QR kod gizleme (quishing), kimlik avı saldırıları arasında en hızlı büyüyen tehditlerden biri haline geldi. Fikir basit: Görünüşte zararsız bir QR kodu, sahte bir adresi gizliyor. Microsoft bu büyümeyi şu şekilde ölçtü: Mart 2026'da 18,7 milyon böyle saldırı tespit edildi , bu rakam Ocak ayında 7,6 milyondu; yani sadece üç ayda %146'lık bir artış söz konusu.
Sorun, günlük rutinimizin bir parçası haline gelen eylemlerde yatıyor. Restoran menüsünü incelemek, otopark ücreti ödemek, bilet indirmek veya turistik bilgi aramak sıradan hale geldi. Siber suçlular bu aşinalıktan faydalanıyor. Logicalis İspanya'nın siber güvenlik birimi Áudea'dan uzmanlar, web adresinin bağlantı açılana kadar gizli kaldığını ve bu nedenle kullanıcının ilk bakışta fark edebileceği uyarı işaretlerinin azaldığını vurguluyor.
QR kodunun aldatmacayı nasıl gizlediği ve bilgisayardan mobil cihaza nasıl atladığı
Metin bağlantısının aksine, QR kodu taramadan önce URL'yi göstermez. Áudea'da Siber Güvenlik Kültürü Danışmanı olan Andrés Cartes Guilarte, bu şeffaflık eksikliğinin saldırganlar için en büyük avantajlardan biri olduğunu belirtiyor. Kullanıcı, hedefin meşru olup olmadığını doğrulayamaz ve çoğu durumda tarama , etkileşimi kurumsal bilgisayarın dışına ve şirketin güvenlik kontrollerinin ötesine taşıyan bir cep telefonundan yapılır.
Bağlantı açıldıktan sonra, mağdur kurumsal hizmetleri, bankacılık platformlarını veya kimlik doğrulama ekranlarını taklit eden sayfalara yönlendirilebilir. Amaç, dolandırıcılığın türüne bağlıdır, ancak genellikle kimlik bilgilerini, kişisel verileri veya finansal bilgileri elde etmeyi içerir . Bu taklit, mesaj tanıdık bir bağlamda, örneğin sözde bir iç iletişim veya kullanıcının düzenli olarak kullandığı bir kurumdan gelen bir bildirim gibi geldiğinde daha inandırıcıdır.
Microsoft aynı dönemde e-posta yoluyla dağıtılan yaklaşık 8.300 milyar kimlik avı tehdidini de tespit etti . Şirket, bu süre zarfında en hızlı büyüyen saldırı yönteminin "quishing" (kimlik avı yoluyla kimlik doğrulama) olduğunu ve bu eğilimin QR kodlarının her türlü ortamda giderek artan kullanımıyla örtüştüğünü belirtti.
PDF'ler, e-postalar ve Microsoft 365 belgeleri: Tercih edilen iletişim kanalları
Barracuda'nın 2026 E-posta Tehditleri Raporu, dikkat çekici birkaç bulguyu ortaya koyuyor. Analiz edilen kötü amaçlı PDF'lerin %70'i, kimlik avı sayfalarına yönlendiren QR kodları içeriyordu. Başka bir deyişle, belge, kurbanı dosyaya güvenmeye ve içindeki koddan şüphelenmemeye kandırmak için bir kamuflaj görevi görüyor.
Aynı raporda , kötü amaçlı Microsoft 365 belgelerinin %56'sının QR kod içerdiği belirtiliyor. Ayrıca, e-postaların gövdesine doğrudan yerleştirilen kodların sayısı Mart 2026'da %336 arttı . Saldırganlar kendilerini yalnızca eklerle sınırlamıyor: QR kodunu tarama olasılığını artırmak için mesaj metninin içine de yerleştiriyorlar.
ESET'in 2026 yılının ilk yarısına ait Tehdit Raporu, yılın ilk yarısında tüm kimlik avı saldırılarının %11'e kadarının "quishing" yöntemi kullanılarak gerçekleştirildiğini gösteriyor. Firma, bu tekniklerin giderek daha karmaşık hale geldiği konusunda uyarıyor: bazı kampanyalar çok faktörlü kimlik doğrulama belirteçleri elde etmeyi, kötü amaçlı yazılım yüklemeyi, kurbanları kötü amaçlı uygulamalar indirmeye kandırmayı veya dolandırıcılığın bir parçası olarak meşru telefon uygulamalarını kullanmayı hedefliyor.
