Quishing: En çok suistimal edilen alanlar QR üreticileri

Bu bulgu, bu blogdaki tartışmayı görüş olmaktan çıkarıp kanıta dönüştürüyor. Quishing — QR koduyla iletilen kimlik avı — basılı bir karenin gözle okunamaması sayesinde çalışır. Ancak *ölçeklenmesinin* nedeni, meşru işletmelerin on yıl boyunca halka tanımadığı kısa bir alan adını taramanın normal olduğunu öğretmesidir.

Unit 42'nin Şubat 2026 telemetrisi, günde 11.000'den fazla kötü amaçlı QR kodu tespiti ortalaması gösteriyor. QR kısaltıcılar üzerinden geçen trafik, 2023'ün ilk yarısından 2024'ün ilk yarısına kadar %55, ardından 2025'in ilk yarısına kadar %44 daha arttı. FBI ve FTC kamuya açık uyarılar yayımladı: İnternet Suçları Şikâyet Merkezi, suçluların para ve kimlik bilgileri çalmak için kodları değiştirmesi hakkında PSA 220118 duyurusunu yayımladı ve Temmuz 2025'te QR kodu içeren istenmeyen paketler konusunda ek uyarı yaptı. FTC ise dolandırıcıların meşru kodları kendi etiketleriyle kapattığı konusunda uyardı ve özellikle park sayaçlarını belirtti.

Bir QR kodu taramadan önce neden kontrol edilemez?

İnsanlara, bir bağlantıya tıklamadan önce bağlantıyı incelemeleri başarılı biçimde öğretildi: Üzerine gelin, alan adını okuyun, yazım hatası arayın. Bu savunma, URL'yi görebilmeye bağlıdır.

QR kodu bunu etkisiz kılar. Hedef, hiçbir insanın gözle çözemeyeceği bir desene kodlanmıştır. Üzerine gelme seçeneği yoktur. Kamerayı bir karenin üzerine tutarsınız; ya bir şey açılır ya da açılmaz. Savunma için mümkün olan tek an, bazı tarayıcıların önce gösterdiği önizlemedir. Ancak küçük ekranda ve aceleyle bakıldığında bu önizleme, çoğu kişinin okumadığı kısaltılmış bir metinden ibarettir.

Başlıca saldırılar nasıl görünüyor?

NCSC, e-posta konusunu açıkça belirtiyor: tüm güvenlik araçları görselleri taramaz. Bu nedenle kötü amaçlı bir siteye yönlendiren QR kodu, aynı bağlantı metin olarak gönderilse yakalayacak filtrelerden geçebilir. Kullanıcılar ayrıca genellikle, işveren tarafından yönetilen bir bilgisayarın korumalarından yoksun kişisel telefonla tarama yapar. Wi-Fi QR kodu sayfamız bu yük biçimini açıklıyor; nasıl göründüğünü bilmek, bir kodu kontrol etmenizi sağlar.

Yönlendirmeler son savunmayı nasıl yok etti?

Her meşru işletmenin kendi alan adını kodlayan statik kodlar kullandığını varsayalım. Tarayıcı önizlemesinde restaurant-name.com/menu, cityparking.gov/pay, yourbank.com/verify görünürdü. Tanınabilir olurdu. x7q-cdn.click/8Hf2 gösteren bir önizleme ise açıkça yanlış görünürdü; çünkü kişinin daha önce taradığı tüm meşru kodlardan farklı olurdu.

Yaşadığımız dünya böyle değil. Restoranlardan perakendecilere, müzelerden toplu taşıma kurumlarına ve hatta devlet kuruluşlarına kadar çok sayıda meşru kod, tarayan kişi için hiçbir anlam taşımayan üçüncü taraf kısa alan adları üzerinden yönleniyor. Sonuç doğrudan şu: QR önizlemesindeki tanınmayan bir alan adı artık hiçbir şey ifade etmiyor. İnsanlara bunu yüzlerce kez zarar görmeden geçip taramaları öğretildi.

Unit 42 sonucu açıkça belirtiyor: "URL önizlemesini taramadan önce kontrol eden güvenlik bilincine sahip kişiler bile, kısaltılmış bağlantılarla karşılaştıklarında nihai hedefi belirleyemez." Yönlendirme sektörü quishing'i icat etmedi. Sıradan insanların buna karşı sahip olduğu tek sezgisel savunmayı ortadan kaldırdı — mekanizma yönlendirme ele geçirme bölümünde açıklanıyor.

Üç ikincil etki

• Gizleme. Bir yönlendirme, farklı ziyaretçilere farklı hedefler sunabilir: araştırmacıya güvenli içerik, hedef şehirdeki telefona gerçek yük. Statik kod bunu yapamaz; yükü sabittir ve herkes için aynıdır.
• Gecikmeli etkinleştirme. Bir kod haftalarca zararsız bir yere yönlenebilir, incelemeden geçebilir ve sonradan değiştirilebilir. Bu, sektörün özellik olarak sattığı düzenlenebilirliğin aynısıdır.
• İtibar aklama. Tanınmış bir kısaltıcı alan adı, yönlendirdiği her şeye meşruiyet kazandırır.

