QR Kod Dolandırıcılığı (Quishing): Tanıma ve Korunma

Quishing, QR kod ile phishing kelimelerinin birleşiminden türüyor ve saldırganın hedefi klasik kimlik avıyla aynı: kullanıcıyı sahte bir sayfaya yönlendirip bilgilerini almak. Farkı giriş kapısında. Bir bağlantıya tıklamadan önce fare imlecini üzerinde bekletip adresi görebilirsiniz; QR kodda bu önizleme yok, kod taranana kadar hangi adrese gittiğini bilemezsiniz. Bu görünmezlik, saldırganı sıradan bir karenin arkasına gizler.

Bu yazıda quishing'in nasıl işlediğini, saldırının fiziksel ve dijital biçimlerini, kurumsal ortamdaki riskini ve taramadan önce ile sonra uygulanacak somut kontrolleri ele alıyorum. Amaç QR koddan kaçınmak değil, onu güvenle kullanmayı öğrenmek.

Quishing Nedir, Klasik Kimlik Avından Farkı Ne

Klasik bir kimlik avı e-postasında bağlantının üzerine gelmek hedef adresi gösterir; tarayıcı ve e-posta istemcileri bu önizlemeyi sunar. QR kodda böyle bir önizleme yoktur, kod ancak tarandıktan sonra adresini açar. Saldırgan bu boşluktan yararlanır: kötü amaçlı bağlantıyı sıradan görünen bir karenin arkasına saklar.

ABD Federal Ticaret Komisyonu (FTC), 2023 yılında tüketicilere yönelik bir uyarıda sahte park cezası bildirimlerine yapıştırılan QR kodlarını ve paket teslimat mesajlarındaki sahte kodları örnek göstermişti. Güncel örnekleri FTC'nin tüketici bilgilendirme sayfasından takip edebilirsiniz.

Quishing'i klasik kimlik avından ayıran bir diğer nokta, fiziksel dünyaya taşınabilmesi. E-posta filtreleri metin tabanlı bağlantıları tarayabilir, ama bir masaya yapıştırılmış kağıt üzerindeki QR kodu hiçbir yazılım göremez. Bu yüzden quishing'e karşı savunma teknik bir önlemden çok davranışsal bir alışkanlık meselesine dönüşüyor.

Saldırının İşleyiş Biçimleri

Quishing üç yöntemle karşınıza çıkar. İlki fiziksel manipülasyon: saldırgan bir otoparktaki ödeme kodunun ya da restoran menüsündeki kodun üzerine kendi QR kodunu içeren bir etiket yapıştırır. Kullanıcı gerçek kodu taradığını sanır, oysa saldırganın hazırladığı sahte ödeme sayfasına yönlenir.

İkinci yöntem dijital dağıtım. Kötü amaçlı QR kod e-posta ekinde, bir mesajlaşma uygulamasında ya da sahte bir belgede gelir. "IT departmanından" görünen ve "şifrenizi QR kod ile sıfırlayın" diyen bir kurumsal e-posta bu kategoridedir; kullanıcı kodu telefonuyla tarar ve giriş bilgilerini sahte sayfaya yazar.

Üçüncü yöntem, meşru bir hizmetin QR kod akışını taklit etmek. "Biletinizi QR kod ile doğrulayın" ya da "kargo takibi için tarayın" mesajı, kullanıcıyı gerçek hizmete çok benzeyen sahte bir siteye gönderir. Orada girilen kart bilgileri doğrudan saldırgana ulaşır.

Üç yöntem de aynı zayıf noktadan besleniyor: kullanıcı QR kodu sıradan bir bağlantı gibi görmüyor, ona normal bir bağlantıya gösterdiği şüpheyi göstermiyor. Bir güvenlik duvarı ya da antivirüs, kullanıcının kendi telefonuyla taradığı kodu çoğu zaman hiç göremiyor; bu boşluk teknik önlemle değil, farkındalıkla kapanıyor.

Sahte Bir QR Bağlantısı Neye Benzer

Bir QR kod tarandığında telefon ekranında genelde bir önizleme çıkar. Gerçek ve sahte örneği yan yana koyduğunuzda fark daha net görülür:

Gerçek:  https://www.bankaadi.com.tr/giris
Sahte:   https://bankaadi-guvenlik-dogrulama.com/giris
Sahte:   https://www.banka-adi.com.tr.girisformu.net/

İlk sahte örnekte marka adının yanına eklenmiş fazladan kelimeler dikkat çeker. İkincisinde gerçek alan adı görünür ama asıl kök alan adı (.net ile biten kısım) tamamen farklı bir adrese aittir. Bu ikinci kalıp, akıllı telefonun küçük ekranında fark edilmesi zor bir tekniktir.

