QR kodlar restoran menülerinden ödeme noktalarına, etkinlik biletlerinden kampanyalara kadar hayatın birçok alanında kullanılıyor. Ancak bir QR kodun güvenli görünmesi, yönlendirdiği adresin de güvenli olduğu anlamına gelmiyor. Son yıllarda QR kodların kimlik avı amacıyla kullanıldığı saldırılar quishing olarak adlandırılıyor. Kullanıcı, telefon kamerasıyla kodu taradığında gerçek bir hizmete benzeyen sahte bir internet sitesine yönlendirilebiliyor ve burada parola, kart bilgisi veya doğrulama kodu istenebiliyor.
Bu rehberde QR kod dolandırıcılığının nasıl çalıştığını, sahte QR kodların nerelerde karşınıza çıkabileceğini ve telefonunuzda QR kodları daha güvenli kullanmak için hangi kontrolleri yapmanız gerektiğini anlatıyoruz.
QR kod dolandırıcılığı yani quishing nedir?
Quishing, QR kod kullanılarak gerçekleştirilen kimlik avı saldırılarının genel adıdır. Saldırgan QR kodun içine doğrudan kullanıcıdan bilgi istemek yerine bir web adresi yerleştirir. Kullanıcı kodu taradığında banka, kargo firması, sosyal medya platformu, e-posta servisi veya başka bir kurumun sitesine benzeyen sahte bir sayfa açılabilir.
Buradaki kritik nokta QR kodun kendisi değildir. Asıl kontrol edilmesi gereken, kodun yönlendirdiği URL ve açılan sayfanın kullanıcıdan istediği bilgilerdir. Örneğin bir QR kod menü açması gerekirken sizden banka parolası istiyorsa işlem hemen sonlandırılmalıdır.
Sahte QR kodlar nerelerde bulunabilir?
- Otopark ve ödeme noktaları: Gerçek QR kodun üzerine başka bir etiket yapıştırılabilir.
- Restoran ve kafeler: Menü veya kampanya kodları fiziksel olarak değiştirilebilir.
- E-posta ve mesajlar: Mobil cihazlarda bağlantıyı daha az görünür hale getirmek için QR görseli kullanılabilir.
- Kargo bildirimleri: Adres doğrulama veya küçük bir teslimat ücreti bahanesiyle sahte sayfa açılabilir.
- Sosyal medya kampanyaları: Çekiliş ve ödül vaadiyle giriş bilgileri istenebilir.
- Etkinlik ve biletler: Bilet doğrulama bahanesiyle kişisel bilgiler toplanabilir.
- Wi-Fi bağlantıları: Ücretsiz internet adı altında sahte giriş sayfaları kullanılabilir.
QR kodun güvenli olup olmadığı nasıl anlaşılır?
1. Alan adını kontrol edin
QR kodu taradıktan sonra açılan bağlantıyı hemen kullanmayın. Önce alan adını okuyun. Gerçek hizmetin alan adı ile ona benzeyen sahte bir alan adı arasında yalnızca bir harf veya küçük bir ek bulunabilir. Özellikle banka, kargo, e-posta ve sosyal medya hesaplarında bu kontrol önemlidir.
2. HTTPS var diye siteye güvenmeyin
Adres çubuğunda HTTPS bulunması bağlantının şifreli olduğunu gösterir ancak sitenin meşru olduğunu tek başına kanıtlamaz. Dolandırıcılar da HTTPS kullanan alan adlarında sahte siteler çalıştırabilir. Bu nedenle HTTPS ile birlikte alan adını ve sayfanın sizden istediği bilgileri değerlendirin.
3. Beklemediğiniz QR kodlara şüpheyle yaklaşın
Size hiç beklemediğiniz halde gelen bir QR kodun neden gönderildiğini düşünün. Bir kargo teslimatı, banka işlemi veya hesap doğrulaması beklemiyorsanız bağlantıya girmek yerine ilgili şirketin resmi uygulamasını kendiniz açın.
4. Aciliyet mesajlarına dikkat edin
“Hesabınız kapanacak”, “ödemeniz bugün tamamlanmalı”, “paketiniz iade edilecek” veya “hemen doğrulama yapın” gibi ifadeler kullanıcıyı düşünmeden işlem yapmaya yönlendirebilir. Gerçek bir işlemden şüpheleniyorsanız mesajdaki QR kod yerine kurumun resmi uygulamasını veya adresini kendiniz açın.
5. Gereksiz bilgi isteyen sayfadan çıkın
Basit bir menü, bilet veya kampanya sayfasının banka parolası, SMS doğrulama kodu ya da kart güvenlik kodu istemesi ciddi bir uyarıdır. Böyle bir durumda bilgileri girmeden sayfayı kapatın.
Android ve iPhone’da QR kod kullanırken nelere dikkat edilmeli?
Güncel telefonların çoğunda QR kod taramak için kamera uygulaması yeterlidir. Sırf QR kod okumak için kaynağı belirsiz üçüncü taraf uygulamalar yüklemek çoğu durumda gerekli değildir. Uygulama yüklemeniz gerekiyorsa geliştiriciyi, yorumları, izinleri ve uygulama mağazasındaki bilgileri kontrol edin.
