QR Kod Dolandırıcılığı (Quishing) Nedir, Nasıl Korunulur?

QR kod dolandırıcılığı (quishing) nedir?

QR kod dolandırıcılığı, gözle okunamayan bir kodun içine sahte bir web adresi saklanmasıdır. Siz kodu okuttuğunuzda telefonunuz bir sayfa açar; bu sayfa bankanızın, belediyenin, kargo şirketinin veya bir otopark işletmesinin sayfasına benzer ama dolandırıcıya aittir. Burada girdiğiniz şifre, doğrulama kodu veya kart bilgisi doğrudan ona gider.

İngilizcede bu yönteme QR ve phishing (oltalama) kelimelerinden türetilen "quishing" adı verilir. Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC) ve Türkiye'de Kişisel Verileri Koruma Kurumu (KVKK) bu terimi kullanarak uyarı yayımlamıştır. Yöntemin mantığı klasik oltalamayla aynıdır; farkı, bağlantının bir kodun arkasına gizlenmesidir. Oltalamanın genel işleyişini sosyal mühendislik ve oltalama yazısında anlattık.

QR kod güvenli mi?

QR kodun kendisi yalnızca metin taşır: bir web adresi, bir Wi-Fi ağ bilgisi veya düz bir yazı. Kod "virüs" değildir. Güvenlik sorusu, kodun sizi nereye götürdüğü ve orada ne yaptığınızla ilgilidir.

NCSC'nin değerlendirmesine göre restoran veya kafe masasındaki bir menü kodu genellikle sorun çıkarmaz; istasyon, otopark gibi herkesin erişebildiği yerlerdeki kodlarda ve e-postayla gelen kodlarda ise daha dikkatli olmak gerekir. Kısacası kodun nerede durduğu ve kimden geldiği, güvenilir olup olmadığı hakkında en iyi ipucudur.

Dolandırıcılar QR kodu nasıl kullanıyor?

Gerçek kodun üstüne yapıştırılan etiket

ABD Federal Soruşturma Bürosu'nun (FBI) internet suçları merkezi IC3, Ocak 2022'de yayımladığı uyarıda dolandırıcıların gerçek QR kodları kendi kodlarıyla değiştirdiğini bildirdi. ABD Federal Ticaret Komisyonu (FTC) da otopark ödeme makinelerine yapıştırılan sahte kodlara karşı birkaç kez uyardı; son uyarısı Eylül 2026 tarihlidir. Sürücü park ücretini ödediğini sanırken kart bilgisini dolandırıcının sayfasına yazar.

E-posta ve SMS ile gelen kodlar

"Paketiniz teslim edilemedi", "hesabınızda sorun var, hemen doğrulayın" gibi aciliyet yaratan mesajlarda bağlantı yerine QR kod kullanılabilir. NCSC ve KVKK, e-postadaki görsel kodların bazı güvenlik sistemleri tarafından bağlantı kadar kolay denetlenemediğini belirtiyor. Ayrıca kodu çoğu zaman bilgisayardaki korumaların bulunmadığı telefonla okutursunuz. SMS'le gelen tuzakların Türkiye'deki örneklerini SMS dolandırıcılığı yazısında bulabilirsiniz.

Sipariş etmediğiniz paketler

FTC'nin Ocak 2025 uyarısına göre dolandırıcılar, içinde "hediye" notu ve bir QR kod bulunan, sipariş edilmemiş paketler gönderiyor. Kod, kişisel bilgi isteyen bir sayfaya veya telefona zararlı yazılım yükletmeye çalışan bir adrese götürebilir.

Hesabınızı başka cihaza bağlayan kodlar

Bazı mesajlaşma uygulamaları, hesabı bilgisayara veya tablete bağlamak için QR kod kullanır. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Kasım 2025'te saldırganların kötü amaçlı "cihaz bağlama" kodlarıyla mesajlaşma hesaplarını ele geçirdiği konusunda uyardı. Size gönderilen bir kodu "grup davetidir" veya "doğrulama içindir" diye kendi uygulamanızla okutursanız, hesabınız saldırganın cihazına bağlanabilir. Bu durumda WhatsApp hesabım çalındı yazısındaki adımlar işinize yarar.

Sonradan yönü değiştirilen kodlar

KVKK'nın uyarısında belirtildiği gibi "dinamik" QR kodlarda basılı kod aynı kalırken arkasındaki adres değiştirilebilir. Bir zamanlar güvenilir olan bir afiş, kodu yöneten hesap ele geçirilirse başka bir yere yönlendirebilir. Bu da her okutmada adrese bakmayı gerektirir.

Sahte QR kod nasıl anlaşılır?

FBI, FTC ve KVKK uyarılarında öne çıkan işaretler şunlardır:

• Üst üste yapıştırılmış etiket: Kod, makinenin veya tabelanın baskısına ait değil de sonradan yapıştırılmış bir çıkartma gibi duruyorsa, altında başka bir kod varsa ya da kenarları kalkmışsa kullanmayın.
• Yüzeyle uyumsuz kod: Rengi, boyutu veya yazı tipi tabelanın geri kalanına uymayan kodlar şüphelidir.
• Beklenmedik mesaj ve aciliyet: Sizden hemen işlem isteyen, tanımadığınız bir kaynaktan gelen kod.
• Adreste küçük farklar: Kodu okuttuğunuzda görünen alan adında harf değişikliği, fazladan kelime veya yazım hatası.
• Kodla uygulama indirme isteği: FBI, QR koddan uygulama indirmemeyi, uygulamaları telefonunuzun resmi uygulama mağazasından aramayı öneriyor.

QR kod okuturken nelere dikkat etmeli?

