QR kodlar restoran menülerinden otoparklara, ödeme ekranlarından kurumsal e-postalara kadar günlük hayatın pek çok alanında kullanılıyor. Ancak bu yaygınlık, bağlantıları görsel bir desenin arkasına saklayan yeni kimlik avı saldırılarını da beraberinde getiriyor. “Quishing” olarak adlandırılan QR kodlu kimlik avı yöntemi, kullanıcıları kurumsal bilgisayarlardan güvenlik denetimleri daha sınırlı olabilen mobil cihazlara yönlendirerek saldırganlara yeni bir alan açıyor.
ESET’in paylaştığı bilgilere göre saldırganlar, klasik kimlik avı mesajlarındaki zararlı bağlantı veya eki bir QR kodla değiştiriyor. Böylece hedef adres okunabilir metin yerine görsel desen içinde kodlanıyor. Zararlı URL’nin doğrudan görünmemesi hem kullanıcıların bağlantıyı değerlendirmesini zorlaştırıyor hem de yalnızca metin ve bağlantı analizi yapan bazı geleneksel e-posta filtrelerinin denetiminden kaçma ihtimalini artırıyor.
QR Kodlu Kimlik Avı Neden Daha Zor Fark Ediliyor?
QR kod, URL, ödeme bilgisi, iletişim bilgisi ve farklı veri türlerini taşıyabilen iki boyutlu bir barkod yapısı sunuyor. Pandemi döneminde temassız işlemlerin yaygınlaşmasıyla kullanıcıların telefonlarını çıkarıp bu kodları taraması sıradan bir davranış hâline geldi. Siber saldırganlar da bu alışkanlıktan yararlanarak QR kod üreticilerini kimlik avı kitlerine dahil etmeye başladı.
Saldırı mesajlarında analiz edilebilecek metnin az olması, yazım hatası veya şüpheli alan adı gibi klasik uyarı işaretlerini de azaltıyor. QR kodlar ayrıca PDF ve JPEG dosyalarına gömülebiliyor. Güvenilir bir markanın görsel kimliğiyle hazırlanan sahte DocuSign bildirimi ya da Microsoft güncellemesi gibi mesajlar, kullanıcıya acil işlem yapması gerektiğini söyleyebiliyor. Hesabın güvence altına alınması veya bilgilerin doğrulanması bahanesiyle sunulan kod tarandığında kullanıcı sahte oturum açma sayfasına yönlendirilebiliyor.
ESET: Kimlik Avı E-Postalarının En Az Yüzde 11’inde Zararlı QR Kod Vardı
ESET 2026 Yılı İlk Yarı Tehdit Raporu’na göre yılın ilk altı ayında tespit edilen kimlik avı e-postalarının en az yüzde 11’inde kötü amaçlı QR kodlar yer aldı. Şirket bu mesajları “QRCode/Phishing” algılama adı altında takip ettiğini belirtiyor.
ESET’in verdiği bilgiye göre e-posta tarayıcısındaki özel katman, farklı dosya türlerinde bulunan QR kodları belirleyerek içlerindeki URL’leri çözüyor. Çıkarılan adresler kimlik avı, kötü amaçlı yazılım ve spam önleme motorlarıyla taranıyor. Zararlı kabul edilen bağlantılar engellenirken ilgili e-posta işaretlenebiliyor veya silinebiliyor. Bu yaklaşım, yalnızca mesajdaki görünür metni incelemek yerine görselin içinde saklanan hedef adresi de denetime dahil etmeyi amaçlıyor.
Saldırılar Kimlik Bilgilerinin Ötesine Geçiyor
Quishing saldırıları yalnızca kullanıcı adı ve parola toplamayı hedeflemiyor. ESET, kötü amaçlı yazılım dağıtımı ve çok faktörlü kimlik doğrulama jetonlarının ele geçirilmesinin de gözlenen amaçlar arasında olduğunu aktarıyor. Saldırganlar zararlı uygulamaları meşru yazılımlar gibi gösteren doğrudan indirme bağlantılarıyla uygulama mağazalarının güvenlik katmanlarını aşmaya çalışabiliyor.
Başka bir yöntemde QR kod kullanıcıyı sahte bir internet sitesine değil, doğrudan meşru bir sosyal medya, ödeme veya başka bir mobil uygulamaya yönlendiriyor. Önceden hazırlanmış işlem bağlantıları, kurbanın kendi hesabında saldırganı doğrulamasına veya alıcı bilgileri doldurulmuş bir ödeme ekranına geçmesine yol açabiliyor. Kişi ve takvim zehirlemesi olarak tanımlanan senaryolarda ise zararlı toplantı bağlantıları ya da iletişim bilgileri yardımcı uygulamalara ekleniyor ve daha sonra açıldığında kullanıcı kimlik avı sayfasına taşınıyor.
Uzun ve şüpheli adresleri kısaltarak QR kod içine yerleştiren bağlantı kısaltma hizmetleri de gerçek hedefi gizlemek için kullanılabiliyor. Bu çeşitlilik, güvenlik ekiplerinin yalnızca e-posta ağ geçidini değil, kodun açıldığı mobil cihazı ve işlem yapılan uygulamayı da hesaba katmasını gerektiriyor.
Kuruluşlar Quishing Riskini Nasıl Azaltabilir?
ESET, kullanıcı farkındalığı eğitimleri ve kimlik avı simülasyonlarına QR kodlu saldırıların eklenmesini öneriyor. Çalışanların beklenmedik e-postalardaki kodları taramaması, şüpheli mesajları güvenlik ekibine bildirmesi ve mesajın gerçekten bilinen bir kaynaktan geldiğini düşünüyorsa göndereni e-postadan bağımsız bir iletişim kanalıyla doğrulaması gerekiyor.
Teknik tarafta, QR kodları çözümleyebilen e-posta güvenliği kontrolleri ile mobil tehdit korumasının birlikte kullanılması öne çıkıyor. Hassas hesaplarda kimlik avına dayanıklı çok faktörlü kimlik doğrulamanın zorunlu tutulması, parola ele geçirilse bile kurumsal sistemlere erişimi zorlaştırabilir. Mobil cihaz yönetimi araçları da çalışan telefonlarının kurum politikalarına uygun biçimde yapılandırılmasına yardımcı olabilir.
En az ayrıcalık ve tam zamanında erişim ilkelerinin uygulanması, saldırı yüzeyinin daraltılması, mobil işletim sistemleri ile kurumsal yazılımların güncel tutulması ve şüpheli hareketlerin sürekli izlenmesi diğer öneriler arasında yer alıyor. Kuruluşların ayrıca başarılı bir saldırı ihtimaline karşı olay müdahale planlarını önceden hazırlaması ve düzenli olarak sınaması gerekiyor.
Quishing saldırıları hakkında paylaşılan teknik açıklamanın tamamına ESET Türkiye’nin yayımladığı bilgilendirme sayfasından ulaşılabiliyor.