Sahte QR Kod Dolandırıcılığı (Quishing) Nedir, Nasıl Korunursunuz?

Kısacası tehlike kodun kendisinde değil, kodun açtığı adrestedir. Biz Talha Aslan ve ekibi olarak bu rehberde konuya iki taraftan bakıyoruz: kodu okutan kişi ve kodu basan işletme. Kendi kodunuzu güvenle üretmek isterseniz ücretsiz QR kod oluşturucu aracımızı kullanabilirsiniz. Araç kodu tamamen tarayıcınızda üretir; girdiğiniz veri sunucuya gitmez.

Quishing kelimesi İngilizce QR ve phishing kelimelerinin birleşiminden gelir. Phishing, yani oltalama, güvendiğiniz bir kurumu taklit eden sahte bir sayfayla bilgi toplama girişiminin genel adıdır. QR kod ise bu saldırıda bağlantıyı taşıyan araçtır. Bu nedenle klasik oltalama uyarılarının çoğu burada da geçerlidir; fark, adresi okumadan önce yalnızca siyah beyaz kareler görmenizdir.

Sahte QR kod saldırısı adım adım nasıl işler?

Bir QR kod, içine yazdığınız metni kareler halinde saklayan iki boyutlu bir barkoddur. Çoğu zaman bu metin bir web adresidir. Telefonunuzun kamerası kodu çözer ve adresi açmayı önerir. Kodun teknik yapısını ISO/IEC 18004 standardı tarif eder; kodu geliştiren Denso Wave de resmi sitesinde hata düzeltme seviyelerini açıklar.

Ancak standart, kodun nasıl okunacağını belirler; kodun nereye götürdüğünü denetlemez. Yani geçerli bir QR kod ile güvenli bir QR kod aynı şey değildir. Tipik bir saldırı şu sırayı izler:

1. Saldırgan, tanıdığınız bir kurumu taklit eden sahte bir sayfa hazırlar.
2. Bu sayfanın adresini bir QR koda çevirir.
3. Kodu bir çıkartmaya basar, e-postaya ekler ya da bir mektuba koyar.
4. Kodu okutan kişi sahte sayfaya ulaşır ve bilgilerini girer.
5. Saldırgan bu bilgilerle hesabı ele geçirir veya ödemeyi kendine yönlendirir.

Bazı durumlarda sayfa bilgi istemek yerine bir uygulama ya da dosya indirmenizi ister. Kanada Siber Güvenlik Merkezi de QR kod güvenliği rehberinde gerçek kodun yerine konan ve zararlı siteye ya da kötü amaçlı yazılıma götüren kodlardan söz eder. Ayrıca saldırgan çoğu zaman acele duygusu yaratır. Örneğin "cezanız artacak" veya "hesabınız kapanacak" gibi ifadeler, kontrol etmeden işlem yapmanızı kolaylaştırır.

Dolandırıcılar neden bağlantı yerine QR kod kullanır?

Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC), QR kodların gerçek riskini anlattığı yazısında bu tercihin üç nedenini sıralar:

• İnsanlar şüpheli bağlantılara ve kısa linklere artık daha temkinli bakar; QR kod ise adresi tamamen gizler.
• Oltalama e-postalarını yakalayan araçların hepsi görselleri taramaz. Kod bir resim olduğu için filtreyi aşabilir.
• Kodu çoğu zaman kişisel telefonunuzla okutursunuz. Bu telefon, şirket bilgisayarındaki korumalara sahip olmayabilir.

Almanya Federal Bilgi Güvenliği Ofisi (BSI) da benzer bir noktaya dikkat çeker. BSI'nin oltalama sayfasına göre virüs tarayıcıları QR kodları zararsız bir görsel olarak değerlendirir ve bu yolla gizlenen dolandırıcılık girişimlerini tanımaz.

Kısacası QR kod, adresi hem sizden hem de filtreden saklar. Üstelik telefon ekranı küçük olduğu için adres çubuğunu dikkatle okumak zorlaşır. Saldırgan bu iki boşluğu birleştirir: siz adresi görmeden sayfaya girersiniz, sayfa da tanıdık bir logoyla güven verir.

