QR kodla sahte giriş dolandırıcılığı, kullanıcının kodu taradıktan sonra gerçek platforma benzeyen bir kimlik avı sayfasına yönlendirilmesiyle gerçekleşir. Kodun kendisi ekranda okunabilir bir adres göstermediği için saldırgan, zararlı bağlantıyı afişe, sosyal medya gönderisine, e-postaya veya sahte destek mesajına gizleyebilir. Açılan sayfa kullanıcı adı, parola, kart bilgisi ya da tek kullanımlık doğrulama kodu isteyebilir.

QR kod kullanmak tek başına tehlikeli değildir; risk, kodun hangi adrese yönlendirdiğinin kontrol edilmemesidir. Güvenli yaklaşım, bağlantı önizlemesini okumak, alan adını karakter karakter doğrulamak ve şüphe varsa sayfayı kapatıp bilinen adresi elle yazmaktır. “Hemen giriş yap”, “bonus süresi doluyor” veya “hesabınız kapanacak” gibi baskı ifadeleri kontrol adımlarını atlatmak için kullanılabilir.

Sahte QR kod saldırısı nasıl işler?

Saldırgan önce güven veren bir görsel veya mesaj hazırlar. Kod tarandığında kısa bağlantı, bir yönlendirme hizmeti ya da gerçek alan adına çok benzeyen farklı bir alan açılır. Sayfanın tasarımı logo, renk ve form yapısıyla kopyalanmış olabilir. Kullanıcı bilgilerini gönderdiğinde veriler gerçek sisteme değil saldırganın sunucusuna ulaşır.

Bazı saldırılar bilgileri aldıktan sonra kullanıcıyı gerçek siteye yönlendirir. Böylece ilk girişin “geçici hata” verdiği sanılır ve ihlal fark edilmez. Ardından saldırgan hesaba girmeyi dener veya kullanıcıdan gelen doğrulama kodunu gerçek zamanlı ister. Bu nedenle yalnızca sayfanın sonunda gerçek siteye ulaşmış olmak ilk formun güvenli olduğunu kanıtlamaz.

QR kodu açmadan önce ne kontrol edilmeli?

Kaynağı sorgulayın

Kodun resmî uygulama, doğrulanmış hesap veya daha önce güvenle kullanılan web sayfasından gelip gelmediğine bakın. Sokak afişi, mesaj grubu ve anonim hesap gibi değiştirilebilir kaynaklardaki kodlar daha fazla dikkat ister. Mevcut bir QR etiketinin üstüne başka etiket yapıştırılması da fiziksel ortamlarda görülen bir yöntemdir.

Bağlantı önizlemesini okuyun

Çoğu telefon, sayfayı açmadan önce hedef adresin bir bölümünü gösterir. Önizleme kapalıysa güvenilir bir tarayıcı ayarı kullanılabilir; kodu bilinmeyen “QR çözücü” sitelerine yüklemek yeni bir veri riski yaratır. Kısaltılmış adres hedef alanı gizlediği için özellikle giriş işlemlerinde kullanılmamalıdır. Platforma tarayıcı yer iminden ulaşmak daha güvenlidir.

Alan adı nasıl doğrulanır?

Alan adında harf değişimi, fazladan tire, farklı uzantı veya alt alan yanıltması aranmalıdır. “marka.example.com” adresinde asıl kayıtlı alan example.com’dur; baştaki marka kelimesi sahipliği kanıtlamaz. typosquatting örnekleri, benzer karakterlerle yapılan taklitleri ayrıntılı açıklar.

Kilit simgesi de tek başına yeterli değildir. HTTPS, bağlantının şifreli olduğunu gösterir; sayfanın gerçek markaya ait olduğunu garanti etmez. Sertifikanın kapsadığı alan ile adres çubuğundaki alan aynı olmalıdır. SSL ile adres kontrolü rehberi bu ayrımı adım adım gösterir.

Sayfa hangi izinleri istiyor?

Basit bir giriş sayfasının kamera, rehber, ekran paylaşımı veya cihaz yönetimi izni istemesi şüphelidir. QR kod zaten tarandıktan sonra tekrar kamera izni talebi açıklama gerektirir. Dosya indirmeyi, uygulama kurmayı veya güvenlik profilini onaylamayı isteyen sayfa hemen kapatılmalıdır. Uygulamalar yalnızca doğrulanmış resmî mağaza sayfasından yüklenmelidir.

