QR kodları, ödeme yapmak, menülere erişmek ve dijital hizmetlere bağlanmak için günlük bir araç haline geldi. Ancak bu aşinalık, siber suçlular tarafından çevrimiçi dolandırıcılığa yeni bir ivme kazandırmak için de kullanıldı. Güvenlik şirketi ESET, kullanıcıları hedef URL'yi okuyamadan kötü amaçlı web sitelerine yönlendirmek için bu noktalı kodları kullanan bir kimlik avı türü olan quishing'de önemli bir artış tespit etti.
Son rakamlar her şeyi açıkça ortaya koyuyor : ESET Tehdit Raporu H1 2026, kötü amaçlı QR kodlarının tüm kimlik avı e-postalarının %11'inde yer aldığını ve ayda ortalama 100.000'den fazla tespit yapıldığını gösteriyor. Aslında, İspanya bu tür saldırıların sayısında dünyada ABD'den sonra ikinci sırada yer alıyor.
Sulama nedir ve neden bu kadar yaygınlaşıyor?
QR kodlu kimlik avı (phishing), özünde klasik kimlik avının bir varyantıdır, ancak ek bir unsur içerir: kötü amaçlı bağlantı bir QR kodunun içine gizlenmiştir. Kullanıcı resmi tarar ve banka şifrelerini, giriş bilgilerini çalabilecek veya hatta cihazına kötü amaçlı yazılım yükleyebilecek sahte bir web sitesine yönlendirilir.
Başarısının nedenlerinden biri, bağlantının hedefinin hemen görünür olmamasıdır. Şüpheli bir e-postada, yasa dışı alan adını görebilirsiniz; burada ise her şey bir piksel karesine sıkıştırılmıştır. Dahası, bu kodlar mesajlara ekli bir resim veya PDF olarak yerleştirilerek birçok e-posta güvenlik filtresini atlatır. Ve bu yöntem, iletişimi iş bilgisayarından, genellikle aynı düzeyde korumaya sahip olmayan bir cihaz olan cep telefonuna taşıdığı için daha da etkilidir.
Sosyal mühendislik de önemli bir rol oynuyor. Suçlular, DocuSign veya Microsoft gibi tanınmış markaların imajını kullanarak, örneğin hesabın doğrulanmaması durumunda askıya alınacağı uyarısı vererek acil durumları istismar ediyorlar. Sonuç olarak, mesaj gelen kutusuna ulaşıyor ve çalışan, bağlantıda okunacak bir metin olmadığı için olağan kimlik avı belirtilerinden hiçbirini bulamıyor.
İspanya'da durmayan bir alarm durumu.
İspanya, bu tür dolandırıcılık için önemli bir merkez haline geldi. ESET, küresel QR kodlu dolandırıcılık vakalarının %17'sinin bu ülkede yoğunlaştığını tahmin ediyor ve bu da tekniğin verimli bir zemin bulduğunu doğruluyor. En temsili vakalardan biri, Ulusal Siber Güvenlik Enstitüsü'nün (INCIBE) müdahalesi sayesinde çözüldü. Bir restoran müşterisi, değiştirilmiş menüdeki QR kodunu tarayarak farkında olmadan premium bir hizmete abone oldu.
İspanyol Tüketici Örgütü (OCU), trafik cezalarını taklit etmek amacıyla araçlara yapıştırılan sahte QR kodları sorununa da dikkat çekti . Mağdur, cezayı ödemek için kodu taradığında, kart bilgilerini sahte bir web sitesine veriyor. Bu dolandırıcılıklar bununla da sınırlı kalmıyor: parkmetrelerin ve paylaşımlı bisikletlerin gerçek QR kodlarının üzerine sahte QR kodlu etiketler yapıştırıldığı da görüldü. Saldırganlar, orijinal kodu kendi alan adlarına yönlendiren basılı bir kodla kapatıyorlar.