Özel bir QR okuyucu uygulaması indirmeniz gerekmez. FBI, NCSC ve KVKK telefonun kendi kamerasını veya yerleşik tarayıcısını kullanmayı öneriyor. iPhone ve iPad'de kamerayı koda doğrulttuğunuzda ekranda bir bağlantı belirir; içeriği açmak için ona dokunursunuz. Android telefonlarda da kamera, kodu tanıyınca dokunulacak bir bağlantı önerisi gösterebilir; bu davranış ve ayarın adı telefon markasına göre değişir.

Bu önizleme, dolandırıcılığa karşı en önemli fırsatınızdır. Dokunmadan önce şu sırayı izleyin:

1. Görünen alan adını okuyun. Beklediğiniz kurumun adresi mi, yoksa benzer ama farklı bir adres mi?
2. Kısaltılmış veya anlamsız bir adres görüyorsanız ve işlem şifre ya da ödeme gerektiriyorsa devam etmeyin.
3. Açılan sayfa sizden şifre, doğrulama kodu, T.C. kimlik numarası veya kart bilgisi istiyorsa durun. Aynı işlemi kurumun resmi uygulamasından ya da adresi tarayıcıya kendiniz yazarak yapın.
4. Sizden bir dosya veya uygulama indirmeniz istenirse indirmeyin.

QR kodla açılan bir sayfaya asla doğrulama kodu (SMS kodu) yazmayın ve bu kodu kimseyle paylaşmayın. Gerçek kurumlar bu kodu sizden istemez.

QR kod ile ödeme güvenli mi?

Türkiye'de QR kodla yapılan ödemeler için Türkiye Cumhuriyet Merkez Bankası'nın belirlediği ortak bir standart vardır: TR Karekod. 21 Ağustos 2020 tarihli Resmî Gazete'de yayımlanan yönetmeliğe göre 6493 sayılı Kanun kapsamındaki karekodlu ödemelerde TR Karekod kullanılması zorunludur. Karekod bir kez kullanılabilen (dinamik) veya tekrar tekrar kullanılabilen (statik) olabilir ve yalnızca yetkilendirilmiş ödeme hizmeti sağlayıcıları tarafından üretilebilir.

Bu tür bir ödemede kodu bankanızın veya ödeme kuruluşunuzun kendi uygulamasıyla okutursunuz; uygulama size alıcıyı ve tutarı gösterir, onayı siz verirsiniz. Kart numaranızı bir web sayfasına yazmazsınız. Güvenli davranış şudur:

• Ödeme kodunu telefonun kamerasıyla değil, bankanızın uygulamasındaki karekod bölümüyle okutun.
• Onaylamadan önce ekranda görünen alıcı adını ve tutarı kontrol edin.
• Kamerayla okuttuğunuz bir kod sizi kart numarası, son kullanma tarihi ve güvenlik kodu isteyen bir web sayfasına götürüyorsa ödeme yapmayın.
• Otopark, fatura veya ceza gibi ödemeleri kurumun bilinen uygulamasından ya da adresini kendiniz yazdığınız resmi sitesinden yapın. FBI de ödemeyi bilinen adresten yapmayı ve şüpheli bir ödeme talebini kurumu bildiğiniz numaradan arayarak doğrulamayı öneriyor.

QR kodu okuttunuz ve bilgi girdiyseniz ne yapmalı?

• Şifre girdiyseniz: O hesabın şifresini, adresi kendiniz yazarak açtığınız gerçek siteden hemen değiştirin, açık oturumları kapatın ve iki adımlı doğrulamayı açın. Aynı şifreyi başka hesaplarda kullanıyorsanız onları da değiştirin; yeni şifreyi şifre üreticiyle oluşturabilirsiniz.
• Kart bilgisi girdiyseniz: Bankanızı kartın arkasındaki veya resmi sitesindeki numaradan arayın, kartı kapattırın ve hesap hareketlerini izleyin.
• Uygulama veya dosya yüklediyseniz: Kaldırın, telefonu güncelleyin ve güvenlik taramasından geçirin.
• Hesabınıza giremiyorsanız: Hesabım hacklendi, ne yapmalıyım rehberindeki adımları izleyin.

Sahte kodu gördüğünüz yeri işletmeye veya ilgili kuruma bildirin; maddi zarar varsa kanıtları (kodun fotoğrafı, açılan adres, ekran görüntüleri, banka kayıtları) saklayarak emniyete veya Cumhuriyet Başsavcılığına başvurabilirsiniz. Şikâyet kanallarını SMS dolandırıcılığı yazısında ayrıntılı anlattık.

Kendi QR kodunuzu oluştururken

İşletmenizin menüsü, Wi-Fi ağı veya web siteniz için QR kod basıyorsanız, kodu sonradan üstüne etiket yapıştırılmasını zorlaştıracak biçimde yerleştirin ve zaman zaman kontrol edin. Kodun altına sitenizin adresini düz yazıyla eklemek de müşterilerin okuttukları adresi karşılaştırmasını kolaylaştırır.

QR kod üreteci aracımız kodu tarayıcınızda üretir ve sabit (statik) kod oluşturur; kodun içindeki adres sonradan başka bir yere yönlendirilemez. Wi-Fi QR kodlarında ağ şifresinin kodun içinde açık metin olarak durduğunu unutmayın ve ortak alanlarda ana ağınız yerine misafir ağı kullanın.

Kaynaklar: FBI IC3 – QR kod uyarısı (2022), FTC – QR kodlardaki zararlı bağlantılar (2023), FTC – Beklenmedik paketteki QR kod (2025), NCSC – QR kodların gerçek riski, KVKK – QR Kodlarla Gelen Risk: Quishing, Apple – iPhone veya iPad ile QR kodu tarama.