QR kod dolandırıcılıkları: araştırma ne diyor

Kısaca

• Müşterilerinizin tanıdığı bir adresi açan kodlar basın, tercihen kendi web sitenizi.
• Kodları çıkartmaya değil yüzeye basın ve herkese açık yerlerdeki kodların üzerinde çıkartma olup olmadığını kontrol edin.
• Okuttuğunuz bir kodu açmadan önce kameranızın gösterdiği adresi okuyun.

QR kodlu e-postalar insanları linkler kadar sık kandırdı

Kimlik avı (phishing), insanları sahte bir web sitesine gönderen sahte mesajlar demektir. QR kodla kimlik avı, yani quishing, aynı şeyi link yerine bir QR kodla yapar.

2025'te Marie Weinz liderliğindeki bir Lihtenştayn Üniversitesi ekibi, küçük işletmelerden çok uluslu bir şirkete kadar gerçek kuruluşlarda kimlik avını test etti. 71.000'den fazla test e-postası gönderdiler. Bazılarında normal bir link, bazılarında bir QR kod vardı.

QR kodlu e-postalar, insanları sahte sayfaya linkli e-postalar kadar sık götürdü. Yazarlar, adres bir resmin içinde durduğu için QR kodlu e-postaların e-posta filtrelerince yakalanmasının da daha zor olduğunu belirtiyor. Makale AsiaCCS 2025 güvenlik konferansında sunuldu.

Daha önceki iki çalışma da aynı yönü gösteriyor. 2022'de Sharevski ve ekibi, 173 kişiye COVID-19 kartı için sahte bir QR kod okuttu. %67'si Google veya Facebook hesabıyla kaydolmaya istekliydi ve en sık gösterdikleri neden kolaylıktı. 2024'te Geisler, Pöhn ve Hommel, Almanya'daki bir araştırma kampüsüne sahte anket afişleri astı. Ödül de sunan daha profesyonel bir afiş, sade bir afişe göre neredeyse üç kat daha sık okutuldu.

QR kod basıyorsanız

İnsanlar tanıdıkları bir adresi kontrol edebilir. Tanınması en kolay adres kendi web sitenizdir.

• Mümkün olduğunda kendi adresinizi gösterin. Statik bir kod web adresinizi doğrudan açar. QR Lasts Pro ile dinamik kodlar da kendi alan adınızı kullanabilir.
• Yüzeyin üzerine basın. Bir tabelaya basılmış kodun üzeri, çıkartma bir koda göre daha zor kapatılır.
• Herkese açık yerlerdeki kodları kontrol edin. Masalarda, afişlerde ve kapılarda ara sıra kodunuzun üzerinde çıkartma olup olmadığına bakın.
• Kodun nereye gittiğini yazın. Kodun altına “dukkaniniz.com/menu adresini açar” gibi bir satır, insanların açmadan önce kontrol etmesini sağlar.

Bir kodu açmadan önce nasıl kontrol edersiniz

1. Önce adresi okuyun. Çoğu kamera uygulaması adresi açmadan önce gösterir.
2. Site adını bulun. Adresi ilk tek / işaretine kadar okuyun, sonra son iki parçaya bakın. parking-city.example.com.pay-now.ru/pay adresinde site pay-now.ru'dur. .co.uk ve benzerleriyle biten adreslerde son üç parçaya bakın.
3. Giriş yapmanızı veya ödeme yapmanızı isteyen kodlara dikkat edin. Otopark, banka ve kargo hizmetleri genellikle kendi uygulamalarında veya web sitelerinde ödeme yapmanıza izin verir. Bunları kendiniz açabilirsiniz.
4. Çıkartma olup olmadığını elinizle yoklayın: parkmetrelerde ve afişlerde, okutmadan önce.
5. Beklemediğiniz e-postalardaki kodları okutmayın. Bunun yerine doğrudan hizmete gidin.

QR Lasts nasıl yardımcı olur

Statik kodlar arada hiçbir şey olmadan kendi adresinizi açar. Burada oluşturulan her kod, ücretsiz veya ücretli, yönlendirmeye devam eder. Bir kodu durdurmamızın tek nedeni kötüye kullanımdır, örneğin Google Web Risk'in kimlik avı veya kötü amaçlı yazılım olarak işaretlediği bir hedef.

Kaynaklar

• Weinz, Zannone, Allodi, Apruzzese, The Impact of Emerging Phishing Threats: Assessing Quishing and LLM-generated Phishing Emails against Organizations, AsiaCCS 2025.
• Sharevski et al., Gone Quishing: A Field Study of Phishing with Malicious QR Codes, 2022.
• Geisler, Pöhn, Hommel, Hooked: A Real-World Study on QR Code Phishing, 2024.

Bir çalışmayı yanlış okuduysak bize bildirin, düzeltelim.