Quishing: QR Kod Tuzağına Dikkat!

Merhaba arkadaşlar,

Özellikle son zamanlarda dijitalleşmenin getirdiği kolaylıkların yanı sıra, beraberinde getirdiği yeni tehditleri de bizzat gözlemliyorum. İşte bu tehditlerden biri de hepimizin hayatına hızla giren QR kodları üzerinden yapılan dolandırıcılıklar: Nam-ı diğer Quishing!

QR kodları, günlük hayatımızda o kadar yaygınlaştı ki, restoran menülerinden banka işlemlerine, otopark ödemelerinden e-ticaret sitelerine kadar her yerde karşımıza çıkıyor. Hızlı, pratik ve temassız olması sebebiyle pandemi döneminde kullanımı adeta patladı. Ama işte tam da bu kolaylık ve yaygınlık, kötü niyetli kişilerin iştahını kabartıyor. Hadi gelin, bu konuda neymiş, nasıl korunuruz, araştırmalarımdan yola çıkarak biraz detaylı konuşalım.

Quishing Nedir? Basit Bir Tanım

Adından da anlaşılacağı üzere, “Quishing” kelimesi QR (Quick Response) ve Phishing (Oltalama) kelimelerinin birleşiminden oluşuyor. Temel mantığı, klasik e-posta veya SMS tabanlı phishing saldırılarının QR kodları aracılığıyla gerçekleştirilmesi. Yani, size sahte bir QR kodu sunularak, bu kodu taradığınızda aslında güvenli olmayan, kötü niyetli bir web sitesine veya uygulamaya yönlendirilmeniz amaçlanıyor.

Birçoğumuz e-postalardaki şüpheli linkleri tanımayı, SMS’teki kısaltılmış URL’lere dikkat etmeyi öğrendik. Ama QR kodlar işi biraz daha farklı bir boyuta taşıyor. Çünkü kodu tarayana kadar arkasında ne olduğunu tam olarak göremiyorsunuz. Bu da onu, özellikle son kullanıcı için çok sinsi bir tehdit haline getiriyor.

Quishing Saldırıları Nasıl Gerçekleşiyor? Benim Gözlemlediğim Senaryolar

IT uzmanı olarak, bu tür saldırıların farklı şekillerde karşımıza çıktığını görüyorum. İşte en yaygın olanları:

Sahte E-postalar ve SMS’ler: Bu, klasik phishing’in QR kodlu versiyonu. Size bankanızdan, kargo şirketinizden, devlet kurumundan veya popüler bir servisten gelmiş gibi görünen bir e-posta ya da SMS gönderilir. Mesajda “Hesabınız askıya alındı, doğrulamak için QR kodu tarayın” veya “Kargonuzu takip etmek için QR kodu okutun” gibi aciliyet içeren ifadeler bulunur. Kodu taradığınızda, o kurumun sahte giriş sayfasına yönlendirilirsiniz.
Fiziksel QR Kod Manipülasyonları: Bu gerçekten sinsi bir yöntem. Kamuya açık yerlerde, otobüs duraklarında, kafe ve restoranlarda, hatta ATM’lerin üzerinde bile görebileceğiniz meşru QR kodlarının üzerine, kötü niyetli kişiler kendi sahte QR kodlarını yapıştırabilir. Benim kendi tecrübelerimden, bir keresinde bir otoparkın ödeme noktasında, resmi QR kodunun üzerine yapıştırılmış, neredeyse birebir aynı görünen bir etiket tespit etmiştim. Şans eseri dikkatli davrandım ve fiziki olarak etiket olup olmadığını kontrol ettim.
Sahte Reklamlar ve Bildirimler: Sosyal medyada, web sitelerinde veya hatta fiziksel broşürlerde çekici bir kampanya, indirim veya ücretsiz bir hediye vaat eden sahte reklamlarla karşılaşabilirsiniz. Bu reklamlar sizi bir QR kodu taramaya teşvik eder ve sonuç yine dolandırıcılık veya kötü amaçlı yazılım bulaşması olabilir.
Tedarik Zinciri Saldırıları (Daha Nadir Ama Etkili): Nadir de olsa, bazı kötü niyetli kişiler, ürün ambalajlarına veya kullanım kılavuzlarına sahte QR kodları entegre etmeye çalışabilir. Bu, genellikle bir ürüne ait uygulama indirmek veya garanti bilgilerine ulaşmak için kullanılması beklenen QR kodlarının kötüye kullanılmasıdır.

Peki Neden Bu Kadar Tehlikeli? Bir IT’ci Gözüyle

Bir IT uzmanı olarak bu tür saldırıları neden ciddiye aldığımı anlatayım:

URL Önizlemesi Zorluğu: E-postada veya mesajda bir link olduğunda, mouse’u üzerine getirerek URL’yi önizleyebiliriz. QR kodlarında bu mümkün değil. Tarayana kadar nereye gideceğinizi tam olarak bilemezsiniz. Bazı iyi QR tarayıcı uygulamaları bir önizleme sunsa da, çoğu insan hızla tarayıp geçiyor.
Güven Algısı: QR kodları genellikle resmi, meşru kaynaklar tarafından kullanıldığı için, insanlar onlara karşı doğal bir güven duyuyor. “Kodu taradım, kesin doğrudur” algısı çok yaygın.
E-posta Filtrelerini Aşma: Antivirüs yazılımları ve e-posta güvenlik filtreleri, bilinen kötü amaçlı linkleri tespit edip engelleyebilir. Ancak QR kodları, bir görsel içinde gömülü olduğu için bu filtrelerin çoğu zaman dikkatinden kaçabilir. Yani zararlı bir URL, bir görselin içinde rahatlıkla e-postanıza ulaşabilir.
Hız ve Kolaylık: Kodu taramak sadece saniyeler sürer. Bu hız, kullanıcıların eleştirel düşünme ve şüphecilik mekanizmalarını devre dışı bırakabiliyor.