Otoparkta QR kod dolandırıcılığı nasıl görünür?

Örnek senaryo: Açık bir otoparkta ödeme makinesinin üzerinde "Hızlı ödeme için okutun" yazan bir çıkartma var. Biri, gerçek kodun üstüne aynı boyutta ikinci bir etiket yapıştırmış. Kodu okutan sürücü, belediyenin ödeme sayfasına benzeyen bir sayfaya gider ve kart bilgisini girer. Ekranda başarılı ödeme benzeri bir mesaj çıkar, ama kart bilgisi saldırgana geçer.

NCSC'ye göre QR kodlarla ilgili dolandırıcılığın büyük kısmı istasyon ve otopark gibi açık alanlarda yaşanır. Üstelik bu saldırılar sıklıkla bir sosyal mühendislik adımıyla birleşir; örneğin ardından bankacı gibi davranan biri sizi arar. BSI de park makinelerinde üstü kapatılan ödeme kodlarına dair uyarı yayımlamıştır.

Fiziksel bir kodda şu işaretlere bakın:

• Kod sonradan yapışmış bir çıkartma gibi duruyor; kenarları kalkık veya eğri.
• Aynı yüzeyde iki kod var ya da bir kod diğerinin üstünde.
• Etiket, makinenin geri kalanıyla aynı renk ve yazı tipinde değil.
• Makinede kart veya resmi uygulama seçeneği varken kod sizi farklı bir yola çağırıyor.

Böyle bir durumda kodu okutmayın. Bunun yerine makinenin kendi ödeme yöntemini, otopark işletmecisinin resmi uygulamasını ya da tabelada yazan adresi elle yazarak kullanın. Ardından durumu otopark işletmecisine bildirin; böylece sonraki sürücüleri de korursunuz.

Restoran menüsündeki QR kod güvenli mi?

Çoğu zaman evet. NCSC, restoran ve kafe gibi mekânlardaki QR kodların büyük olasılıkla güvenli olduğunu belirtir. Bunun mantıklı bir açıklaması var: kod işletmenin kontrolündedir ve personel sürekli oradadır. Yine de masadaki kod bir etiketse ve yanında başka bir kod daha varsa, personele sorun.

Kanada Siber Güvenlik Merkezi de başka bir kodun üstünü kapatıyor olabilecek etiketleri okutmadan önce personelden doğrulama istemenizi önerir. Belki işletme yalnızca kodunu güncellemiştir; sormak birkaç saniye sürer. Ayrıca menü gibi basit içerikler için adresi elle yazmak riski tamamen ortadan kaldırır.

Örnek senaryo: Menü kodunu okutuyorsunuz ama menü yerine "ücretsiz internet için e-posta hesabınızla giriş yapın" diyen bir sayfa açılıyor. Menü görmek için hiçbir hesap parolası gerekmez. Dolayısıyla bu istek tek başına alarm işaretidir; sayfayı kapatın ve personele haber verin.

İşletme sahibiyseniz menü için QR mı yoksa uygulama mı sorusunu restoran için mobil uygulama mı QR menü mü yazımızda karşılaştırdık. Hangisini seçerseniz seçin, kodun açtığı sayfanın sizin alan adınızda olması güveni artırır.

E-postadaki QR kod neden en riskli kanaldır?

NCSC, e-postalardaki QR kodlara karşı temkinli olmanızı ister ve bu tür quishing saldırılarının arttığını belirtir. BSI ise daha net konuşur: bankadan veya bir kurumdan geliyormuş gibi görünen e-postalardaki QR kodları, e-posta ne kadar ciddi görünürse görünsün okutmayın. Bunun yerine kurumla telefon gibi başka bir kanaldan iletişime geçin.

Örnek senaryo: Konu satırında "İki adımlı doğrulamanızın süresi doluyor" yazan bir e-posta geliyor. Şirket logosu var, metinde tek bir bağlantı yok, yalnızca bir QR kod var. Telefonla okuttuğunuzda şirket giriş sayfasının bir kopyası açılıyor ve parolanızı istiyor.

