QR Kod Dolandırıcılığı Nedir? Sahte QR Kodlar Nasıl Anlaşılır ve Nasıl Korunulur?

QR kodlar, internet sitelerine erişmek, ödeme yapmak, restoran menülerini görüntülemek, etkinlik biletlerini doğrulamak ve çeşitli dijital işlemleri gerçekleştirmek için yaygın olarak kullanılmaktadır. Akıllı telefon kameralarıyla kolayca taranabilmeleri, QR kodların günlük yaşamda sıkça tercih edilmesini sağlamaktadır.

Ancak bu teknoloji, dolandırıcılar tarafından da kötüye kullanılabilir. Sahte QR kodlar aracılığıyla kullanıcılar kimlik avı sitelerine yönlendirilebilir, kişisel bilgilerini paylaşmaya ikna edilebilir veya yetkisiz ödeme işlemleri gerçekleştirmeye çalışılabilir.

QR kod üzerinden gerçekleştirilen kimlik avı saldırıları, siber güvenlik alanında quishing olarak adlandırılır.

Peki, QR kod dolandırıcılığı nedir, hangi yöntemlerle gerçekleştirilir, sahte QR kodlar nasıl anlaşılır ve kullanıcılar bu tür saldırılardan nasıl korunabilir?

QR Kod Dolandırıcılığı Nedir?

QR kod dolandırıcılığı, QR kodların kullanıcıları yanıltmak, sahte internet sitelerine yönlendirmek veya güvenli olmayan işlemler gerçekleştirmeye teşvik etmek amacıyla kullanılmasıdır.

QR kodların içerisinde internet adresleri, metinler, iletişim bilgileri ve farklı türde veriler bulunabilir.

Bir QR kodun taranması, kullanıcıyı doğrudan belirli bir internet sayfasına yönlendirebilir veya cihazda bir işlem başlatılmasını önerebilir.

Dolandırıcılar bu özelliği kullanarak gerçek kurumlara aitmiş gibi görünen sahte QR kodlar hazırlayabilir.

Bu saldırılarda şu bilgiler hedef alınabilir:

• Kullanıcı adları ve parolalar

• Banka ve kredi kartı bilgileri

• Kişisel kimlik bilgileri

• Telefon numaraları

• E-posta adresleri

• Tek kullanımlık doğrulama kodları

• Dijital hesaplara erişim bilgileri

Bazı saldırılarda amaç doğrudan bilgi toplamak yerine kullanıcıyı zararlı uygulama yüklemeye veya sahte bir ödeme yapmaya yönlendirmektir.

1. QR Kod Dolandırıcılığı Nasıl Gerçekleşir?

QR kod dolandırıcılığında saldırganlar, kullanıcıların güvenilir olduğunu düşündüğü bir ortamda sahte QR kod kullanabilir.

Örneğin bir otopark ödeme noktasındaki gerçek QR kodun üzerine farklı bir kod içeren etiket yapıştırılabilir.

Kullanıcı bu kodu taradığında gerçek ödeme sistemi yerine sahte bir internet sitesine yönlendirilebilir.

Saldırının genel işleyişi şu şekilde olabilir:

1. Dolandırıcı, sahte bir internet adresine yönlendiren QR kod oluşturur.

2. QR kod bir afişe, e-postaya, etikete veya internet sayfasına yerleştirilir.

3. Kullanıcı QR kodu telefonuyla tarar.

4. Açılan bağlantı üzerinden ödeme veya hesap doğrulaması yapması istenir.

5. Kullanıcının kişisel veya finansal bilgileri ele geçirilmeye çalışılır.

Her QR kod dolandırıcılığı aynı yöntemle gerçekleştirilmez. Bazı saldırılarda sahte ödeme alıcısı kullanılırken bazılarında hesap ele geçirme girişimleri bulunabilir.

