Quishing: QR Kodlarla Kimlik Avı Saldırıları ve Korunma Yolları

Quishing Nedir?

"Quishing" terimi, "QR" ve "phishing" (kimlik avı) kelimelerinin birleşiminden türetilmiştir. QR kodlarını kullanarak kişileri sahte web sitelerine veya zararlı içeriklere yönlendirme saldırısı türünü tanımlar.

Geleneksel e-posta kimlik avı saldırılarında sahte bağlantılar kolayca tespit edilebilir: fareyi bağlantının üzerine götürdüğünüzde gerçek URL görünür. Ancak QR kodlar bu görünürlüğü ortadan kaldırır — kodu taramadan içinde ne olduğunu bilemezsiniz. Bu özellik siber suçlular için cazip bir açık yaratmaktadır.

Quishing Nasıl Çalışır?

Saldırı senaryosu genellikle şu adımları izler:

1. Saldırgan, zararlı bir URL içeren bir QR kod oluşturur.
2. Bu QR kodu fiziksel (stiker, broşür, tabela) veya dijital (e-posta, PDF, sunum) ortamda dağıtır.
3. Kurban kodu tarar ve sahte bir sayfaya yönlendirilir.
4. Sahte sayfa; banka girişi, sosyal medya oturum açma, paket teslimat onayı gibi görünür.
5. Kurban bilgilerini girince saldırgan bunları ele geçirir.

Gerçek Dünyadan Quishing Örnekleri

Park Ücreti Dolandırıcılığı

Avrupa ve ABD'de araç park alanlarında resmi ödeme terminallerinin üzerine sahte QR kod stikerları yapıştırıldığı vakalar belgelendi. Araç sahipleri gerçek ödeme sitesi yerine sahte bir siteye yönlendirildi ve kredi kartı bilgilerini çaldırdı.

Kargo Teslimat SMS Quishing

"Paketiniz teslim edilemedi" içerikli SMS mesajlarında QR kod yer alıyor. Kod, resmi PTT veya kargo şirketi sayfasını taklit eden sahte bir siteye yönlendiriyor; kişisel bilgi ve ödeme talep ediliyor.

Kurumsal E-posta Quishing

Kurum içi e-postalara yerleştirilen sahte QR kodlar çalışanları şirket VPN veya e-posta giriş sayfası görünümlü phishing sitelerine yönlendiriyor.

Restoran Menü QR Kodu Değiştirme

Masa standındaki gerçek menü QR kodu üzerine sahte bir stiker yapıştırmak — bu senaryo fiziksel mekânlarda quishing için gerçek bir risk oluşturmaktadır.

Zararlı QR Kodunu Nasıl Tespit Edersiniz?

Taramadan Önce

Fiziksel Görünümü İnceleyin

• QR kodu üzerine yapıştırılmış bir stiker var mı? Kenarlar düzgün mü, yoksa üst üste binmiş mi?
• Tabelada veya materyalde QR kodun ortam kalitesiyle uyumsuz görünen bir baskı var mı?
• Kaynak güvenilir bir yerde mi konumlandırılmış?

Kaynak ve Bağlam

• QR kodu nerede, kim tarafından ve ne amaçla yerleştirilmiş?
• Beklenmedik bir yerde, anlaşılmaz bir amaçla mı görüntülüyorsunuz?
• Tanımadığınız birinden e-posta, SMS veya mesaj olarak mı geldi?

Tarama Anında

Modern iOS ve Android kamera uygulamaları kodu taradıktan sonra URL önizlemesi gösterir — doğrudan sayfayı açmaz. Bu önizleme ekranında dikkat edin:

• Alan adı (domain) tanıdık mı? ptt.gov.tr ile ptt-teslimat.xyz arasındaki farkı görün.
• HTTPS kullanılıyor mu? HTTP ile başlayan bağlantılar şifreli değildir; ancak HTTPS olması da güvenli olduğunu garanti etmez.
• URL çok uzun veya karmaşık mı? Kısa URL yönlendirme servisleri (bit.ly, tinyurl) gerçek hedefi gizler.
• URL'de yazım hatası var mı? paypall.com, arnazon.com gibi yaygın hata taktikleri.

Sayfaya Girdikten Sonra

• Beklenmedik bilgi talepleri var mı? (banka kartı, T.C. kimlik no, şifre)
• Sayfa tasarımı gerçek siteyle birebir uyuşuyor mu, ancak URL farklı mı?
• Aciliyet veya tehdit unsuru içeriyor mu? ("Hesabınız 24 saat içinde kapatılacak")
• Tarayıcı güvenlik uyarısı veriyor mu?

Kurumlar İçin Quishing Önlemleri

Şirketler çalışanlarını quishing'e karşı korumak için şu adımları atabilir:

Farkındalık Eğitimi

Çalışanlara QR kod tehditlerini içeren siber güvenlik eğitimi verin. Quishing, phishing eğitimlerinin önemli bir parçası haline gelmiştir.

Mobil Cihaz Yönetimi (MDM)

Kurumsal cihazlarda MDM çözümleri, şüpheli URL'lere otomatik engel koyabilir.

QR Kod Politikası

Şirket binasındaki QR kodların kim tarafından ve onaylanarak yerleştirildiğini takip edin. Yetkisiz stikerlere karşı periyodik denetim yapın.

E-posta Güvenlik Filtreleri

Gelen e-postalardaki QR kod görsellerini tarayan güvenlik filtreleri, kötü amaçlı URL'leri tespit edebilir.

Yayıncılar ve İşletmeler İçin Sorumluluk

İşletmenizde müşteriler için QR kod kullanıyorsanız, bu kodların güvenilir olduğunu garanti etmek sizin sorumluluğunuzdadır.

• QR kodlarınızı güvenilir araçlarla oluşturun: QRcito hiçbir üçüncü taraf veri toplanmaz, tüm işlem tarayıcıda gerçekleşir.
• Fiziksel materyallerdeki QR kodlarınızın üzerine stiker yapıştırılmadığını düzenli kontrol edin.
• Müşterilerinize hangi URL'ye yönlendireceklerini söyleyin: "bu kod qrcito.com/tr/ adresine gider" gibi bir not güveni artırır.

Güvenli QR Kod Kullanımı İçin Altın Kurallar

1. Bilinmeyen kaynaklardan gelen QR kodları taramayın.
2. URL önizlemesini her zaman okuyun, sayfayı açmadan önce kontrol edin.
3. Kişisel veya finansal bilgi isteyen sayfalara karşı şüpheci olun.
4. Hesap giriş bilgilerinizi QR kodla ulaştığınız bir sayfada asla girmeyin — önce URL'yi doğrudan tarayıcıya yazın.
5. Şüphe duyduğunuzda sayfayı kapatın ve resmi kanal üzerinden iletişime geçin.

Sonuç

QR kod teknolojisi güçlü ve pratik bir araçtır; ancak her araç gibi kötüye kullanılabilir. Quishing farkındalığı bu teknolojiyi güvenle kullanmanın temel koşuludur.

Güvenilir, kayıtsız ve KVKK uyumlu QR kodlar oluşturmak için: https://qrcito.com/tr/

QRcito'da hiçbir kullanıcı verisi toplanmaz, tarama istatistikleri kaydedilmez. Gizliliğiniz korunur.