Peki Nasıl Korunacağız? İşte Yöntemler!

Korkmayalım ama uyanık olalım! İşte bu alandaki kısa ama yoğun deneyimimde edindiğim ve size de şiddetle tavsiye ettiğim bazı önlemler:

Her Zaman Kaynağı Doğrula: QR kodunu nereden taradığınızı düşünün. Bir e-posta veya SMS ile mi geldi? Gönderici gerçekten kim? Güvenilir bir kaynaktan mı geliyor ve böyle bir QR kodu göndermesini bekliyor muydunuz? Şüpheliyseniz, direkt olarak ilgili kurumun resmi web sitesine gidin veya telefonla iletişime geçin, asla QR kodu tarayarak ilerlemeyin.
Fiziksel Kodlara Dikkat Et: Kamuya açık alanlarda gördüğünüz QR kodlarının fiziksel durumunu kontrol edin. Üzerine yapıştırılmış bir etiket mi var? Kenarları kalkıyor mu? Renk veya kalite farkı var mı? Eğer şüpheli görünüyorsa, taramayın. Hatta ben olsam, bir restoranda bile menü için verilen QR kodunu taramadan önce bir göz atarım, üstüne bir etiket yapıştırılmış mı diye.
Güvenilir Bir QR Kod Tarayıcı Kullan: Bazı kaliteli QR kod tarayıcı uygulamaları (özellikle telefonunuzun dahili kamera uygulaması), kodu taramadan önce sizi yönlendireceği URL’yi önizler. Bu, size nereye gittiğinizi kontrol etme fırsatı verir. Bu özelliği sunan uygulamaları tercih edin.
URL’yi Kontrol Etmeyi Alışkanlık Haline Getir: Tarayıcı size linki gösterdiğinde, tıklamadan önce adresi dikkatlice inceleyin. Bankanızın web sitesi mi? Yoksa “bankaniz.com.tr” yerine “bankaniz-guvenlik.xyz” gibi farklı bir alan adı mı? Küçük harf veya sayı farklılıklarına dikkat edin.
```
Gerçek: https://www.bankaadi.com/giris
Sahte: https://bankaadi-guvenlik.xyz/giris
Sahte: https://www.bankaadl.com/giris (burada 'i' yerine 'l' harfi kullanılmış)
            
```
Küçük farklılıklar büyük tehlikeler yaratabilir.
Şüpheci Ol: “Çok iyi olamayacak kadar gerçek” görünen tekliflere, ücretsiz hediyelere veya acil durum bildirimlerine karşı her zaman şüpheci olun. Dolandırıcılar genellikle bu tür cazip veya korkutucu senaryoları kullanır.
Güçlü Şifreler ve İki Faktörlü Kimlik Doğrulama (MFA) Kullan: En iyi savunma, her zaman güçlü bir savunmadır. Eğer bir şekilde tuzağa düşseniz bile, güçlü ve farklı şifreler kullanmak, ayrıca mümkün olan her yerde MFA (SMS kodu, biyometrik doğrulama vb.) etkinleştirmek, hesaplarınızı korumanıza yardımcı olur.
Yazılımlarınızı Güncel Tutun: İşletim sisteminizi, tarayıcınızı ve tüm uygulamalarınızı düzenli olarak güncelleyin. Bu güncellemeler, bilinen güvenlik açıklarını kapatır ve sizi yeni tehditlere karşı korur.
Farkındalığı Artır: Bu bilgileri sadece kendiniz için değil, aileniz, arkadaşlarınız ve iş arkadaşlarınızla da paylaşın. Dijital güvenlik bir ekip işidir.

Ya Kötü Bir Şeyi Taradıysam? Panik Yok!

Hepimiz insanız ve hata yapabiliriz. Eğer şüpheli bir QR kodunu tarayıp bir siteye yönlendirildiyseniz:

Kesinlikle Hiçbir Bilgi Girmeyin: Kullanıcı adı, şifre, kredi kartı bilgisi gibi hassas verileri asla girmeyin.
Hemen Sayfayı Kapatın: Tarayıcıyı veya uygulamayı derhal kapatın.
İlgili Hesaplarınızın Şifrelerini Değiştirin: Eğer o siteye girmeniz gereken bir kullanıcı adı/şifre çiftini daha önce başka yerlerde de kullandıysanız, tüm bu hesapların şifrelerini acilen değiştirin.
Bankanızı veya İlgili Kurumu Bilgilendirin: Eğer banka bilgileriyle ilgili bir durum olduğunu düşünüyorsanız, hemen bankanızla iletişime geçin.
Cihazınızı Kontrol Edin: Kötü amaçlı yazılım bulaşma ihtimaline karşı cihazınızda güvenilir bir antivirüs yazılımı ile tam bir tarama yapın.
Raporlayın: Eğer bir phishing e-postası veya SMS aldıysanız, bunu ilgili kuruma (banka, kargo şirketi vb.) ve eğer varsa siber güvenlik yetkililerine bildirin.

Sonuç: Uyanık Ol, Güvende Kal!

Dijital dünya hızla değişiyor ve biz IT uzmanları olarak bu değişimleri takip etmek zorundayız. Ama en önemlisi, kullanıcıları bilinçlendirmek. Quishing, yeni nesil bir dolandırıcılık türü olsa da, temelinde phishing’in insani zaafları hedeflemesi yatıyor. Biz IT uzmanlarının bile her an tetikte olması gereken bir konu bu. Unutmayın, en iyi güvenlik önlemi, bilinçli ve dikkatli bir kullanıcı olmaktır.

Hepinize güvenli sörfler dilerim!