QR kodunu taramadan önce içeriğini mutlaka okuyun

Bunu gerektiren iki durum vardır: Tam olarak güvenmediğiniz bir kodu taramak üzeresinizdir veya başka bir yerde oluşturulmuş bir kodu yazdırmak üzeresinizdir. Aynı yöntem her iki sorunu da yanıtlar.

1. adım — Açmak yerine içeriği okuyun

QR kodu metin içerir. Tarayıcı bu metni çözer ve hemen işlem yapar: URL'yi açar, Wi-Fi ağına katılır veya aramayı başlatır. Kod çözücü ise aynı metni çözer ve size gösterir. Güvenlik payının tamamı bu farktır.

Kodu fotoğraflayın veya ekran görüntüsünü alın ve görüntünün kodunu QR okuyucumuzda çözün. İşlem tamamen tarayıcınızda gerçekleşir: görüntü yüklenmez ve hiçbir şey açılmaz. Ham içeriği metin olarak görürsünüz.

2. adım — İçeriğin türünü belirleyin

QR içerikleri tanınabilir biçimleri izler. Ön eki okumak, tarayıcının ne yapacağını gösterir.

Meşru bir biçimin nasıl oluşturulduğunu görmek isterseniz tür sayfalarımızda her biçim açıklanır: Wi-Fi, vCard, e-posta, telefon, düz metin.

3. adım — Alan adını değerlendirin

URL içeriğinde önemli olan alan adıdır — ilk tek eğik çizgiden başlayarak sağdan sola okuyun. https://pay.cityparking.gov/meter/44 içinde alan adı cityparking.gov olur. https://cityparking.gov.pay-now.click/meter/44 içinde ise pay-now.click alan adıdır; tanınabilir kısım yalnızca süslemedir.

Kısaltıcılarla ilgili bir uyarı: Hizmeti tanımanız hedefi bilmenizi sağlamaz. Unit 42 bunu doğrudan şöyle ifade ediyor: "Tarama öncesinde URL ön izlemesini kontrol eden güvenlik bilincine sahip kişiler bile kısaltılmış bağlantılarla karşılaştıklarında nihai hedefi belirleyemez" — ayrıca tespit ettikleri en çok kötüye kullanılan üç hizmet sıradan QR oluşturucu yönlendirme alan adlarıdır. Tanıdık bir kısaltıcı güvence değildir.

4. adım — Yönlendirme zincirini izleyin

İçerik kısa bağlantıysa ve gerçekte nerede sona erdiğini bilmeniz gerekiyorsa sayfayı yüklemeden çözümleyin. Terminalden:

curl -sIL "https://short.example/abc" | grep -i "^location:" komutunu çalıştırın — bu komut sayfa içeriğini yürütmeden her adımın Location başlığını yazdırır. Kaç adım göründüğüne dikkat edin: beklenen hedefe tek bir yönlendirme olağandır; ilgisiz sunucular üzerinden yapılan birkaç yönlendirme ise genellikle her biri isteği gören analiz veya reklam aracıları anlamına gelir. Bir QR proxy'sinin kaydettiği veriler, bu adımların neleri topladığını açıklar.

İki çekince vardır. Yönlendirme, IP adresi, kullanıcı aracısı veya zamana göre size bir hedefi, başkasına başka bir hedefi sunabilir — bu nedenle temiz bir sonuç sizin için o anda ne olduğunu kanıtlar; başka bir ülkedeki müşterinin ne göreceğini değil. Ayrıca dinamik bir kodun hedefi daha sonra her an değiştirilebilir; zaten bu özellik bunun için satılır.

E-postayla gelen bir kodu nasıl kontrol edersiniz?

Bunu ayrı ve daha tehlikeli bir durum olarak ele alın. NCSC, QR kodlarının kimlik avı e-postalarında özellikle kullanıldığını belirtiyor; çünkü güvenlik araçlarının tümü görüntüleri taramaz. Böylece kod, aynı bağlantı metin olarak gönderilseydi yakalanacak kötü amaçlı bağlantıyı filtrelerden geçirebilir — ayrıca tarama sizi, iş bilgisayarınızdan daha zayıf korunan kişisel bir telefona yönlendirir.

