QR Kod Tabanlı Kimlik Avı Saldırıları

Quishing Nedir?

Quishing, saldırganın zararlı bir bağlantıyı QR kod içine gömerek kullanıcıyı sahte bir web sitesine yönlendirmesidir. Kullanıcı bağlantıyı görmez. Tıklamaz. Sadece kamerayı tutar.

Ve bir anda:

1. 1. Sahte banka giriş ekranı
   2. Microsoft 365 oturum açma sayfası
   3. Kargo güncelleme formu
   4. Kurumsal VPN kimlik doğrulama paneli

ekrana düşer.

Link görünmediği için şüphe refleksi zayıflar.

Neden Bu Kadar Etkili?

1. URL Önizlemesi Yok

E-posta linklerinde en azından adres çubuğu incelenebilir. QR kodda kullanıcı çoğu zaman doğrudan sayfaya gider.

2. Mobil Öncelikli Hedef

QR kodlar genellikle mobil cihazla okutulur. Mobil tarayıcılarda URL kontrolü ve sertifika inceleme alışkanlığı daha düşüktür.

3. Fiziksel Güven Algısı

Restorandaki masa, ofisteki pano, kargo üzerindeki etiket… Fiziksel ortam, dijital tehdidi maskeleyebilir.

Gerçekçi Saldırı Senaryosu

Bir şirketin muhasebe departmanına e-posta gelir:

“Yeni güvenlik politikası gereği MFA doğrulaması yapmanız gerekiyor. QR kodu tarayın.”

Çalışan QR kodu okutur. Sahte Microsoft oturum sayfasına gider. Bilgilerini girer.

Saldırgan anlık olarak gerçek sisteme login olur ve MFA push isteğini tetikler.

Kullanıcı “Evet” der.

Ve zincir tamamlanır.

Saldırganlar QR Kodları Nerede Kullanıyor?

1. 1. Sahte e-postalar
   2. PDF fatura ekleri
   3. Sosyal medya paylaşımları
   4. Kamuya açık alanlardaki sticker’lar
   5. Kurumsal doküman taklitleri

Bazen gerçek QR kodun üstüne zararlı bir QR etiketi yapıştırılır. Analog dünyada başlayan bir müdahale, dijital ihlale dönüşür.

Hangi Veriler Hedefte?

1. 1. Kurumsal e-posta hesapları
   2. Bankacılık bilgileri
   3. Kripto cüzdan erişimleri
   4. VPN kimlik bilgileri
   5. Tek kullanımlık doğrulama kodları

QR kod yalnızca kapıdır. İçeride kimlik bilgisi hasadı vardır.

Kurumsal Risk Boyutu

QR tabanlı kimlik avı saldırıları özellikle:

1. 1. Hibrit çalışan organizasyonlarda
   2. Mobil cihaz yönetimi zayıf şirketlerde
   3. MFA yorgunluğu yaşayan ekiplerde

daha yüksek başarı oranına sahiptir.

Ayrıca güvenlik filtreleri QR içeriğini analiz etmekte zorlanabilir. Çünkü zararlı bağlantı metin olarak görünmez.

Korunma Stratejileri

1. Kullanıcı Farkındalığı

Çalışanlara şu alışkanlık kazandırılmalı:

1. 1. QR kodu taradıktan sonra URL’yi kontrol et
   2. Alan adını dikkatle incele
   3. Kurumsal giriş sayfalarını manuel yazmayı tercih et

2. E-posta Güvenliği

QR kod içeren ekleri analiz edebilen güvenlik çözümleri kullanılmalı.

3. Zero Trust Yaklaşımı

Kimlik bilgisi çalınsa bile erişim sınırlandırılmalı:

1. 1. Cihaz uyumluluk kontrolü
   2. Koşullu erişim politikaları
   3. Anomali tespiti

4. MFA Güçlendirme

Push MFA yerine phishing-resistant yöntemler:

1. 1. FIDO2
   2. Donanım anahtarları
   3. Sertifika tabanlı kimlik doğrulama

Tehlikeli Yanılgı

“QR kod güvenlidir çünkü sadece resimdir.”

Hayır. QR kod bir veri kapsülüdür. İçinde URL, Wi-Fi konfigürasyonu, ödeme bilgisi veya komut olabilir. Görsel olması güvenli olduğu anlamına gelmez.

Sonuç

QR kod tabanlı kimlik avı saldırıları sessiz, hızlı ve kullanıcı reflekslerini atlayan bir tehdit türüdür. Linki gizler, aceleyi tetikler ve mobil alışkanlıkları kullanır.

Dijital güvenlik artık yalnızca tıklamayı değil, kamerayı da kapsıyor.

Çünkü bazen bir kare desen, bir şirketin tüm erişim kapılarını açabilir.