2. Quishing Nedir?

Quishing, QR kodlar aracılığıyla gerçekleştirilen kimlik avı saldırılarını ifade eden bir terimdir.

İngilizcedeki QR code ve phishing kelimelerinin birleşiminden oluşur.

Geleneksel phishing saldırılarında kullanıcılar çoğunlukla e-posta veya mesaj bağlantıları üzerinden sahte internet sitelerine yönlendirilir.

Quishing saldırılarında ise yönlendirme QR kod aracılığıyla yapılır.

QR kodun içerdiği internet adresi ilk bakışta görünmediği için kullanıcılar bağlantının gerçek adresini kontrol etmeden işlem yapabilir.

Bu nedenle QR kod tarandıktan sonra açılacak internet adresinin incelenmesi önemlidir.

3. Sahte QR Kodlar Nasıl Anlaşılır?

Sahte QR kodların yalnızca görüntüsüne bakılarak güvenilir olup olmadığının anlaşılması genellikle mümkün değildir.

Gerçek ve sahte QR kodlar görsel olarak birbirine benzeyebilir.

Ancak bazı durumlar dolandırıcılık şüphesi oluşturabilir:

• QR kodun başka bir etiketin üzerine yapıştırılması

• Kodun bulunduğu afişte tutarsız bilgiler bulunması

• QR kodun beklenmeyen bir ödeme sayfasına yönlendirmesi

• Açılan internet adresinin ilgili kurumla eşleşmemesi

• Kullanıcıdan gereksiz kişisel bilgiler istenmesi

• İşlemin hemen tamamlanması için baskı oluşturulması

• Resmî uygulama yerine bilinmeyen uygulama yüklenmesinin istenmesi

Bu belirtiler tek başına kesin dolandırıcılık kanıtı değildir. Ancak işlem yapılmadan önce doğrulama gerektirebilir.

4. Restoranlarda QR Menü Dolandırıcılığı

Restoran ve kafelerde QR kodlar, dijital menülere erişmek için kullanılabilir.

Dolandırıcılar, gerçek menü kodlarını taklit ederek kullanıcıları sahte internet sitelerine yönlendirmeye çalışabilir.

Örneğin masa üzerindeki QR kodun üzerine farklı bir etiket yapıştırılabilir.

Kullanıcı bu kodu taradığında menü yerine kişisel bilgi isteyen veya reklam ve yönlendirmeler içeren bir sayfayla karşılaşabilir.

QR menü kullanılırken şu noktalara dikkat edilmelidir:

• Kodun bulunduğu alan kontrol edilmelidir.

• Üzerine sonradan etiket yapıştırılmış gibi görünen kodlar dikkatle incelenmelidir.

• Menü görüntülemek için beklenmeyen kart bilgisi taleplerine şüpheyle yaklaşılmalıdır.

• Gerekirse işletme çalışanından doğrulama istenmelidir.

Menü görüntülemek için kullanılan bir QR kodun doğrudan bankacılık parolası istemesi olağan bir durum değildir.

5. Otopark ve Parkmetre QR Kod Dolandırıcılığı

QR kod dolandırıcılığı girişimlerinde otopark ödeme noktaları ve parkmetreler de kullanılabilir.

Bazı otopark sistemlerinde ödeme işlemleri QR kod aracılığıyla gerçekleştirilebilir.

Dolandırıcılar, ödeme cihazlarının üzerindeki gerçek kodların yerine sahte kodlar yerleştirmeye çalışabilir.

Bu kodlar kullanıcıları sahte ödeme sayfalarına yönlendirebilir.

Otopark ödemelerinde güvenliği artırmak için:

• Ödeme sisteminin işletmeye ait olduğu doğrulanmalıdır.

• QR kodun fiziksel olarak değiştirilip değiştirilmediği kontrol edilmelidir.

• Açılan internet adresi incelenmelidir.

• Şüpheli durumlarda işletme görevlisinden yardım alınmalıdır.

