用途：识别与防范二维码钓鱼（quishing）——攻击者把恶意 URL 嵌入邮件中的二维码图片，绕过传统基于文本链接的邮件安全扫描。资料称 2025 年 8 月至 11 月 quishing 事件从 46,000 增至 250,000，凭证钓鱼占 89.3%。
主要能力与流程：
- 启用基于图像的威胁检测：让邮件网关扫描内嵌图片中的二维码，对 PNG、JPG、GIF、BMP 附件启用 OCR，部署结合图像处理、OCR 与 NLP 的多模态 AI，并扫描 PDF 附件及 ASCII/文本形式二维码。
- 配置二维码 URL 分析：提取二维码中的 URL 并提交信誉服务，对提取 URL 应用与文本 URL 相同的扫描策略，启用实时沙箱分析与点击时保护，拦截已知钓鱼域名。
- 移动端防护：部署具备二维码扫描能力的移动威胁防御（MTD），如 Palo Alto ALFA 或同类方案，用 MDM 策略在打开扫描 URL 前警告用户，启用企业 VPN/安全浏览器，在移动代理层拦截凭证窃取域名。
- 构建检测规则：对仅含图片和极少文本的邮件告警，标记来自外部首次发件人的二维码图片邮件，检测紧迫性措辞与二维码同时出现，告警冒充 IT/安全团队要求扫码配置 MFA 的邮件，关注 MFA 重置、文件签署、语音留言通知等主题。
- 用户培训：在安全意识计划中加入二维码钓鱼场景，开展受控模拟演练，教导用户输入凭证前核实二维码目标 URL，建立可疑二维码邮件上报流程。
适用场景：SOC 分析师调查相关安全事件、构建检测规则与威胁狩猎查询、验证安全监控覆盖。
限制与前提：需要具备图像分析能力的邮件安全网关、对二维码结构的理解、MDM 或移动威胁防御、安全意识培训计划及 SIEM。资料指出基于模式的检测存在误报与漏报权衡，quishing 与合法二维码邮件的平均相似度为 0.209，图片附件中的二维码需 OCR 与深度图像处理；2025 年出现拆分二维码、嵌套二维码、ASCII 二维码、艺术化二维码、PDF 附件二维码等规避手法。验证指标包括受控测试检出、规避手法捕获、URL 沙箱分析、移动端告警、模拟上报率超 50%、误报率低于 1%。具体产品价格与部署细节暂未提供。