Bu senaryonun ince noktası şu: e-postayı bilgisayarda açarsınız ama kodu telefonla okutursunuz. Böylece işlem, şirketin güvenlik araçlarının görmediği bir cihaza kayar. Ayrıca e-postada tıklanabilir bağlantı olmadığı için filtre de şüphelenmeyebilir.

Sahte uyarı e-postalarının genel kalıbını Meta telif ihlali sahte mesajı yazımızda örnekledik. Kendi alan adınızı taklit eden e-postaları azaltmak içinse SPF, DKIM ve DMARC kurulumu rehberimize göz atın. Bu kayıtlar sahte gönderimi tamamen bitirmez, ama alıcı sunucuların sahte e-postayı ayırt etmesini kolaylaştırır.

Kargo notu, mektup ve SMS ile gelen QR kodlara güvenebilir misiniz?

Beklemediğiniz bir yerden gelen QR koda varsayılan olarak güvenmeyin. ABD Federal Ticaret Komisyonu (FTC) tüketici uyarılarında, sipariş etmediğiniz bir paketle gelen QR kodlu notlara ve trafik cezası ödemenizi isteyen QR kodlu mesajlara karşı uyarır. Bankadan geliyormuş gibi görünen basılı mektuplar da benzer bir yol izleyebilir.

Bu kanalların ortak noktası, kodun size kendiliğinden ulaşmasıdır. Siz bir şey aramadınız; kod sizi buldu. Üstelik basılı bir mektup, e-postaya göre daha resmi bir izlenim bırakır. Saldırgan da tam olarak bu izlenimden yararlanır.

Şu üç soruyu sorun:

• Bu mesajı veya paketi bekliyor muydum?
• Kod beni ödeme yapmaya, giriş yapmaya ya da bir uygulama indirmeye mi yönlendiriyor?
• Aynı işlemi kurumun resmi uygulamasından veya bildiğim adresten yapabilir miyim?

Cevaplardan biri bile şüphe uyandırıyorsa kodu kullanmayın. Kurumun gerçekten sizden bir şey isteyip istemediğini, kodu değil, kurumun bilinen telefon numarasını veya resmi uygulamasını kullanarak öğrenin. Örneğin bir ceza bildirimi geldiyse ilgili kurumun resmi sitesine adresi kendiniz yazarak girin.

Kanal kanal sahte QR kod belirtileri

Aşağıdaki tablo, en sık karşılaşılan kanalları ve her birinde size güvenli yolu gösteren alternatifi özetler. Senaryolar örnek senaryodur; amaç işaretleri tanımanızdır.

Tablodaki ortak çizgi açık: kod sizden para, parola veya kişisel bilgi istiyorsa, aynı işlemi kodsuz yoldan yapmayı seçin. Bu tek alışkanlık, QR kod dolandırıcılığına karşı en güçlü korumanızdır.

Bir QR kodu okutmadan önce neye bakmalısınız?

Kodu okutmadan önceki birkaç saniye, sonraki tüm adımlardan daha değerlidir. Kanada Siber Güvenlik Merkezi, istasyon veya sokak reklamı gibi kamusal alanlardaki kodları ve gönderenden emin olmadığınız e-posta ya da mesajlardaki kodları okutmamanızı önerir. Ayrıca kolaylığı güvenliğin önüne koymamanızı ister.

Okutmadan önce kısa bir kontrol yapın:

1. Fiziksel duruma bakın: çıkartma mı, baskı mı, üstünde başka bir kod var mı?
2. Kaynağı düşünün: bu kodu bekliyor muydunuz, yoksa kod size kendiliğinden mi geldi?
3. Vaadi tartın: kod ödeme, giriş, hediye veya ceza mı içeriyor?
4. Acele baskısını fark edin: "hemen", "son gün", "hesabınız kapanacak" gibi ifadeler var mı?
5. Alternatifi arayın: aynı işi resmi uygulamadan veya adresi elle yazarak yapabilir misiniz?

Bu listeyi ezberlemenize gerek yok. Ancak bir kez alışkanlık haline gelirse, kodla karşılaştığınız her an otomatik olarak devreye girer. Özellikle para ve parola içeren işlemlerde bu beş adımı atlamayın.