Kontrol basittir. Görüntüyü ekrandan taramak yerine e-postadan kaydedin, dosyanın kodunu çözün ve alan adını okuyun. Bunu telefon yerine bilgisayarda yapın; böylece korunan cihazdan hiç ayrılmazsınız. Alan adı, e-postanın gönderildiğini iddia ettiği kuruluşla tam olarak eşleşmiyorsa durun — kuruluşa mesajdaki herhangi bir şeyi kullanmadan, normalde ulaştığınız yöntemle ulaşın.

Dikkat etmeniz gereken işaret, aciliyet ile kodun birlikte sunulmasıdır: teslimat sorunu, vergi bildirimi, kota sınırına ulaşmış posta kutusu veya bugün doğrulanması gereken hesap. Meşru kuruluşların acil bir hesap sorununu çözmek için sizden basılı bir kareyi taramanızı istemesi çok nadirdir. Quishing, saldırı biçimlerini ayrıntılı şekilde açıklar.

Bir kod çözücü size neyi söyleyemez?

Sınırları açıkça bilmek, kontrolü doğru değerlendirmeyi sağlar.

• Hedefin güvenli olup olmadığını. Kod çözücü size adresi gösterir, içeriği değil. Tanınabilir bir alan adı bile ele geçirilmiş bir sayfayı barındırabilir.
• Başkalarının ne göreceğini. Yönlendirme, IP adresine, kullanıcı aracısına veya günün saatine göre farklı hedefler sunabilir. Temiz sonucunuz, o anda yaptığınız isteği açıklar.
• Yarın ne yapacağını. Dinamik bir kodun hedefi, kontrol ettikten sonra herhangi bir zamanda değiştirilebilir. Bu özellik bunun için satılır; bu nedenle "Bir kez doğruladım" ifadesi dinamik bir kod hakkında kalıcı bir güvence değildir.
• Basılı kopyanın dosyayla eşleşip eşleşmediğini. Üzerine yapıştırılan etiketler, onayladığınız tasarım ile duvardaki nesnenin farklı olmasına neden olabilir. Fiziksel kopya hakkında yalnızca fiziksel kopyanın kodunu çözerek bilgi edinebilirsiniz.

İlk ve son sınır, bu blogdaki işletmelere yönelik tavsiyenin neden sürekli aynı noktaya döndüğünü açıklar: tek seferlik kontrolün geçerliliğini koruduğu tek düzen, kendi alan adınızdaki statik koddur.

5. adım — Yazdırmadan önce kendi tasarımınızı kontrol edin

Bu işlem bir dakika sürer ve maliyetli bir sorunun tamamını önler.

1. Son tasarımı, tam olarak basılacağı biçimde dışa aktarın.
2. Oluşturucu ön izlemesindeki değil, bu dosyanın kodunu çözün.
3. İçeriğin, sahip olduğunuz bir alan adında, amaçladığınız URL olduğunu doğrulayın.
4. Başkasının alan adındaki kısa bağlantıysa yazdırmayın. Statik kod olarak yeniden oluşturun.
5. Basılı prova geldiğinde bir kez tarayın ve hâlâ olması gereken yere yönlendirdiğini doğrulayın.

Bir kod zaten basıldıysa ve bu kontrol için çok geç kaldıysanız, kurtarma rehberi kalan seçenekleri açıklar. Çalışmayı bıraktıysa ve nedenini henüz bilmiyorsanız QR kodunuzun neden çalışmayı bıraktığı sayfasından başlayın.

Burada oluşturduğunuz kodlar her zaman tam olarak yazdığınız içeriğe çözülür: URL QR kodu. Daha fazla bağlam için QR kodu dolandırıcılıklarının gerçeği sayfasına bakın.