QR kod tarandığında ekranda çıkan bağlantıyı açmadan önce alan adını inceleyin. Telefonunuz bağlantıyı önizliyorsa bu önizleme, hedef adresi anlamak için kullanılabilir. Şüpheli bir alan adı görürseniz devam etmeyin.
Telefon güvenliğinde güncellemeler de önemlidir. İşletim sistemi ve uygulama güncellemeleri güvenlik açıklarının kapatılmasına yardımcı olur. Ayrıca gereksiz uygulamaları kaldırmak cihazdaki risk alanını azaltabilir. Depolama düzeni için telefon depolama alanı boşaltma rehberimize bakabilirsiniz.
QR kod ile ödeme yaparken güvenlik
Ödeme amacıyla kullanılan QR kodlarda ekstra dikkat gerekir. İşlem öncesinde alıcı adı, tutar ve ödeme ekranındaki diğer bilgileri kontrol edin. QR kod sizi bir internet sitesine yönlendiriyorsa ödeme yapmadan önce alan adının gerçekten ilgili kuruma ait olduğundan emin olun.
Şüpheli bir ödeme ekranında banka parolanızı veya SMS ile gelen tek kullanımlık kodu paylaşmayın. İşlemi iptal edip bankanın resmi uygulamasını doğrudan açmak daha güvenlidir. Bir işlemden şüpheleniyorsanız bankanın resmi müşteri hizmetleri kanalından bilgi alın.
QR kod ile gelen sahte Wi-Fi bağlantıları
Oteller, kafeler, etkinlik alanları ve diğer ortak kullanım alanlarında QR kodla Wi-Fi bağlantısı sunulabiliyor. Burada iki ayrı risk vardır: QR kodun sahte olması ve bağlanılan ağın güvenilir olmaması.
Herkese açık ağlarda banka veya başka hassas hesaplara giriş yaparken dikkatli olun. Ev internetinizde bağlantı problemi yaşıyorsanız rastgele QR kodlarla modem ayarlarını değiştirmek yerine Wi-Fi hızlandırma ve internet bağlantısını güçlendirme rehberimize veya Wi-Fi çekim gücünü artırma rehberimize göz atabilirsiniz.
Yanlışlıkla şüpheli QR kodu taradıysanız ne yapmalısınız?
Sadece QR kodu taramak, hesabınızın ele geçirildiği anlamına gelmez. Risk, sonrasında ne yaptığınıza bağlıdır. Sayfayı açtıysanız ancak bilgi girmediyseniz sayfayı kapatın ve indirilmiş bir dosya varsa kaynağını kontrol etmeden açmayın.
Kullanıcı adı ve parola girdiyseniz ilgili hesabın resmi uygulamasından parolayı değiştirin. Aynı parolayı başka hesaplarda kullanıyorsanız onları da kontrol edin. İki aşamalı doğrulama destekleniyorsa etkinleştirmek hesabın güvenliğini artırabilir.
Kart veya banka bilgisi girdiyseniz bankanızın resmi uygulamasından ya da resmi müşteri hizmetlerinden hemen iletişime geçin. SMS doğrulama kodu paylaştıysanız hesap hareketlerini kontrol edin. Tanımadığınız bir uygulama indirdiyseniz uygulamanın kaynağını ve izinlerini inceleyin.
QR kod dolandırıcılığına karşı 7 maddelik kontrol listesi
- QR kodun neden ve kim tarafından verildiğini düşünün.
- Tarama sonrasında çıkan URL’yi kontrol edin.
- Alan adının gerçek hizmete ait olduğundan emin olun.
- HTTPS’yi tek başına güvenlik kanıtı saymayın.
- Acele ettiren mesajlara karşı temkinli olun.
- Parola, kart bilgisi veya SMS kodu isteyen şüpheli sayfalardan çıkın.
- Ödeme ve hesap işlemlerini mümkünse kurumun resmi uygulamasından yeniden doğrulayın.
QR kodlar tamamen güvensiz mi?
Hayır. QR kodlar son derece kullanışlı bir teknolojidir ve günlük hayatta güvenli biçimde kullanılabilir. Güvenlik açısından doğru yaklaşım, QR kodu bir kısayol olarak görmek ve kısayolun götürdüğü adresi ayrıca doğrulamaktır.
Bir e-postadaki bağlantıya tıklamadan önce göndereni ve adresi kontrol ettiğiniz gibi QR kod sonrasında açılan sayfayı da kontrol edin. Özellikle ödeme, kargo, banka, sosyal medya ve kamu hizmetleri gibi hesap veya para içeren işlemlerde bu alışkanlık önemlidir.