Tarama yaparken kendinizi nasıl korursunuz?

1. Önizlemedeki alan adını okuyun. Tarayıcınız bir alan adı göstermiyorsa gösteren bir tarayıcı kullanın. NCSC, mağazadan indirilen bir uygulama yerine telefonunuzda yerleşik olan tarayıcıyı öneriyor.
2. İstenmeyen posta veya e-postadaki her kodu tehlikeli kabul edin. Meşru kuruluşların acil bir hesap sorununu çözmek için basılı bir kareyi taramanıza ihtiyaç duyması nadirdir — yukarıdaki iki FBI uyarısı tam olarak bununla ilgilidir.
3. Etiketleri fiziksel olarak kontrol edin. Bir kenarını kaldırmayı deneyin. Bir etiketin üzerine başka bir etiket yapıştırılması en yaygın quishing düzenidir ve parmakla fark edilebilir.
4. Tarama yoluyla ulaştığınız bir sayfaya ödeme bilgilerinizi asla girmeyin. Adresi yazarak veya uygulamayı açarak hizmete kendiniz gidin.
5. Emin değilseniz taramak yerine kodu çözün. Kodu fotoğraflayın ve hiçbir şeyi açmadan kod çözücü sayfamızda yükünü okuyun.

Kötü amaçlı bir kodu zaten taradıysanız ne yapmalısınız?

Tek başına tarama, bir telefonu neredeyse hiçbir zaman ele geçirmez. Önemli olan bundan sonra ne olduğudur; bu nedenle müdahaleyi yaşanan duruma göre yapın.

1. Yalnızca bir sayfayı görüntüleyip kapattıysanız, büyük olasılıkla sorun yoktur. Gerekirse bildirmek için alan adını not edin ve devam edin.
2. Bir parola girdiyseniz, gerçek sitede hemen değiştirin ve aynı parolayı kullandığınız her yerde değiştirin. Bu sırada çok faktörlü kimlik doğrulamayı etkinleştirin.
3. Kart bilgilerinizi girdiyseniz, başka bir şeyi kontrol etmeden önce bankanızı arayın veya bankacılık uygulamanızdan kartı hemen dondurun. Bunu itiraz edilen bir alışveriş olarak değil, sahte bir sayfa olarak bildirin.
4. Bir şey yüklediyseniz, kaldırın; ardından uygulama izinlerini ve isteyebileceği cihaz yöneticisi ya da erişilebilirlik yetkilerini inceleyin. Çoğu mobil vakada yükün kendisi bu izinlerdir.
5. Bir kodla Wi-Fi ağına katıldıysanız, ağı unutun ve bağlıyken gönderilen her şeyin izlenebilir olduğunu varsayın.
6. Bildirin. ABD'de FBI'ın IC3 birimi bildirimleri alır; FTC de tüketici şikâyetlerini kabul eder. Birleşik Krallık'ta Action Fraud'a başvurun. Kod kamu altyapısına yapıştırılmış bir etiketse yüzeyin sahibine de bildirin — bir park yetkilisi, varlığından haberdar olmadığı bir etiketi kaldıramaz.

Yapmamanız gereken bir şey var: Taradığınız için bunun sizin hatanız olduğunu düşünmeyin. FBI ve FTC, bu kodların tasarım gereği meşru kodlardan ayırt edilememesi nedeniyle kamuya açık uyarılar yayımladı.

Bir işletme olarak müşterilerinizi nasıl korursunuz?

QR kodları basıyorsanız, müşterilerinizin kendilerini koruyup koruyamayacağını seçimleriniz belirler.

1. Kendi alan adınızı kodlayan statik kodlar kullanın. Böylece önizlemede adınız görünür; tarama anında mevcut olan tek doğrulama sinyali budur. Kullanabileceğiniz en etkili tek değişiklik budur.
2. URL'yi kodun yanına okunabilir metin olarak basın. İnsanlara tarama gerektirmeyen bir yol ve karşılaştırabilecekleri bir bilgi sunar.
3. Fiziksel kodlarınızı düzenli olarak kontrol edin. Üzerine yapıştırılan etiketler, kimse kontrol etmediği sürece işe yarar.
4. Müşterileri adınızı taşımayan bir alan adı üzerinden asla yönlendirmeyin. Bu, şeffaf olmayan hedeflerin normal olduğunu öğretir ve meşru bir kodunuzun nasıl göründüğünü açıklayamamanıza yol açar.

Burada yararlı bir ortak nokta var: Sizi abonelik rehin almasından koruyan seçim, müşterilerinizi kimlik avından koruyan seçimin aynısıdır.

Önizlemede kendi alan adınızı gösteren statik bir kod oluşturun: URL QR kodu. Ek okuma: QR kodu dolandırıcılıklarının gerçeği.