Açılan adresi nasıl kontrol edersiniz?

Telefonunuzun kamerası çoğu zaman adresi açmadan önce bir önizleme gösterir. FTC de birçok QR okuyucunun sizi götüreceği bağlantıyı önceden gösterdiğini hatırlatır. Bu önizleme, en önemli kontrol noktanızdır; o yüzden dokunmadan önce okuyun.

Adresi okurken alan adına odaklanın. Örneğin gerçek adres example.com ise, alan adı adresin ilk tek eğik çizgisinden hemen önceki kısımdır ve sağdan sola okunur. Saldırganlar bazen example.com ifadesini uzun bir adresin başına koyar, ama asıl alan adı tamamen farklıdır. Yani "example.com" kelimesini adreste görmek yetmez; doğru yerde görmeniz gerekir.

Ayrıca şu noktalara dikkat edin:

• Kilit simgesi yalnızca bağlantının şifreli olduğunu gösterir; sayfanın sahibini doğrulamaz.
• Kısa link önizlemede yalnızca kısaltma servisinin adını gösterir, asıl hedefi göstermez.
• Harf benzerliğiyle oynanmış adresler, hızlı bakışta gerçek gibi durabilir.

Kısa linklerin nasıl çalıştığını link kısaltma araçları karşılaştırması yazımızda anlattık. Bir de tarayıcı uyarılarını ciddiye alın: Google Safe Browsing, oltalama ve kötü amaçlı yazılım barındıran sitelerin sürekli güncellenen listelerini tutar ve uygulamalar bu listelerle sizi uyarabilir. Yine de uyarı çıkmaması sayfanın güvenli olduğunu kanıtlamaz.

Hangi QR okuyucuyu kullanmalısınız?

En güvenli seçenek çoğu zaman telefonunuzun kendi kamerası veya işletim sisteminin yerleşik okuyucusudur. NCSC, uygulama mağazasındaki üçüncü taraf okuyucular yerine telefonun yerleşik okuyucusunu kullanmanızı önerir. Kanada Siber Güvenlik Merkezi de bilinmeyen şirketlerin yayımladığı okuyucu uygulamalara karşı uyarır.

Bunun nedeni basit: ayrı bir okuyucu uygulaması, kodu okumak için gerekmeyen izinler isteyebilir. Kanada rehberine göre kötü amaçlı okuyucu uygulamalar zararlı yazılım yayabilir ve cihazınızdaki gizlilik ayarlarına erişim kazanabilir. Dolayısıyla "daha hızlı okur" vaadiyle bilinmeyen bir okuyucu indirmeye değmez.

Ayarlarda da birkaç önlem alabilirsiniz:

• Kod okunduğunda işlemi otomatik başlatan ayarları kapatın; her işlem öncesinde onay isteyin.
• Okutma sonrasında şüpheli bir sayfa açılırsa tarayıcıyı hemen kapatın.
• Telefonunuzun ve tarayıcınızın otomatik güncellemelerini açık tutun.

Kısacası okuyucu, adresi size göstermeli ve kararı size bırakmalıdır. Bunu yapan yerleşik bir okuyucunuz varsa ek bir uygulamaya ihtiyacınız yoktur.

Wi-Fi ve ödeme QR kodlarında nelere dikkat etmelisiniz?

Wi-Fi QR kodları bir web adresi yerine ağ adını ve parolasını taşır. Kodu okuttuğunuzda telefon bu ağa bağlanmayı önerir. Bu nedenle sahte bir kod, sizi işletmenin ağına benzeyen başka bir ağa bağlamaya çalışabilir. Bağlanmadan önce ağ adını personelle karşılaştırın ve ağa bağlandıktan sonra açılan sayfalarda parola girmekten kaçının.

Ödeme kodlarında ise asıl kontrol noktası alıcıdır. Bankanızın uygulaması ödeme öncesinde alıcı adını veya işletme bilgisini gösteriyorsa, onay vermeden önce bu bilgiyi okuyun. Örneğin bir kafede ödeme yaptığınız halde alıcı olarak tanımadığınız bir kişi adı görünüyorsa işlemi durdurun.

