מסנן הדואר הארגוני עושה בדיוק את מה שהוא נבנה לעשות. הוא מוציא כתובות מתוך גוף ההודעה, משווה אותן מול רשימות מוניטין, בודק גיל דומיין ומריץ בדיקות תוכן. כל זה עובד על טקסט. קוד QR הוא לא טקסט אלא רשת של ריבועים שחורים ולבנים, והכתובת שמוצפנת בתוכו לא קיימת בהודעה בשום צורה שמסנן יכול לקרוא.
זו לא פרצה שמישהו מצא. זו הנחת יסוד של הארכיטקטורה, והתוקפים פשוט מיישמים אותה. לפי דוח האיומים של ESET למחצית הראשונה של 2026, קודי QR זדוניים הוטמעו ב-11 אחוזים מכלל דואר הפישינג בתקופה הזאת. אחת מכל תשע הודעות פישינג כבר לא מנסה להסתיר קישור. היא מציירת אותו.
מה קורה בפועל כשעובד סורק את הקוד
נניח הודעה שנראית כמו בקשה לאימות מחדש של חשבון Microsoft 365, עם קוד QR ובקשה לסרוק אותו כדי להשלים את התהליך. העובד מרים את הטלפון האישי שלו וסורק.
ברגע הזה קרו שלושה דברים בבת אחת. ראשית, ההודעה עברה את מסנן הדואר, מפני שלא היה בה קישור לבדוק. שנית, העובד עזב את הסביבה המנוהלת: המחשב הארגוני מוגן, מנוטר ומעודכן, והטלפון הפרטי שלו לרוב לא נמצא תחת אף אחת מהבקרות האלה. שלישית, גם אם היה רוצה לבדוק לאן הקישור מוביל, הוא לא יכול. הכתובת חבויה בתוך התמונה, וזו בדיוק המטרה.
התוקפים מוסיפים על זה שכבה נוספת ומטמיעים את הקוד בתוך קובץ PDF או JPEG מצורף, כך שגם סריקת התמונות בגוף ההודעה לא רואה אותו. ESET מסמנת את המשפחה הזאת תחת השם QRCode/Phishing.
האם זה איום המוני או ממוקד
שניהם, וזה מה שמייחד אותו. בקצה ההמוני מדובר בקמפיינים רחבים שמתחזים לחברות משלוחים, לרשויות ולספקי שירות. בקצה הממוקד, הודעת FBI מינואר 2026 תיארה שימוש של קבוצת ה-APT הצפון קוריאנית Kimsuky בפישינג ממוקד מבוסס קוד QR נגד מכוני מחשבה, מוסדות אקדמיים וגופי ממשל.
הפער בין שני הקצוות חשוב לארגון ישראלי, מפני שהוא קובע מה ההגנה צריכה לעשות. קמפיין המוני נעצר בסינון ובמוניטין. תקיפה ממוקדת שנבנתה נגד ארגון מסוים לא תופיע באף רשימת מוניטין ביום שהיא נשלחת, ולכן הבלימה שלה חייבת לקרות אחרי הקליק ולא לפניו.
מה באמת עוצר את זה
ההגנה כאן היא לא מוצר בודד אלא רצף, מפני שהתקיפה עצמה חוצה שלוש סביבות: הדואר, המכשיר הנייד וההזדהות.
בשכבת הדואר, סינון ברמת השער עוצר את הקמפיינים ההמוניים ואת הקבצים המצורפים שנושאים את הקוד. זה החלק הזול והגדול מבחינת נפח, אבל הוא לא מיועד להתמודד עם קמפיין ממוקד.
בשכבת המכשיר, הגנה על הנייד היא הנקודה שבה רוב הארגונים בישראל חשופים בפועל. אם העובד סורק בטלפון פרטי בלי הגנה, אין שום בקרה בין הסריקה לבין דף ההזדהות המזויף. פתרון מובייל שחוסם את הכתובת בדפדפן הוא הבלימה האמיתית, מפני שהוא מגיע למקום שאליו התקיפה מכוונת.
בשכבת ההזדהות, אימות דו-שלבי עמיד לפישינג הוא ההבדל בין הדלפת סיסמה לבין השתלטות על חשבון. תוקף שהשיג שם משתמש וסיסמה בדף מזויף לא יכול להשתמש בהם אם הגורם השני קשור לדומיין האמיתי.
הטעות שחוזרת בהדרכות העובדים
כמעט כל הדרכת מודעות מלמדת לרחף מעל קישור ולקרוא את הכתובת לפני שלוחצים. ההוראה הזאת נכונה ובלתי ישימה מול קוד QR, ועובד שהודרך רק עליה מסיק שאין לו מה לבדוק. הכלל המעשי היחיד הוא אחר: קוד QR שהגיע בדואר אלקטרוני ומבקש הזדהות לא נסרק, והגישה למערכת נעשית דרך המסלול המוכר במחשב. מי שממילא מריץ תרגולי פישינג מדי רבעון צריך להוסיף לתרגול גם וריאנט של קוד סרוק, אחרת התרגול מודד סוג תקיפה שהפך למיעוט.
מאיפה מתחילים כשהחידוש מתקרב ארגון שמתקרב
למועד חידוש המינוי נמצא בנקודה הנוחה לבדוק את הרצף הזה, מפני שממילא נפתחת שיחה מסחרית. שלוש שאלות מספיקות: האם סינון הדואר בודק קבצים מצורפים ולא רק את גוף ההודעה; האם קיימת הגנה על המכשירים הניידים שהעובדים באמת סורקים בהם; והאם ההזדהות למערכות הליבה עמידה לפישינג או מסתמכת על קוד חד פעמי שניתן להעביר לתוקף.
ESET PROTECT מרכזת את השכבות האלה תחת ניהול אחד, כולל הגנה על תחנות, על שרתים ועל סביבת Microsoft 365, והגנת המובייל נכללת באותו ניהול. קומסקיור, המפיצה הרשמית של ESET בישראל, מבצעת את ההתאמה מול הסביבה הקיימת ואת הליווי בעברית לאורך התהליך, כך ששלוש השאלות מקבלות תשובה מתועדת ולא הערכה.