QR KODLARDAKİ GİZLİ TEHLİKE!

Günlük hayatın neredeyse her alanında karşılaştığımız QR kodlar, siber suçluların da yeni gözdesi haline geldi. Menülerden sokak lambalarına, afişlerden otoparklara kadar pek çok yerde kullanılan QR kodlar, son yıllarda e-posta yoluyla gerçekleştirilen kimlik avı saldırılarında da sıkça karşımıza çıkıyor.

Siber güvenlik alanında faaliyet gösteren ESET'in paylaştığı bilgilere göre saldırganlar, QR kodların arkasına kötü amaçlı internet adresleri yerleştirerek kullanıcıları fark ettirmeden sahte internet sitelerine yönlendirebiliyor. “Quishing” olarak adlandırılan bu yöntem, klasik kimlik avı saldırılarının QR kodlar üzerinden gerçekleştirilmesi anlamına geliyor.

KÖTÜ AMAÇLI LİNKİ GİZLİYOR

QR kodların saldırganlar açısından önemli bir avantajı, kötü amaçlı internet adresinin doğrudan görünmemesi. Kullanıcı, e-postadaki bir bağlantının üzerine tıklamak yerine QR kodu telefonuyla tarıyor ve böylece bilgisayarda başlayan saldırı süreci kişisel bir mobil cihaza taşınabiliyor.

Bu durum özellikle kurumlar açısından ciddi bir risk oluşturuyor. Kurumsal bilgisayarlarda bulunan güvenlik sistemleri ve e-posta filtreleri, QR kodun içerisinde gizlenen kötü amaçlı adresi tespit etmekte zorlanabiliyor. QR kodların PDF veya JPEG gibi dosyaların içerisine yerleştirilmesi ise saldırının fark edilmesini daha da güçleştirebiliyor.

Saldırganlar ayrıca güvenilir marka ve kurumların isimlerini kullanarak çalışanların dikkatini dağıtıyor. Microsoft, DocuSign veya benzeri bilinen markaların taklit edildiği mesajlarda kullanıcıya hesabını doğrulaması, güvenlik işlemini tamamlaması ya da acil bir işlemi gerçekleştirmesi gerektiği söylenebiliyor.

PHISHING SALDIRILARININ YÜZDE 11'İ QR KODLU

ESET'in 2026 Yılı İlk Yarı Tehdit Raporu'na göre, 2026'nın ilk yarısında tespit edilen phishing e-postalarının en az yüzde 11'inde kötü amaçlı QR kodlar yer aldı.

Saldırganların hedefi yalnızca kullanıcı adı ve şifreleri ele geçirmekle sınırlı kalmıyor. Quishing yöntemleriyle kötü amaçlı yazılım indirilmesi, hesapların ele geçirilmesi, ödeme bilgilerinin değiştirilmesi ve çok faktörlü kimlik doğrulama (MFA) bilgilerinin ele geçirilmesi de amaçlanabiliyor.

Bazı saldırılarda kullanıcılar doğrudan sahte internet sitelerine yönlendirilirken, bazı yöntemlerde ise kötü amaçlı uygulamaların meşru uygulamalar gibi gösterilerek cihazlara yüklenmesi hedefleniyor. QR kodlar ayrıca ödeme işlemlerinde alıcı bilgilerinin saldırgan tarafından önceden doldurulması gibi finansal dolandırıcılık senaryolarında da kullanılabiliyor.

KURUMSAL GÜVENLİK İÇİN ÖNLEM ŞART

Uzmanlara göre kurumların QR kodlu saldırılara karşı yalnızca teknik güvenlik önlemlerine değil, çalışan farkındalığına da önem vermesi gerekiyor.

Çalışanların özellikle beklenmedik e-postalarda bulunan QR kodlarını taramaması, şüpheli mesajları kurumun ilgili birimlerine bildirmesi ve önemli işlemleri e-postadaki QR kod üzerinden gerçekleştirmemesi öneriliyor. Mesajın gerçekten güvenilir bir kurumdan gelip gelmediğinden emin olunamıyorsa, ilgili kurumun resmi iletişim kanallarından doğrulama yapılması önem taşıyor.

Bunun yanında kurumsal e-posta güvenliğinin güçlendirilmesi, mobil cihazlarda güvenlik çözümlerinin kullanılması ve hassas hesaplarda phishing saldırılarına karşı dayanıklı çok faktörlü kimlik doğrulama yöntemlerinin tercih edilmesi öneriliyor.

Mobil cihazların ve kurumsal yazılımların güncel tutulması, çalışanların düzenli olarak siber güvenlik eğitimlerinden geçirilmesi ve şüpheli hareketlerin sürekli takip edilmesi de saldırı riskini azaltan önemli adımlar arasında yer alıyor.

Uzmanların mesajı ise net: QR kodlar günlük hayatı kolaylaştırıyor ancak ekranda görünen masum bir kare, arkasında ciddi bir siber tehdidi gizleyebiliyor. Bu nedenle özellikle e-posta yoluyla gelen QR kodların kaynağı doğrulanmadan taranmaması büyük önem taşıyor.