Ayrıca ödeme isteyen bir QR kodun sizi bankanızın uygulaması yerine bir web sayfasına götürmesi de dikkat gerektirir. Kart bilgisini bir web formuna yazacaksanız adresi iki kez kontrol edin. Emin değilseniz kasada veya resmi uygulamada ödemeyi tercih edin.

Bu iki kod türü sıradan web kodlarından daha hassastır, çünkü biri cihazınızın ağ trafiğini, diğeri doğrudan paranızı ilgilendirir. Yani burada birkaç saniyelik ek kontrol, ileride yaşayacağınız uzun bir uğraşı önleyebilir.

Sahte QR kodu okuttuysanız ilk ne yaparsınız?

Paniğe kapılmayın; okutmak tek başına çoğu zaman zarar anlamına gelmez. Asıl soru, açılan sayfaya bilgi girip girmediğiniz veya bir şey indirip indirmediğinizdir. Şu sırayı izleyin:

1. Sayfayı hemen kapatın ve hiçbir alana bilgi girmeyin.
2. Parola girdiyseniz o hesabın parolasını resmi uygulamadan veya adresi kendiniz yazarak değiştirin. Aynı parolayı kullandığınız diğer hesapları da güncelleyin.
3. Kart bilgisi girdiyseniz vakit kaybetmeden bankanızı kartın arkasındaki numaradan arayın.
4. Hesaplarınızda iki adımlı doğrulamayı açın ve tanımadığınız oturumları kapatın.
5. Bir dosya veya uygulama indirdiyseniz onu silin ve cihazınızı güncel tutun.
6. Önümüzdeki günlerde hesap ve kart hareketlerinizi düzenli kontrol edin.
7. Durumu polise veya savcılığa bildirin; fiziksel bir koddaysa yeri işletmeciye de haber verin.

BSI de etkilenen kişilere bankalarıyla hemen iletişime geçmelerini ve şikâyette bulunmalarını önerir. Bankanın ne yapabileceği duruma göre değişir; bu nedenle erken aramak seçeneklerinizi artırır. Kimse size kesin bir geri alma sözü veremez, ama hızlı hareket etmek zararı sınırlar.

Son olarak, size "paranızı geri alırız" diyen ve ücret isteyen tanımadığınız kişilere karşı dikkatli olun. Bu teklifler çoğu zaman ikinci bir dolandırıcılık girişimidir. Resmi kanallar dışında kimseye ek ödeme yapmayın.

İşletmeler QR kod dolandırıcılığına karşı kendi kodlarını nasıl korur?

İşletme olarak kodunuzu basmanız, onun güvenliğinden de sorumlu olduğunuz anlamına gelir. Müşteriniz sahte bir koda kandığında, çoğu zaman suçu kodu gördüğü yere, yani size yükler. Bu yüzden QR kod dolandırıcılığına karşı önlemi tasarım aşamasında almak gerekir.

Ekibimizin müşteri projelerinde önerdiği temel önlemler şunlar:

• Kodu yalnızca kendi alan adınızdaki bir adrese bağlayın.
• Kodun hemen altına aynı adresi düz yazı olarak basın; müşteri önizlemedeki adresle karşılaştırabilsin.
• Mümkünse çıkartma yerine doğrudan baskı, cam arkası veya laminasyon kullanın.
• Aynı yüzeyde tek kod ilkesini benimseyin; ikinci bir kod, kendiliğinden şüphe uyandırsın.
• Kodun açtığı sayfa parola veya gereksiz kişisel bilgi istemesin.
• Kodları belirli aralıklarla, örneğin vardiya başında, gözle kontrol edin.

Bir de görünmeyen tarafı düşünün: kod doğru adrese gitse bile siteniz ele geçirilirse müşteri yine zararlı bir sayfaya ulaşabilir. Bu riski WordPress sitem hacklendi ne yapmalı rehberimizde ayrıntılı ele aldık. Site güvenliği ile kod güvenliği aynı zincirin halkalarıdır.

Kodunuzun taklit edildiğini nasıl fark edersiniz?