Resmî kaynaklar
QR kod üzerinden yapılan kimlik avı saldırıları hakkında CISA ve FTC’nin tüketici bilgilendirmeleri incelenebilir:
QR kod dolandırıcılığında en sık yapılan hatalar
QR kod kullanırken yapılan en yaygın hata, kodu tarayan uygulamanın güvenlik kontrolü yaptığını varsaymaktır. Telefonun bağlantıyı açabilmesi, bağlantının güvenilir olduğunu göstermez. Kamera yalnızca kodun içindeki veriyi okuyabilir; bağlantının hangi kuruma ait olduğunu kullanıcı olarak sizin kontrol etmeniz gerekir.
Bir başka hata da sayfanın tasarımına fazla güvenmektir. Dolandırıcılar bankaların, kargo firmalarının veya sosyal medya servislerinin renklerini ve logolarını taklit edebilir. Bu nedenle logo, yazı tipi veya sayfa düzeni yerine alan adını kontrol etmek daha anlamlıdır. Özellikle giriş yapmanız isteniyorsa adres çubuğunu dikkatlice okuyun.
Mobil cihazlarda kullanıcıların adres çubuğunu daha az incelemesi de saldırganların işine yarayabilir. QR kod tarandığında açılan sayfayı tam ekran bir uygulama gibi düşünmeyin. Adres çubuğunu görünür hale getirerek alan adını kontrol edin ve şüpheli bir yönlendirme varsa işlemi durdurun.
Fiziksel QR kodlarda ise kodun üzerine sonradan yapıştırılmış bir etiket olup olmadığına bakın. Otopark, restoran veya ödeme noktası gibi yerlerde QR kodun üzerinde ikinci bir etiket, farklı bir baskı veya oynama izi görürseniz görevliye danışın. Kurumun resmi uygulamasından aynı işlemin alternatif bir yolunu bulmak daha güvenlidir.
Güvenli QR kod kullanımında pratik alışkanlıklar
Günlük kullanımda birkaç basit alışkanlık riski azaltabilir. Öncelikle QR kodu taramadan önce kodun kaynağını düşünün. Daha sonra tarama sonucundaki adresi inceleyin. İşlem para veya hesap güvenliğiyle ilgiliyse QR kod üzerinden devam etmek yerine hizmetin resmi uygulamasını açmayı tercih edin.
Şifre yöneticisi kullanan kullanıcılar için de alan adı kontrolü önemlidir. Şifre yöneticisinin otomatik doldurma davranışı, beklemediğiniz bir alan adına bilgi girmeden önce bir uyarı işareti olabilir. Otomatik doldurma çalışmıyorsa bunu aşmak için bilgileri elle kopyalamak yerine önce alan adını doğrulayın.
Son olarak QR kodla gelen bir kampanya veya ödül teklifinin gerçek olup olmadığını sosyal medya paylaşımından değil, ilgili kurumun resmi kanallarından doğrulayın. Böylece hem sahte QR kodları hem de QR koddan sonra açılan sahte formları daha erken fark edebilirsiniz.
QR kodla ilgili şüpheli bir durum yaşandığında karar ağacı
Şüpheli bir QR kodla karşılaştığınızda ne yapacağınızı hızlıca belirlemek için şu sırayı izleyin. Önce kodun nerede bulunduğunu ve beklediğiniz bir işlemle ilişkili olup olmadığını değerlendirin. Beklemediğiniz bir ödeme, kargo veya hesap doğrulaması için gönderildiyse bağlantıyı açmak yerine ilgili kurumun uygulamasını kendiniz açın.
Bağlantıyı zaten açtıysanız, sayfada hiçbir bilgi girmeden kapatmak ile parola veya ödeme bilgisi paylaşmak arasında önemli bir risk farkı vardır. Bilgi girmediyseniz sayfayı kapatın ve cihazınıza bir dosya indirilip indirilmediğini kontrol edin. Parola girdiyseniz parolayı resmi kanaldan değiştirin; ödeme bilgisi paylaştıysanız bankanızla resmi kanaldan iletişime geçin.
Bir QR kodun gerçek olup olmadığından emin değilseniz, kodun bulunduğu işletmenin çalışanına danışın veya kurumun resmi iletişim bilgilerini kendiniz bulun. QR kodun yanına yapıştırılmış farklı bir etiket, alışılmadık bir alan adı veya gereksiz kişisel bilgi talebi varsa işlemi durdurun. Bu kısa kontrol, aceleyle hareket etmekten daha güvenlidir.
Sonuç
QR kod dolandırıcılığından korunmanın en önemli kuralı şudur: QR kodun görüntüsüne değil, yönlendirdiği adrese güvenlik kontrolü uygulayın. Beklemediğiniz QR kodları tararken acele etmeyin, alan adını kontrol edin, HTTPS’yi tek başına yeterli görmeyin ve sizden istenen bilgilerin gerçekten gerekli olup olmadığını sorgulayın.
Küçük bir URL kontrolü; hesap, kişisel bilgi veya finansal kayıp yaşama riskini önemli ölçüde azaltabilir. Şüpheli bir işlemde en güvenli seçenek, QR kod üzerinden devam etmek yerine ilgili kurumun resmi uygulamasını veya web sitesini kendiniz açmaktır.