ESET İspanya Araştırma ve Farkındalık Başkanı Josep Albors, saldırganların QR kodunu PDF'lere, JPEG resimlerine veya diğer belgelere gömerek veya QR kodunu oluşturmadan önce URL'leri kısaltan hizmetler kullanarak daha da gizleyebileceklerini açıklıyor. Aynı zamanda, koda eşlik eden mesaj çok az metin içerebilir ve bu da yazım hataları, görünür bağlantılar veya alışılmadık alan adları gibi klasik ipuçlarını ortadan kaldırır.
Restoran menüsünden otoparka: fiziksel risk ve savunma önlemleri
Tehlike sadece e-posta kutunuzla sınırlı değil. Restoranlarda, mağazalarda, toplu taşıma araçlarında, otoparklarda ve turistik hizmetlerde bulunan QR kodları da aynı sorunu yaratıyor: Taramadan önce hangi sayfayı göstereceklerini kontrol edemezsiniz . Dahası, kamuya açık alanlarda kodun üzerinde oynanmış veya sahte bir kodla değiştirilmiş olma ihtimali de bulunuyor.
Ağustos ayında INCIBE, riski mükemmel bir şekilde gösteren gerçek bir vakayı belgeledi. Bir kullanıcı, bir restoran menüsünün QR kodunu taradı ve bağlantıya tıklayıp açılan pencereyi onayladıktan sonra, istemeden istenmeyen bir premium aboneliği etkinleştirdi . Aynı işletmedeki diğer müşteriler de benzer durumlar yaşadı; bu da sorunun tek bir bireyi ilgilendiren münferit bir olay olmadığını gösterdi.
Bu teknolojinin yaygınlaşması, olayın bir kısmını açıklıyor. QR TIGER tarafından derlenen verilere göre, dünya genelindeki restoranların yaklaşık %75'i dijital menülere erişimi kolaylaştırmak için QR kodlarını kullanıyor. Bu aracın pazarlama ve reklamcılıkta kullanımı 2021 ile 2023 yılları arasında %323 oranında arttı; bu rakam, suçluların neden bu teknolojiye odaklandığını açıklamaya yardımcı oluyor.
ESET, işletmeler için, çalışanların şüpheli QR kodlarını tanımayı öğrenmeleri amacıyla farkındalık programlarına ve simülasyon egzersizlerine kod silme işlemini dahil etmeyi önermektedir. Ayrıca, istenmeyen e-postalardaki kodları taramaktan kaçınmayı ve şüpheli mesajları bildirmeyi tavsiye etmektedir.
Bir çalışanın bir mesajın güvenilir bir kaynaktan geldiğine inanması durumunda, e-postanın kendisinde bulunmayan iletişim bilgilerini kullanarak bağımsız bir kanal aracılığıyla doğrulama yapılması önerilir . Bu doğrulama, onay işleminin potansiyel saldırgan tarafından gönderilen bilgilere dayanmasını önler.
Teknik koruma da önemlidir. Bahsedilen önlemler arasında e-posta güvenlik çözümleri, mobil güvenlik araçları, MDM aracılığıyla cihaz yönetimi, kimlik avına dayanıklı çok faktörlü kimlik doğrulama , en az ayrıcalık ilkesi, anlık erişim, düzenli güncellemeler ve anormal davranışların izlenmesi yer almaktadır. Ayrıca, bir saldırı meydana gelmesi durumunda hızlı bir yanıt sağlamak için olay müdahale planlarının test edilmesi de şarttır.
- E-posta ve mobil güvenlik Zararlı bağlantıları ve kodları engellemek için.
- MDM Aygıt Yönetimi Minimum politikaları uygulamak.
- Kimlik avına dayanıklı MFA ve en az ayrıcalık ilkesi.
- Güncellemeler, anlık erişim ve sürekli gözetim.
Tüm bu rakamların ortaya koyduğu örüntü açık: QR kodları, kullanışlı, hızlı ve her yerde bulunmaları sayesinde günlük yaşamda kendilerine bir yer edinmişlerdir. Bu her yerde bulunma özelliği, tespit edilmesini zorlaştıran şeydir. Önemli olan, beklenmedik durumlara karşı dikkatli olmak , taramadan önce bağlamı kontrol etmek ve e-postadan mobil cihazlara, belgelerden fiziksel mekanlara kadar kullanıcıya eşlik eden güvenlik önlemleri uygulamaktır.