ESET laboratuvarları, tespitlerin zirve noktasının Nisan 2026 olduğunu belirtiyor, ancak zaman serisi zaten istikrarlı bir artış göstermeye başlamıştı. Mobil güvenlik ve kurumsal e-posta ana kalkanı oluştururken, gevşek kullanıcı alışkanlıkları da geri kalanını tamamlıyor.
QR kodlu dolandırıcılığın diğer yönleri
Sorun sadece restoran müşterilerine yönelik büyük çaplı dolandırıcılıkla sınırlı değil. ABD Gelir İdaresi (IRS), vergi bildirimi kılığında gönderilen ve kripto para sahiplerine hesap doğrulama veya belge vaat eden bir QR kodu içeren fiziksel mektuplarla ilgili kampanyaları da tespit etti. Kodu tarayan kurban, dijital fonlar üzerinde kontrol sağlayan unsur olan tohum ifadeleri veya özel anahtarlar isteyen bir web sitesine yönlendiriliyor.
Bu tuzakların arkasında devletlerin de rolü var . Ocak 2026 tarihli bir FBI uyarısında, Kuzey Kore ile bağlantılı olduğu iddia edilen Kimsuky grubunun, araştırma kuruluşlarına erişim sağlamak için hükümet belgeleri veya formları gibi bahaneler kullandığı QR kodlu siber casusluk saldırılarından sorumlu olduğu belirtildi. Başka bir deyişle, bu teknik, yüksek değerli ağları tehlikeye atmayı amaçlayan APT gruplarının cephaneliğine de sızmış durumda.
Ezilmeye karşı kendinizi nasıl koruyabilirsiniz?
Bu dolandırıcılığa karşı en önemli savunma, şüpheci olmayı öğrenmek kadar basit bir şeydir. INCIBE, halka açık bir yerde yayınlanan herhangi bir QR kodunu taramadan önce duraklamayı önerir. Etiket soyulmuş görünüyorsa, kurcalanmış gibi görünüyorsa veya doğrudan başka bir kodun üzerindeyse, kullanılmamalıdır. E-postalar söz konusu olduğunda, özellikle aşırı zaman baskısı içeriyorsa, QR kodunu taramanızı isteyen istenmeyen mesajlara karşı dikkatli olun.
QR kodunun yönlendirdiği URL'yi kontrol etmek de iyi bir fikirdir. Telefonunuz bağlantı önizlemesi sunuyorsa, yazım hataları, kısaltılmış alan adları veya tanıdık web sitelerinin garip varyasyonlarını arayın. Hem iOS hem de Android sistemlerinde QR kodunu tararken otomatik bağlantı açmayı devre dışı bırakmak da faydalı bir koruma katmanıdır. Ayrıca, isteğin meşru olduğunu farklı bir kanal aracılığıyla doğrulamadan asla ödeme bilgilerinizi, kimlik bilgilerinizi veya cüzdan ayrıntılarınızı vermeyin.
ESET uzmanları, işletmeler için QR kodlarını ayıklama ve kimlik avı simülasyonlarını farkındalık programlarına dahil etmeyi öneriyor. Teknoloji de bir diğer önemli unsur: Dosyalardaki QR kodlarını ayıklayıp analiz edebilen e-posta filtreleri, kurumsal mobil cihazlar için koruma ve yüksek ayrıcalıklı hesaplar için kimlik avına dayanıklı kimlik doğrulama. En az ayrıcalık ilkesini uygulamak ve yazılımları güncel tutmak, kötü amaçlı bir taramanın kritik bir ağ güvenliği ihlaline dönüşmesini önleyen ek adımlardır.
QR kodlarının popülaritesi yeni bir şey değil, ancak bunların oluşturduğu tehdit de öyle. Kimlik avı, verileri bir ekran ve ikili kod aracılığıyla aktaran bir tehdit olarak yerleşmiş durumda ve metin tabanlı kimlik avı için işe yarayan önlemler, sağduyuyla uygulandığı takdirde burada da işe yarıyor. İspanya zaten hedefte ve kurban olmakla korkudan kaçınmak arasındaki fark, taramadan önce hedefin bir dolandırıcılık sitesi olup olmadığını kontrol etme alışkanlığına bağlı.