• Kart bilgileri doğrulanmamış sayfalara girilmemelidir.

6. Sahte QR Kod ile Ödeme Dolandırıcılığı

Bazı ödeme sistemlerinde QR kodlar, alıcı veya işlem bilgilerini aktarmak amacıyla kullanılabilir.

Dolandırıcılar bu sistemleri kötüye kullanarak kullanıcıları yanlış hesaplara ödeme yapmaya yönlendirebilir.

Örneğin bir ödeme noktasında gerçek işletmeye ait kodun yerine farklı bir alıcıya ait kod yerleştirilebilir.

Kullanıcı işlemi kontrol etmeden onaylarsa para yanlış kişiye gönderilebilir.

QR kodla ödeme yapmadan önce ekranda görünen alıcı adı, işlem tutarı ve diğer ödeme bilgileri kontrol edilmelidir.

QR kodun taranmış olması, ödeme alıcısının doğru olduğu anlamına gelmez.

7. E-posta ile Gönderilen Sahte QR Kodlar

Dolandırıcılar, sahte QR kodları e-posta mesajlarının içine de yerleştirebilir.

Bu mesajlarda hesap doğrulaması, güvenlik güncellemesi veya ödeme işlemi yapılması gerektiği belirtilebilir.

Kullanıcıdan bilgisayar ekranında görünen QR kodu telefonuyla taraması istenebilir.

Böylece kullanıcı, e-postadaki bağlantıya doğrudan tıklamak yerine telefonundan sahte bir sayfaya yönlendirilmiş olur.

E-posta içerisindeki QR kodlar da normal bağlantılar gibi dikkatle değerlendirilmelidir.

Beklenmeyen hesap doğrulama talepleri, ilgili hizmetin resmî uygulaması üzerinden kontrol edilmelidir.

8. Sahte Kargo QR Kodları

Kargo ve teslimat işlemlerinde QR kodlar kullanılabilir.

Dolandırıcılar, sahte teslimat bildirimlerinde QR kodlara yer vererek kullanıcıları yanıltmaya çalışabilir.

Örneğin teslimat adresinin güncellenmesi veya ek ücret ödenmesi gerektiği iddia edilebilir.

QR kod tarandığında sahte kargo takip veya ödeme sayfası açılabilir.

Bu tür mesajlarda QR kod kullanılması, bildirimin gerçek olduğunu göstermez.

Kargo takibi ve teslimat işlemleri ilgili şirketin doğrulanmış kanallarından kontrol edilmelidir.

9. WhatsApp QR Kod Dolandırıcılığı

WhatsApp, hesapların bilgisayar ve diğer uyumlu cihazlarla bağlantılı kullanılmasına olanak tanır.

Dolandırıcılar, kullanıcıları kandırarak hesaplarına yetkisiz cihaz bağlatmaya çalışabilir.

Bu girişimlerde sahte internet sayfaları veya yanıltıcı açıklamalar kullanılabilir.

Kullanıcı, QR kodu tarayıp cihaz bağlantısını onayladığında hesabına yabancı bir cihazın bağlanması mümkün olabilir.

Bu nedenle WhatsApp cihaz bağlantısı işlemleri yalnızca güvenilir ortamlarda gerçekleştirilmelidir.

Uygulamanın Bağlı Cihazlar bölümü kontrol edilerek tanınmayan oturumlar kapatılmalıdır.

10. Sahte Etkinlik ve Bilet QR Kodları

Konser, sinema, spor karşılaşmaları ve çeşitli etkinliklerde QR kodlu biletler kullanılabilir.

Dolandırıcılar, geçersiz veya daha önce kullanılmış biletleri gerçekmiş gibi satabilir.

Bazı durumlarda aynı QR kod birden fazla kişiye gönderilebilir.

Böyle bir durumda biletin geçerli olup olmadığı giriş sırasında anlaşılabilir.