Parola yöneticisinin kayıtlı bilgiyi otomatik doldurmaması da uyarı olabilir; çünkü yöneticiler kimlik bilgilerini genellikle kaydedildikleri alan adıyla eşleştirir. Ancak otomatik doldurmanın çalışması güvenliği kesinleştirmez. Adres çubuğu her durumda bağımsız kontrol edilmelidir.

Bilgi girildiyse ne yapılmalı?

Şüpheli sayfaya parola girildiyse doğrulanmış adres üzerinden parola hemen değiştirilmeli, tüm oturumlar kapatılmalı ve iki aşamalı doğrulama etkinleştirilmelidir. Aynı parola başka hesaplarda kullanılıyorsa onlar da benzersiz parolalarla güncellenmelidir. Tek kullanımlık kod paylaşıldıysa destek ekibine güvenilir kanaldan ulaşılmalı ve hesap hareketleri incelenmelidir.

Kart veya ödeme bilgisi girildiyse banka, kartın arkasındaki resmî numaradan aranmalıdır. Şüpheli işlem ekran görüntüleri, mesaj başlıkları ve hedef adres delil olarak saklanabilir; fakat zararlı bağlantı başkalarına tıklanabilir biçimde gönderilmemelidir. QR kaynaklı erişim sonrasında 403 benzeri bir engel görülürse erişim hatasının olası nedenleri incelenebilir, ancak hata kodu sahte sayfayı meşru yapmaz.

Güvenli giriş rutini

Adres yer iminden açılmalı, alan adı doğrulanmalı, parola yöneticisi ve iki aşamalı doğrulama kullanılmalıdır. Güncel seçenekleri kontrollü biçimde incelemek için güncel platform seçeneklerini inceleyebilirsiniz. Sektörde güvenlik ve operasyon gelişmelerine ilişkin içerikler için Rocky Affiliates blogundaki sektör yazıları takip edilebilir. Hiçbir destek görevlisi parolanızı veya doğrulama kodunuzu istememelidir.

QR kod incelemesinde teknik ipuçları

Bağlantı önizlemesinde adresin başı kadar son bölümü de okunmalıdır. Uzun bir alt alan dizisi, gerçek marka adını solda gösterip kayıtlı alanı sağ tarafta gizleyebilir. Uluslararası karakter içeren alanlar tarayıcıda tanıdık harflere benzeyebilir. Adresi kopyalayıp bilinmeyen bir siteye yapıştırmak yerine, markanın daha önce doğrulanmış adresiyle doğrudan karşılaştırmak güvenlidir.

QR kod bir ödeme ekranına gidiyorsa alıcı adı, tutar ve para birimi onaydan önce kontrol edilmelidir. Kodun içine sabit bir cüzdan veya hesap bilgisi yerleştirilebilir. Fiziksel işletmede kasadaki kodun üzerine yeni etiket yapıştırıldığı fark edilirse işlem yapılmamalı ve yetkili personele bildirilmelidir. Telefonda açılan bağlantının uygulamaya geçmesi de hedefin doğruluğunu tek başına kanıtlamaz.

Kurumsal hesaplarda ek önlem

İş cihazlarında QR bağlantıları ayrı bir tarayıcı profili veya güvenlik filtresi üzerinden açılabilir. E-posta güvenlik sistemleri normal bağlantıları tarasa bile görsel içindeki kodu her zaman analiz etmeyebilir. Çalışanlara yalnızca “QR taramayın” demek yerine alan adı okuma, kısaltılmış bağlantı ve aciliyet dili örnekleriyle eğitim verilmesi daha etkilidir.

Bir olay yaşandığında güvenlik ekibine kodun fotoğrafı, görülen hedef adres ve zaman bilgisi iletilmelidir. Parola değişikliğine ek olarak oturum belirteçlerinin sonlandırılması gerekebilir. Kurumsal tek oturum açma kullanılıyorsa yalnızca hedef hesaba değil, aynı kimlikle erişilen diğer hizmetlere ait hareketler de incelenmelidir.

Sık sorulan sorular

QR kod telefona doğrudan virüs yükler mi?

Kod çoğunlukla bağlantı açar; risk zararlı sayfada bilgi girmek, dosya indirmek veya izin vermekle büyür.

Kilit simgesi gerçek site anlamına gelir mi?

Hayır. Sahte siteler de HTTPS sertifikası kullanabilir.

En güvenli giriş yöntemi nedir?

Doğrulanmış adresi yer iminden açmak ve iki aşamalı doğrulama kullanmaktır.