QR Kodlar Güvenlik Tehdidi Oluşturabilir mi?
Kısa cevap: Evet, QR kodlar güvenlik tehdidi oluşturabilir — ama kodun kendisi değil, arkasındaki bağlantı tehlikelidir. QR kod, içine gömülmüş bir metnin (genellikle bir web adresinin) makine tarafından okunabilir hâlidir. Yani bir bakıma "gözle okunamayan bağlantı"dır. Bu yüzden e-postadaki şüpheli bir bağlantıya uygulanan mantığın aynısı QR kodlar için de geçerlidir. QR kod güvenliği dediğimiz şey, temelde "nereye gittiğimi görmeden tıklamamak" alışkanlığını kameraya taşımaktan ibarettir.
QR kod tam olarak ne yapar?
Bir QR kodun içinde şunlardan biri olabilir: bir web adresi, düz metin, telefon numarası, Wi-Fi ağı bilgisi, kişi kartı ya da bir ödeme talebi. Telefon kamerası kodu okuduğunda içerikteki talimatı çalıştırmaya hazırlanır. Yani kod aslında bir kısayoldur; kendi başına zararlı yazılım "taşımaz", sizi zararlı bir yere yönlendirir.
Fark şu: Bilgisayarda bir bağlantının üzerine geldiğinizde adresi görebilirsiniz. QR kodda ise siyah beyaz karelere bakarak hiçbir şey anlayamazsınız. Saldırganın işini kolaylaştıran tam olarak bu görünmezlik.
Sahte QR kodlar nasıl kötüye kullanılıyor?
Fiziksel üzerine yapıştırma
En yaygın yöntem şaşırtıcı derecede basit: Gerçek QR kodun üzerine kendi çıkartmasını yapıştırmak. Otopark ödeme makineleri, kafe menüleri, elektrikli scooter kiralama noktaları, afişler, kargo kutuları... Kod değişmiş gibi görünmez, çünkü zaten nasıl göründüğünü kimse hatırlamaz.
Kimlik avı sayfasına yönlendirme
Kodu okuttuğunuzda karşınıza gerçeğine çok benzeyen bir giriş ekranı çıkar: banka, kargo firması, kurumsal e-posta paneli. Girdiğiniz kullanıcı adı ve şifre doğrudan saldırgana gider. Bu, klasik kimlik avı saldırısının kamerayla çalışan versiyonudur; korunma yöntemleri de büyük ölçüde aynıdır.
Ödeme yönlendirmesi
Ödeme amaçlı kodlarda alıcı hesabı değiştirilerek para başka birine aktarılır. Ödeme yaptığınız uygulamada alıcı adının, tutarın ve açıklamanın onay ekranında beklediğiniz gibi olup olmadığını kontrol etmezseniz farkı anlamanız zordur.
Uygulama indirtme
Bazı kodlar sizi resmî mağaza yerine doğrudan bir kurulum dosyasına götürür. Telefonunuz "bilinmeyen kaynak" uyarısı verir ve pek çok kullanıcı bu uyarıyı okumadan geçer. Sonuç genellikle veri çalan ya da SMS okuyan bir uygulamadır.
Wi-Fi kodları
QR kodla otomatik bağlanan ağlar pratiktir ama kimin kurduğunu bilmediğiniz bir ağa bağlanmak, herkese açık ağlardaki tüm riskleri üstlenmek anlamına gelir. Trafiğinizin araya girilerek izlenmesi mümkündür.
Güvenli tarama nasıl yapılır?
- Önizlemeyi açık tutun. Modern telefon kameraları kodu okuduğunda adresi bir bildirim şeridinde gösterir. Hemen dokunmak yerine o adresi okuyun.
- Alan adının sonuna bakın. Adresin güvenilirliğini belirleyen kısım, ilk eğik çizgiden önceki son bölümdür. "banka-guvenlik.example.com" ile "banka.com" aynı şey değildir.
- Kısaltılmış bağlantılara temkinli yaklaşın. Nereye gittiği belli olmayan kısa adresler QR kodlarda sık kullanılır; meşru olabilir ama doğrulanamaz.
- Fiziksel koda dokunun. Parmağınızla üzerinden geçin: Kabarık bir çıkartma, kenarından kalkmış bir katman ya da farklı kâğıt dokusu varsa okumayın.
- Kritik işlemleri koddan başlatmayın. Banka, resmî kurum veya kurumsal hesap girişini kod üzerinden değil, uygulamayı kendiniz açarak ya da adresi elle yazarak yapın.
- Giriş bilgisi isteyen sayfada durun. Bir QR kodun sizi doğrudan şifre isteyen bir ekrana götürmesi başlı başına şüphe sebebidir.
- İkinci katmanı devrede tutun. Şifreniz çalınsa bile iki faktörlü doğrulama saldırganı çoğu durumda kapıda tutar. Şifrelerinizi bir şifre yöneticisinde saklıyorsanız, yönetici sahte alan adına otomatik doldurma yapmadığı için ekstra bir uyarı sinyali de kazanırsınız.
Hangi durumda risk daha yüksek?
| Durum | Risk | Ne yapmalı |
|---|---|---|
| Restoran menüsü | Düşük–orta | Sadece menü görüntüleyin, hesap açmayın |
| Sokaktaki afiş, çıkartma | Yüksek | Adresi okuyup elle yazın |
| Otopark / ödeme makinesi | Yüksek | Kurumun resmî uygulamasını kullanın |
| E-posta ekindeki kod | Çok yüksek | Okumayın; kurumla ayrı kanaldan doğrulayın |
| Kendi kurumunuzun basılı belgesi | Düşük | Yine de açılan adresi kontrol edin |
Yanlışlıkla okuttum, ne yapmalıyım?
Sadece kodu okutmak ve adresi görmek çoğu durumda zarar vermez. Tehlike, açılan sayfada bilgi girdiğinizde ya da bir dosya indirip kurduğunuzda başlar.
- Şifre girdiyseniz: O hesabın şifresini hemen değiştirin, aynı şifreyi kullandığınız diğer hesapları da güncelleyin ve oturumları kapatın.
- Kart bilgisi girdiyseniz: Bankanızı arayıp kartı bloke ettirin.
- Uygulama kurduysanız: Kaldırın, telefonu güncelleyin ve zararlı yazılım taraması yapın.
- Kurumsal bir hesapsa: Kendi başınıza çözmeye çalışmadan bilgi işlem ekibine haber verin.