QR kod dolandırıcılığı (quishing) nasıl anlaşılır

Quishing nedir, neden tehlikelidir?

Normal bir bağlantıda fareyle üzerine gelip adresi önceden görebilirsiniz; QR kodda bu mümkün değil, kodu okutmadan içeriğini bilemezsiniz. Bu da dolandırıcılık için elverişli bir zemin yaratıyor: kullanıcı taradığı kodun nereye gittiğini genelde sorgulamadan bağlantıya tıklıyor. Oysa amaç, siteye gitmeden önce adresi görüp değerlendirebilmek.

Bu yöntemin bir diğer avantajı dolandırıcı için görünmezlik: bir e-postadaki sahte bağlantı e-posta filtrelerine takılabilirken, görsel bir kare içine gömülü aynı bağlantı çoğu otomatik tarama sisteminden kolayca geçebilir. Bu yüzden QR kod içeren bir mesajı, metin içinde bağlantı olan bir mesajdan daha temkinli değerlendirmek makul bir yaklaşımdır.

Otopark ve ödeme noktalarındaki sahte etiketler

Bilinen bir yöntem, otopark otomatlarındaki ya da ödeme noktalarındaki gerçek QR kodun üzerine görsel olarak birebir aynı görünen sahte bir çıkartma yapıştırmak. Kullanıcı normal bir ödeme sayfası zannederek kart bilgilerini sahte bir siteye giriyor. Çıkartmanın kenarlarında kabarıklık, farklı bir kağıt dokusu ya da hafif bir renk farkı olup olmadığını kontrol etmek, ayrıca ödemeyi resmi uygulama ya da bilinen bir yöntemle de doğrulamak riski azaltır.

Aynı yöntem elektrikli araç şarj istasyonlarında, bisiklet/scooter kiralama noktalarında ve etkinlik giriş kapılarında da görülebiliyor; ortak nokta, insanların aceleyle ve genelde tek seferlik bir işlem için kodu okuttuğu, dolayısıyla adrese dikkatlice bakmadığı yerler olması.

Sahte kargo ve paket bildirimi mesajları

SMS ya da e-postayla gelen, “gümrük ücretini öde” ya da “teslimat bilgisini güncelle” diyen ve içinde QR kod bulunan mesajlar da yaygın bir yöntem. Kargo firmaları genelde ödeme talebini bir QR kod üzerinden SMS ile iletmez. Böyle bir mesaj aldığınızda içindeki koda ya da bağlantıya değil, firmanın resmi uygulamasına ya da bilinen web sitesine gidip takip numaranızla durumu kontrol etmeniz daha güvenlidir.

Aynı desen bazen “vergi iadesi”, “fatura ödemesi” ya da “hesabınız askıya alındı” gibi başlıklarla da karşınıza çıkabilir; ortak nokta genelde aciliyet hissi yaratıp sizi düşünmeden hareket etmeye itmesidir. Gerçek kurumlar böyle bildirimleri çoğunlukla resmi uygulama içi bildirimler ya da imzalı e-postalarla iletir, tek başına bir QR kod barındıran kısa bir SMS ile değil.

Taramadan önce içeriği önizleyin

QR kod okuyucu aracı, taradığınız ya da yüklediğiniz kodun içeriğini önce metin olarak gösterir ve bağlantıyı otomatik açmaz; adresi okuyup değerlendirdikten sonra açıp açmamaya siz karar verirsiniz. Şüpheli görünen, özellikle fiziksel bir yüzeyde karşılaştığınız kodlarda bu ekstra adım küçük bir zaman kaybına değer.

Bağlantıyı açmadan önce kontrol listesi

Kodu okuttuktan sonra, açmadan önce şunlara bakın:

• Alan adı (domain) tanıdık mı, harflerinde ince bir yazım farkı var mı?
• Bağlantı kısaltılmış mı (bit.ly ve benzerleri)? Nereye gittiğini göremiyorsanız temkinli olun.
• Sizden hemen kart bilgisi, şifre ya da kimlik numarası isteniyorsa durup düşünün; acele ettirilmek şüphe nedenidir.
• Kod fiziksel bir yüzeydeyse üzerine sonradan yapıştırılmış gibi duruyor mu, altında başka bir baskı seziliyor mu kontrol edin.

Zaten taradıysanız ne yapmalısınız?

Kart bilgisi girdiyseniz bankanızı arayıp kartınızı bloke ettirin, bir şifre girdiyseniz o şifreyi hemen değiştirin ve aynı şifreyi başka hesaplarda kullanıyorsanız oraları da güncelleyin. Hesap hareketlerinizi bir süre yakından takip etmek, olası bir kötüye kullanımı erken fark etmenizi sağlar.

Etkinlik ve ilan afişlerindeki kodlara dikkat

Sokakta ya da bir binanın ortak alanında asılı “ücretsiz katılım”, “anket doldur hediye kazan” gibi afişlerdeki QR kodlar da benzer bir risk taşır; afiş resmi görünse bile üzerine sonradan bir çıkartma eklenmiş olabilir. Böyle bir afişten kod okutacaksanız, açılan sayfanın afişte yazan kurum ya da markayla eşleşip eşleşmediğini kontrol etmek, özellikle sizden e-posta, telefon numarası ya da ödeme bilgisi istiyorsa iyi bir alışkanlıktır.