Sahte bir çıkartma çoğu zaman sessizce çalışır. Ancak bazı işaretler size erken haber verir. Örneğin müşteriler "ödeme yaptım ama sisteminizde görünmüyor" demeye başlarsa, ilk bakacağınız yer koddur.

Ölçüm de iyi bir alarm sistemidir. Her fiziksel konum için ayrı UTM parametreli bir adres kullanırsanız, hangi kodun ne kadar okutulduğunu analiz aracınızda görürsünüz. Bir konumdaki okutmalar aniden sıfıra düşüyorsa, o kodun üstü kapatılmış olabilir. UTM yapısını UTM nedir yazımızda anlattık.

Örnek senaryo: Bir zincir kafenin beş şubesi var ve her masa kodu şubeye özel UTM taşıyor. Dört şubede okutmalar normal seyrederken birinde bir hafta içinde neredeyse hiç okutma görünmüyor. Ekip masaları kontrol ediyor ve iki masada orijinal kodun üstüne yapıştırılmış yabancı etiketler buluyor.

Bu yöntem kesin bir kanıt sunmaz; okutmalar başka nedenlerle de düşebilir. Yine de düzenli bakılan bir rapor, fiziksel kontrolün nereye yoğunlaşması gerektiğini gösterir. Müşteri şikâyetlerini ve personel gözlemlerini de aynı kayıtta toplarsanız tablo netleşir.

Güvenli bir QR kodu adım adım nasıl oluşturursunuz?

Güvenli bir kod, doğru adrese giden, kolay okunan ve taklit edildiğinde fark edilmesi kolay bir koddur. Şu adımları izleyin:

1. QR kod oluşturucu aracını açın ve içerik türü olarak Web / URL seçin.
2. Alana kendi alan adınızdaki tam adresi yazın, örneğin https://example.com/menu gibi kısa ve anlaşılır bir yol.
3. Önizlemedeki kodu kendi telefonunuzla okutun ve açılan adresin yazdığınızla birebir aynı olduğunu kontrol edin.
4. Kod küçük basılacak veya dış mekânda duracaksa hata düzeltme seviyesini Q veya H seçin.
5. Baskı için SVG, ekran için PNG indirin.
6. Kodun altına aynı adresi düz yazı olarak ekleyin ve baskıdan önce birkaç farklı telefonla deneyin.

Denso Wave'e göre M seviyesi kod sözcüklerinin yaklaşık yüzde 15'ini, Q seviyesi ise yüzde 25'ini kurtarabilir. Ancak hata düzeltme yalnızca yıpranmaya karşı korur; üstüne yapıştırılan yeni bir kod ise tamamen ayrı bir koddur. Bu nedenle fiziksel kontrolü hata düzeltmeye bırakmayın.

Kodunuz bazı telefonlarda açılmıyorsa sorunu QR kod okunmuyor rehberimizle adım adım giderebilirsiniz.

Statik mi dinamik mi: hangi QR kod daha güvenli?

Statik kodda adres doğrudan kodun deseninde durur. Aracımızın ürettiği kodlar statiktir; bir aboneliğe bağlı değildir ve adres değişmediği sürece çalışır. Dinamik kodda ise kod bir yönlendirme servisine gider, servis de sizi asıl adrese gönderir. Böylece basılı kodu değiştirmeden hedefi güncelleyebilirsiniz.

Bu kolaylığın bir bedeli var. Dinamik kodda yönlendirme servisindeki hesabınız da saldırı hedefi olur. Biri bu hesaba girerse, bastığınız tüm kodların hedefini tek seferde değiştirebilir. Ayrıca servis kapanır ya da abonelik biterse kodlarınız çalışmayabilir.

Biz çoğu işletmeye orta yolu öneriyoruz: statik kodu kendi alan adınızdaki kısa ve kalıcı bir adrese bağlayın. Örneğin example.com/m gibi bir adres, gerektiğinde sizin sitenizde yeni sayfaya yönlenir. Böylece hem esneklik kazanırsınız hem de yönlendirmenin kontrolü sizde kalır.

Hangi yolu seçerseniz seçin, yönetim panellerinde güçlü parola ve iki adımlı doğrulama kullanın. Dinamik bir servis kullanıyorsanız hesaba erişen kişi sayısını sınırlayın ve hedef değişikliklerini düzenli kontrol edin.