Bilet satın alırken yetkili satış kanalları tercih edilmeli ve satıcının güvenilirliği kontrol edilmelidir.

QR kodun görüntüsünün bulunması, biletin geçerli olduğunu tek başına kanıtlamaz.

11. QR Kod ile Zararlı Yazılım Bulaştırılabilir mi?

QR kodun kendisi genellikle zararlı yazılım değildir. Kod, bir bağlantı veya başka türde veri taşıyan bir araçtır.

Ancak QR kod aracılığıyla kullanıcı zararlı bir internet sitesine yönlendirilebilir.

Bu sayfalarda sahte uygulama güncellemeleri veya zararlı dosyalar sunulabilir.

Kullanıcı bu dosyaları indirip çalıştırırsa cihaz güvenliği tehlikeye girebilir.

Bazı saldırılarda yazılım açıklarından yararlanılması da mümkün olabilir.

Bu nedenle telefonun işletim sistemi ve uygulamaları güncel tutulmalı, bilinmeyen kaynaklardan uygulama yüklenmemelidir.

12. QR Kod Tarandıktan Sonra Hangi Bilgiler Kontrol Edilmeli?

QR kod tarandıktan sonra açılacak işlem veya bağlantı dikkatle incelenmelidir.

Özellikle şu bilgiler kontrol edilmelidir:

• İnternet adresinin alan adı

• Bağlantının ilgili kurumla ilişkisi

• Açılan sayfanın amacı

• İstenen kişisel bilgiler

• Ödeme yapılacak alıcı

• Ödeme tutarı

• Uygulama indirme talepleri

• Hesap giriş veya doğrulama istekleri

QR kodun güvenilir bir yerde bulunması, içeriğinin mutlaka güvenilir olduğu anlamına gelmez.

13. QR Kod Tarandıysa Telefon Ele Geçirilir mi?

Bir QR kodu taramak, her durumda telefonun ele geçirildiği anlamına gelmez.

Olası risk, QR kodun içeriğine ve kullanıcının gerçekleştirdiği işlemlere bağlıdır.

Örneğin yalnızca bir internet adresinin görüntülenmesi ile sahte bir sayfaya parola girilmesi aynı risk seviyesinde değildir.

Bazı saldırılarda kullanıcıdan zararlı uygulama indirmesi veya cihaz izinlerini değiştirmesi istenebilir.

Şüpheli bir QR kod tarandıysa ancak herhangi bir işlem yapılmadıysa sayfa kapatılmalı ve beklenmeyen dosyalar indirilmemelidir.

Cihazın güvenlik güncellemeleri de kontrol edilmelidir.

14. Sahte QR Kod ile Kredi Kartı Bilgileri Paylaşıldıysa Ne Yapılmalı?

Sahte QR kod üzerinden açılan ödeme sayfasına kart bilgileri girildiyse ilgili bankayla mümkün olan en kısa sürede iletişime geçilmelidir.

Kartın güvenlik amacıyla kapatılması veya yenilenmesi gerekebilir.

Ayrıca hesap hareketleri kontrol edilmeli ve tanınmayan işlemler bankaya bildirilmelidir.

Tek kullanımlık ödeme doğrulama kodu da paylaşıldıysa bu durum özellikle bankaya belirtilmelidir.

Kart bilgilerinin ele geçirilmesi ihtimalinde bankanın önerdiği güvenlik işlemleri uygulanmalıdır.

15. QR Kod Dolandırıcılığı Nereye Şikâyet Edilir?

QR kod dolandırıcılığı şüphesi bulunan olaylarda ilgili işletmeye veya kuruma bilgi verilebilir.

Örneğin bir restoranın, otoparkın veya ödeme cihazının üzerindeki QR kodun değiştirildiği düşünülüyorsa işletme yetkilileri bilgilendirilmelidir.

Türkiye'de dolandırıcılık şüphesi bulunan olaylarda kolluk birimlerine veya Cumhuriyet Başsavcılığına başvurulabilir.

