二维码无法通过 DMARC 检查，这正是骗子喜欢它的原因

电子邮件防御不是一台机器。它至少是两台，回答的问题各不相同。第一台问的是谁被授权使用这个域名发送邮件。第二台问的是邮件包含的内容是否危险。二维码按设计可以通过第一台机器，至于能否通过第二台取决于谁在读你的邮件。

先看第一台机器，因为这是人们最容易叫错名字的地方。SPF 检查发送服务器是否被允许为某个域名发送邮件。DKIM 检查邮件上的密码学签名。DMARC 要求那个经过身份验证的标识符之一与可见的 From: 标头中的域名保持一致，并让域名所有者发布一个偏好设置，说明当该对齐失败时应发生什么。当前规范 RFC 9989 明确指出这是一个偏好而非命令："任何邮件的最终处理始终是本地策略的问题，由邮件接收者自行决定。"

现在来看对二维码很关键的部分。同一规范列出了故意排除在范围外的内容，那个列表中有两个字："content analysis"（内容分析）。DMARC 从未被设计用来读链接，也没有因为图像而失效。它对邮件正文根本没有意见。它还明确说了通过检查的价值："DMARC 通过检查本身不能保证送达收件人收件箱是安全或可取的。"所以一个犯罪分子注册一个一次性域名，在上面正确配置 SPF 和 DKIM，发布一条 DMARC 记录，就能向你发送一条通过所有身份验证检查的邮件。没有任何绕过。信封确实是由签署它的那一方签署的。那个方形图像是否通向某个会窃取你密码的地方——这个问题从来就不在身份验证层的表单上。

这个问题属于第二台机器，这是绝对值开始分崩离析的地方。邮件正文中的文本链接是内容过滤器可以提取、展开并与信誉数据对比的东西。二维码图像里的 URL 必须先从像素中恢复出来，这种能力并不普遍。英国国家网络安全中心在 Dave Chismon 于 2024 年 2 月发表的文章中准确指出了这一限制："并非所有旨在检测钓鱼邮件的安全工具都会扫描图像。"微软在 2024 年 11 月记录了另一面——Defender for Office 365 "增强了从二维码中提取 URL 的能力"，用图像处理在邮件流的早期阶段提取 URL，现在还能提取二维码元数据并给周围的图案评分。微软还发布了这在其自身遥测中带来的变化：在高峰时期它"每天阻止 3 百万次尝试"，检测工作上线后，"我们看到这个数字缩小到每天 200000 次二维码钓鱼尝试"。一家厂商，一款产品，自己报告的——但可验证，这比在这个话题中流传的行业范围百分比要好得多。本文的早期版本曾包含过这样的百分比；它被删除了，因为无法确定其来源。

美国联邦贸易委员会 2023 年 12 月 6 日的消费者警告由消费者教育专家 Alvaro Puig 发布，其中说明了日常版本的问题：骗子用自己的贴纸覆盖真实的停车计时器码、声称包裹无法送达的邮件、号称账户需要重新激活的邮件。其建议只有一句话，不需要你评估任何特定的码："不要扫描你没有期望收到的电子邮件或短信中的二维码。"美国联邦调查局的 IC3 公告来自 2022 年 1 月，添加了物理迹象——检查是否有"贴纸贴在原始码上"——以及程序性的建议：对于要求付款的邮件，"致电公司验证"，使用"通过受信任网站找到的号码而非邮件中提供的号码"，"避免通过从二维码导航到的网站进行付款。而是手动输入一个已知且受信任的 URL。"

然后是设备，这是它一直有效的真正原因。二维码不是在笔记本电脑上扫描的，笔记本电脑上有托管浏览器、公司过滤器和拒绝在错误域名上自动填充的密码管理器。它是在手机上扫描的，国家网络安全中心列出了罪犯青睐这种方法的原因之一："个人设备可能没有与雇主提供的计算机相同的安全保护。"在手机上地址栏被截断，完整 URL 很难检查，扫描的人通常站在某个地方，有点烦躁，不认真阅读。

所以诚实的总结比"过滤器是盲目的"要窄得多。域名身份验证正在工作并正确回答自己的问题。二维码图像的内容分析存在，已在某些产品中部署而非其他产品，并在至少其中一个产品中于 2024 年得到了可测量的改进。这种攻击之所以持续存在，是因为它将决定性的时刻转移到了一个设备上，该设备位于大多数那些机制之外，面前是一个多年来一直被训练将小方形视为便利的人。这个方形不会对过滤器说谎。它把对话转移到了你身上。

更正，2026 年 10 月 20 日。本文的早期版本说每个垃圾邮件过滤器和每个标头检查都是为了读文本而构建的，二维码对它们所有人都不可见。域名身份验证按设计不检查内容——DMARC 规范将"content analysis"列为超出范围——但内容过滤是一个独立的层，微软在 2024 年 11 月在 Defender for Office 365 中记录了二维码 URL 提取，而国家网络安全中心的措辞是并非所有工具都扫描图像。一份将 2023 年末 22% 的在线钓鱼归因于二维码的统计已被删除，因为找不到其主要来源；尚未用近似值替换它。对国家网络安全中心页面的引用（该页面实际上不讨论二维码）已替换为确实讨论的国家网络安全中心博客文章，美国联邦贸易委员会警告现已精确注明日期，演示钓鱼域名已替换为保留的 .example 命名空间上的非可点击示例。

@@END@@