Ekibinizi ve müşterilerinizi nasıl bilgilendirirsiniz?

Teknik önlemler, insanlar ne arayacağını bilmediğinde yarım kalır. Bu nedenle personelinize kısa ve somut bir bilgi verin: kodlarımız nerede, nasıl görünüyor ve hangi adrese gidiyor. Fazladan bir etiket gördüklerinde ne yapacaklarını da yazılı hale getirin.

Müşteriler için tek cümlelik bir not yeterlidir. Örneğin "Kodumuz yalnızca example.com adresine gider; ödeme için size asla e-postayla QR kod göndermeyiz" gibi bir ifade, sahte bir koda karşı müşteriyi uyarır. Bu notu menüde, kasada ve web sitenizde aynı dille tekrarlayın.

Ekip içi farkındalık yalnızca QR kodla sınırlı kalmamalı. Sahte e-posta, sahte telefon ve taklit ses gibi sosyal mühendislik yöntemleri aynı mantıkla çalışır. Bu tarafı deepfake ve ses klonlama dolandırıcılığı yazımızda şirketler açısından ele aldık.

Son olarak, bir müşteri sahte bir kodla karşılaştığını bildirirse ona teşekkür edin ve konumu hemen kontrol edin. Böyle bir bildirim, ekibinizin göremediği bir sorunu erkenden yakalamanızı sağlar.

QR kod dolandırıcılığı hakkında yaygın yanılgılar

Bu konuda sık duyduğumuz bazı düşünceler, insanları gereksiz yere rahatlatıyor. En yaygın olanlar şunlar:

• "Adreste kilit varsa güvenlidir." Kilit yalnızca şifreli bağlantıyı gösterir; sahte siteler de şifreli bağlantı kullanabilir.
• "Kod düzgün görünüyorsa sorun yoktur." Sahte bir kod, teknik olarak kusursuz bir koddur; fark hedeftedir.
• "Hata düzeltmesi yüksek kod daha güvenlidir." Hata düzeltme okunurluğu artırır, hedefin doğruluğunu garanti etmez.
• "Telefonlar bilgisayardan daha korunaklıdır." NCSC'nin de belirttiği gibi kişisel telefonlar çoğu zaman kurumsal korumalardan yoksundur.
• "Yalnızca dikkatsiz kişiler kanar." Acele, yorgunluk ve tanıdık logo herkesi etkiler; bu yüzden alışkanlık, dikkatten daha güvenilirdir.

Bu yanılgıların ortak noktası, güveni kodun görünüşüne bağlamaktır. Oysa güven, adresi ve isteği kontrol ettiğinizde oluşur. Dolayısıyla her kodu bir bağlantı gibi düşünün: kaynağını, hedefini ve sizden ne istediğini sorgulayın.

Kısaca: QR kod dolandırıcılığına karşı kontrol listesi

Rehberin özünü tek bir listede toplayalım. Bu listeyi telefonunuzun notlarına veya işletmenizin personel panosuna ekleyebilirsiniz:

• Okutmadan önce kodun fiziksel durumuna ve kaynağına bakın.
• Önizlemedeki alan adını okuyun; kilit simgesine güvenmeyin.
• E-posta, SMS ve beklenmeyen gönderilerdeki kodlarla ödeme veya giriş yapmayın.
• Telefonun yerleşik okuyucusunu kullanın ve otomatik işlemleri kapatın.
• Bilgi girdiyseniz parolayı değiştirin, bankanızı arayın ve durumu bildirin.
• İşletmeyseniz kodu kendi alan adınıza bağlayın, adresi altına yazın ve kodları düzenli kontrol edin.

Sonuç olarak QR kod, kendi başına ne iyi ne kötüdür; yalnızca bir adres taşıyıcısıdır. Doğru alışkanlıklarla hem müşteri olarak hem de işletme olarak bu kolaylıktan güvenle yararlanırsınız.

Temel rehber: Dijital Pazarlama Nedir? Türleri, örnekleri ve nasıl yapıldığı, beynin içinden geçen etkileşimli bir filmle tek sayfada.