," và sau khi công việc phát hiện được triển khai "chúng tôi đã thấy con số này giảm xuống 200,000 lần thử lừa đảo bằng mã QR mỗi ngày." Báo cáo Phòng thủ Kỹ thuật số 2026 của Microsoft đặt một tổng số trên quy mô hiện tại: 145+ triệu cuộc tấn công lừa đảo bằng mã QR được phát hiện giữa tháng bảy năm 2025 và tháng sáu năm 2026 bởi Defender for Office 365. Tất cả những con số đó là telemetry của một nhà cung cấp cho sản phẩm của riêng nó, được tự báo cáo. Chúng không phải là một phần của tất cả lừa đảo, và chúng không phải là tổng của ngành — một phiên bản trước của bài viết này trích dẫn một phần chia 25% mà không có bảo chứng từ bất kỳ ấn phẩm Microsoft nào, và con số đó đã được loại bỏ thay vì được thay thế.

Điều làm cho kỹ thuật này bền bỉ là sự chuyển giao, không phải mã hóa. Email đến một chiếc laptop, nơi có bộ lọc doanh nghiệp, trình duyệt được quản lý và trình quản lý mật khẩu. Mã được quét trên điện thoại, thường là một thiết bị cá nhân. NCSC liệt kê điều này trong những lý do tội phạm ưu tiên phương pháp: "Các thiết bị cá nhân có thể không có các biện pháp bảo vệ bảo mật giống như máy tính được cung cấp bởi nhà tuyển dụng của bạn." Trên điện thoại, thanh địa chỉ bị cắt ngắn, toàn bộ URL khó kiểm tra, và trình quản lý mật khẩu sẽ từ chối tự động điền trên miền sai là không liên quan gì cả.

Những chủ đề này là những dự đoán buồn tẻ, đó là điều gợi ý, và chúng xuất hiện trong các cảnh báo cho người tiêu dùng gần như từng từ một. Cảnh báo của FTC tháng mười hai năm 2023 mô tả những kẻ lừa đảo che phủ mã QR thực tế trên máy đo thời gian đỗ xe bằng nhãn dán của riêng họ, và cảnh báo rõ ràng: "Đừng quét mã QR trong email hoặc tin nhắn văn bản mà bạn không mong đợi," đặc biệt là mã đẩy bạn hành động ngay lập tức. Thông báo dịch vụ công cộng của FBI IC3 từ tháng giêng năm 2022 nói điều tương tự về can thiệp — "Những kẻ tội phạm mạng can thiệp vào cả mã QR kỹ thuật số và vật lý để thay thế mã hợp pháp bằng mã độc hại" — và bảo mọi người kiểm tra mã vật lý để tìm "nhãn dán đặt trên mã gốc." Một mã để kích hoạt lại xác thực nhiều yếu tố hết hạn, một yêu cầu chữ ký mà bạn không mong đợi, một thông báo vận chuyển yêu cầu bạn xác nhận giao hàng: mục tiêu thiết kế luôn là một lý do nhỏ, hợp lý để nâng điện thoại trước khi bất cứ điều gì được kiểm tra.

Vì vậy những bước phòng thủ là những bước nhàm chán, và chúng là những bước các cơ quan thực sự công bố. Lời khuyên của IC3, cho một tin nhắn muốn thanh toán hoặc đăng nhập sau khi quét: "gọi cho công ty để xác minh," sử dụng "số điện thoại của công ty thông qua một trang đáng tin cây thay vì số được cung cấp trong email," và "tránh thanh toán thông qua một trang được điều hướng từ mã QR. Thay vào đó, nhập thủ công một URL đã biết và đáng tin cây." Không có gì trong đó yêu cầu bạn phải phán đoán liệu một hình vuông cụ thể có nguy hiểm hay không — đó là phần mà không có con người nào là giỏi cả.

Một điều mà mã QR trong email không bao giờ cho bạn biết là liệu tin nhắn đó có bị giả mạo hay không. Xác thực miền trả lời một câu hỏi hoàn toàn khác, và đặc tả DMARC hiện tại rõ ràng đưa "phân tích nội dung" ra khỏi phạm vi của nó — điều này là lý do tại sao một tin nhắn được xác thực đầy đủ có thể chứa một hình ảnh độc hại. Cơ chế đó xứng đáng có riêng một lần đọc, và đó là chủ đề của một bài viết kèm theo trong loạt bài này.

Sửa lỗi, ngày 20 tháng 10 năm 2026. Một phiên bản trước của bài viết này nói rằng bộ lọc spam không thể đọc mã QR và những bộ quét bị mù với địa chỉ được mã hóa. Điều đó đúng với một số sản phẩm bảo mật email và không đúng với những sản phẩm khác: Microsoft đã ghi lại việc trích xuất URL từ mã QR trong Defender for Office 365 vào tháng mười một năm 2024, và cách nói của NCSC là không phải tất cả các công cụ đều quét hình ảnh. Bài viết cũng trích dẫn một con số khoảng 25% email lừa đảo sử dụng mã QR, được gán cho Microsoft; không có bảo chứng từ bất kỳ ấn phẩm Microsoft nào hỗ trợ phần chia đó nên con số đó đã bị loại bỏ và được thay thế bằng những con số Microsoft công bố trực tiếp, có nêu rõ sản phẩm và thời kỳ của họ. Một miền lừa đảo demo từng được hiển thị dưới dạng liên kết trực tiếp đã bị thay thế bằng một ví dụ không thể nhấp trong không gian dành riêng .example, và một trích dẫn trang chủ CISA đã bị thay thế bằng các cảnh báo FBI IC3 và FTC cụ thể.

@@END@@