Finansal işlem gerçekleştirilmişse ilgili banka veya ödeme kuruluşuna da bildirim yapılmalıdır.

Şikâyet sırasında QR kodun bulunduğu yer, açılan internet adresi, işlem zamanı ve varsa ödeme kayıtları saklanabilir.

16. QR Kod Dolandırıcılığından Korunma Yöntemleri

QR kodlar günlük yaşamda birçok işlemi kolaylaştırsa da güvenli kullanım için bazı önlemler alınmalıdır.

• Kaynağı bilinmeyen QR kodları taramayın.

• Fiziksel olarak değiştirilmiş görünen kodlara dikkat edin.

• QR kod tarandıktan sonra açılacak internet adresini kontrol edin.

• Bankacılık ve ödeme işlemlerini doğrulanmış uygulamalardan gerçekleştirin.

• Beklenmeyen kişisel bilgi taleplerine şüpheyle yaklaşın.

• QR kod üzerinden açılan sayfalardan bilinmeyen uygulamalar indirmeyin.

• Ödeme öncesinde alıcı ve tutar bilgilerini kontrol edin.

• Şüpheli kodları ilgili işletmeye bildirin.

• Telefonun işletim sistemini güncel tutun.

• Hesaplarda çok faktörlü kimlik doğrulama kullanın.

Bu önlemler QR kod üzerinden gerçekleştirilen dolandırıcılık girişimlerinin başarı ihtimalini azaltabilir.

17. Gerçek QR Kod ile Sahte QR Kod Arasındaki Farklar

Bu karşılaştırma kesin bir tespit yöntemi değildir. QR kodun güvenilirliği, kodun görüntüsünden çok yönlendirdiği içerik ve işlemin doğruluğuyla değerlendirilmelidir.

18. QR Kod Dolandırıcılığı ile Phishing Arasındaki Fark Nedir?

QR kod dolandırıcılığı ve phishing saldırıları birbirleriyle ilişkili kavramlardır.

Phishing, kullanıcıları kandırarak kişisel veya finansal bilgilerini elde etmeyi amaçlayan kimlik avı saldırılarının genel adıdır.

Quishing ise QR kodlar üzerinden gerçekleştirilen kimlik avı saldırılarını ifade eder.

Her QR kod dolandırıcılığı doğrudan kimlik avı olmayabilir. Örneğin ödeme kodunun değiştirilerek paranın başka bir alıcıya gönderilmesi de QR kod üzerinden gerçekleştirilen bir dolandırıcılık yöntemidir.

Bu nedenle QR kod dolandırıcılığı, kimlik avı saldırılarının yanında sahte ödeme ve yanıltıcı yönlendirme gibi farklı yöntemleri de kapsayabilir.

Sonuç

QR kod dolandırıcılığı, kullanıcıları sahte internet sitelerine yönlendirmek, kişisel bilgilerini ele geçirmek veya yetkisiz finansal işlemler gerçekleştirmeye çalışmak amacıyla kullanılan bir dolandırıcılık yöntemidir.

Bu saldırılar restoran menülerinde, otopark ödeme noktalarında, e-postalarda, kargo bildirimlerinde, etkinlik biletlerinde ve mesajlaşma uygulamalarında görülebilir.

Bir QR kodun güvenilir bir ortamda bulunması veya profesyonel görünmesi, güvenli olduğunu tek başına kanıtlamaz.

QR kod tarandıktan sonra açılan internet adresinin kontrol edilmesi, ödeme bilgilerinin doğrulanması ve beklenmeyen kişisel bilgi taleplerine dikkat edilmesi önemlidir.

Güvenilir uygulamaların kullanılması, cihazların güncel tutulması ve şüpheli QR kodların ilgili kurumlara bildirilmesi, bu tür dolandırıcılık girişimlerinden kaynaklanan risklerin azaltılmasına yardımcı olur.