Taramadan Önce Kontrol Edilecekler

QR kodu taramadan önce birkaç saniyelik kontrol, saldırıların çoğunu boşa çıkarır:

• Kod fiziksel bir yüzeyde mi, üzerine yapıştırılmış ayrı bir etiket, kabartı ya da renk farkı var mı kontrol edin.
• Kodun kaynağı beklediğiniz biri mi? Beklenmedik bir e-posta veya mesajdaki kod her zaman şüpheli sayılmalı.
• Kod sizi aceleye getiren bir mesajla mı geliyor, "hemen tarayın" ya da "hesabınız 24 saat içinde kapanacak" gibi? Aciliyet vurgusu klasik bir sosyal mühendislik işaretidir.

Bu üç kontrol, saldırının çoğu türünü taramadan önce eler. Aciliyet vurgusu, hem quishing'de hem klasik kimlik avında saldırganların en sık başvurduğu psikolojik baskı yöntemidir; düşünme süresini kısaltarak kurbanın kontrolleri atlamasını sağlar.

Tarama Sonrası: URL'yi Okumadan İlerlemeyin

Çoğu telefon kamerası veya QR uygulaması, kodu taradıktan sonra hedef adresi bir önizleme balonunda gösterir. Tıklamadan önce bu adresi okumak, sahte siteleri yakalamanın en pratik yoludur. Marka adının yanına eklenmiş fazladan kelimeler ya da tanıdık bir alan adının yanlış yazılmış hâli, yukarıdaki örnekte olduğu gibi tipik uyarı işaretleridir.

Hedef site giriş bilgisi, kart numarası ya da kimlik bilgisi istiyorsa, QR kod üzerinden devam etmek yerine ilgili kurumun resmî uygulamasını ya da bilinen web adresini elle açmak çok daha güvenlidir. Bankalar ve kargo şirketleri neredeyse hiçbir zaman QR kod üzerinden doğrudan şifre girişi istemez; böyle bir istek başlı başına kırmızı bayrak sayılmalıdır.

Kurumsal Ortamda Quishing Riski

İşyerinde quishing'in hedefi genelde kurumsal giriş bilgileri ya da iç ağa erişimdir. Sahte bir "VPN erişiminizi QR kod ile yenileyin" e-postası, çalışanın kurumsal kimlik bilgilerini sahte bir Microsoft 365 giriş sayfasına yazmasına yol açabilir. Bu senaryoda çok faktörlü kimlik doğrulama tek başına yetmez, çünkü saldırgan gerçek zamanlı bir proxy sayfasıyla doğrulama kodunu da yakalar.

Kurumsal savunmanın iki ayağı var: teknik ve insani. Teknik tarafta e-posta filtreleme sistemlerinin QR kod içeren ekleri taraması ve şüpheli bağlantı hedeflerini engellemesi gerekir. İnsani tarafta ise çalışanlara "QR kod da bir bağlantıdır, kaynağını sorgulamadan taramayın" mesajını düzenli hatırlatmak, teknik filtrelerin kaçırdığı vakaları kapatır.

Güvenlik ekipleri bu iki katmanı birlikte düşünmeli. En iyi e-posta filtresi bile çalışanın masasındaki kağıda yapıştırılmış sahte bir kodu yakalayamaz; bu boşluğu ancak farkındalık kapatır. Yılda bir eğitim yerine üç ayda bir kısa bir hatırlatma e-postası göndermek, bu farkındalığı daha uzun süre canlı tutar.

Güvenli QR Kod Kullanımı İçin Pratik Alışkanlıklar

Aşağıdaki tablo, sık karşılaşılan QR kod senaryolarını ve önerilen davranışı özetliyor:

Güvenlik özellikli bir QR tarayıcı uygulaması ek bir koruma katmanı sağlar; bu uygulamaların bir kısmı taramadan önce adresi kötü amaçlı site veritabanlarıyla karşılaştırır. Böyle bir uygulama telefonun varsayılan kamerasına göre ekstra bir güvenlik adımı ekler ve çoğu zaman ücretsiz indirilebilir.

En güçlü savunma basit bir refleks olarak kalıyor: kodu taramadan önce "bu kaynağa neden güveniyorum" sorusunu bir saniye sormak, quishing'in dayandığı otomatik güveni kırar. Bu alışkanlığı kazandıktan sonra, hem fiziksel hem dijital QR kod saldırılarının büyük bölümü kendiliğinden etkisiz kalır.

Yazan Celil Uyanikoglu

Bilgisayar mühendisiyim; 25 yılı aşkın süredir bilgi işlem sektörünün içindeyim. Bu blogu 2020'de, işimde her gün karşılaştığım sorunların çözümlerini bir yere yazmak için açtım: Linux, güvenlik, tarayıcılar, yapay zeka araçları. Yazdığım her rehberi önce kendi bilgisayarımda ya da sunucumda deniyorum; çalıştığını görmediğim adımı yayınlamam. Hatalı ya da eskimiş bir şey görürsen iletişim sayfasından yaz — düzeltirim.