Sahte QR Kod Çıkartmasını Nasıl Anlarsınız (ve Ne Yapmalısınız)

Sahte QR kod çıkartması, ya yasal bir kodun üzerine başkası tarafından yapıştırılmış ya da normalde hiçbir yasal kodun bulunmaması gereken bir yere yerleştirilmiş koddur; amaç, taramanızın sizi saldırganın kontrol ettiği bir siteye yönlendirmesini sağlamaktır. Çoğunu üç yöntemle fark edebilirsiniz: kodun bulunduğu fiziksel yüzeyde kurcalama izleri aramak, yalnızca o mekânda olmasını beklediğiniz kodları taramak ve telefonunuzun gösterdiği web adresini hiçbir şeye dokunmadan önce okumak. Zaten tarama yaptıysanız ve bilgi girdiyseniz hızlı davranın: etkilenen hesabın şifresini değiştirin, ödeme yaptıysanız veya kart bilgisi paylaştıysanız bankanızla iletişime geçin ve sonrasında gelecek olası dolandırıcılık girişimlerine karşı tetikte olun.

Sahte QR çıkartmaları neden işe yarıyor

QR kodları sessizdir. İyi basılmış bir çıkartma, bir işletmenin meşru olarak kullanacağı koddan tıpkı tıpkına görünür ve çoğu insan yıllar içinde menülerden, otopark uygulamalarından ve ödeme afişlerinden öğrendiği alışkanlıkla hiç düşünmeden tarama yapmaya yönlendirilmiştir. Telefonu işi yapar; göz işini yapmayı bırakır.

Saldırının kendisi basittir. Biri, taklit bir web sitesine yönlendiren bir kod basar, bir otopark otomatının ya da restoran masasının yanından geçer ve gerçek kodun üzerine yapıştırır. Tarama yaptığınızda, resmî ödeme sitesini ya da uygulamayı taklit eden ve kart bilgisi ya da giriş bilgisi isteyen bir sayfaya gelirsiniz. Taramayı kendiniz başlattığınız için, rastgele bir SMS'in asla veremeyeceği bir güven hissi doğar.

Güvenlik çevrelerinde buna "quishing" deniyor, ama isimden daha önemli olan mekanizma: QR kodu yalnızca bir bağlantıdır ve bir bağlantı istediği her yere işaret edebilir. Savunmanız, her taramayı beklenmedik bir e-postadaki bağlantıya davrandığınız gibi değerlendirmektir.

Sahte kodlar genellikle nerede karşımıza çıkar

Bir kodun sizi ödemeye, girişe ya da indirmeye davet ettiği her yer adaydır. En yaygın hedefler:

• Otopark otomatları ve telefonla ödemeli park tabelaları; sahte bir kod, kart bilgilerinizi toplayan bir ödeme sayfasına yönlendirebilir.
• Toplu şarj istasyonları, bisiklet paylaşım istasyonları ve elektrikli araç şarj ünitelerindeki çıkartmalar.
• Etkinlik, yardım kuruluşu ya da kargo teslimatı afiş ve el ilanları; özellikle depozito ya da "teslimat ücreti" isteyenler.
• Restoran masalarındaki menü ve ödeme kodları.
• Paketler ve teslimat notları; sahte bir "paketini takip et" kodu, yeniden teslimat ücreti ya da kişisel bilgi isteyen bir dolandırıcılık sayfasına yönlendirebilir.
• ATM çevreleri, bilet otomatları ve çıkartmanın düz durabileceği pürüzsüz, düz yüzeyli her tür kamu terminali.

Ortak nokta para ya da kimlik bilgileridir. Wi-Fi giriş sayfasına yönlendiren bir kod, ödeme formuna yönlendiren bir kod kadar cazip hedef değildir; şüphenizi kodun sizden ödeme ya da giriş istediği yerlere yoğunlaştırın.

Kurcalamanın fiziksel belirtileri

Taramadan önce kodun kendisine üç saniye bakın. Aradığınız şey, bulunduğu yüzeye ait olmadığına dair kanıttır.

• Kenarlar ve köşeler. Basılı bir kodun üzerine yapıştırılan çıkartma genellikle hafif kalkık bir kenar, hafifçe kalkan bir köşe ya da bastırıldığı yerde soluk bir hat bırakır. Yüzey izin veriyorsa kenar boyunca bir tırnağınızı gezdirin.
• Baskı kalitesindeki uyumsuzluk. Otopark otomatı ya da ödeme terminalindeki resmî kodlar genellikle cihazın parçası olarak basılır ya da işlenir. Evde basılmış bir çıkartmada renk tonları biraz farklı, yüzey daha parlak ya da modüllerin çevresinde pikselleşme görülebilir.
• Hizalama. Kod eğri, merkezden kaymış ya da yanında durması gereken yazının üzerine biniyorsa şüpheli sayın.
• Katmanlama. Birbirine çok yakın iki kod ya da orijinal tasarımın parçası olan bir çerçeveyi ya da logoyu kapatan bir çıkartma, güçlü bir gizleme işaretidir.
• Uyumlaşmayan eskime. Yıpranmış, solmuş bir yüzey üzerinde tertemiz görünen bir kod, yüzey kadar uzun süredir orada değildir.
• Yapıştırıcı kalıntısı. Kodun çevresindeki lekeler, baloncuklar ya da eski çıkartma hayaletleri, o noktanın daha önce kurcalandığını gösterir.

Bu kontrollerin hiçbiri tek başına kesin kanıt değildir. Dikkatli bir saldırgan tertemiz, düzgün hizalanmış bir çıkartma basabilir. Amaç şu: kurcalamanın çoğu hızlı ve ucuz yapılır ve genellikle iz bırakır.

Bağlantıyı açmadan önce kontrol edin

QR güvenliğindeki en yararlı tek alışkanlık şudur: telefonunuz, bir kodun nereye gittiğini siz karar vermeden önce gösterir. Bunu kullanın.

Günümüz telefonlarının çoğunda, yerleşik kamera uygulamasıyla bir QR kodu taramak, web adresini gösteren bir bildirim ya da şerit üretir. Hemen dokunmayın. Önce okuyun.

Adreste nelere bakmalı:

• Alan adı. İlk tek eğik çizgiden hemen önceki bölümdür ve gerçekten önemli olan tek bölümdür. https://pay.parking-example.com/checkout adresinde alan adı parking-example.com'dur. İlk noktadan önceki her şey (pay.) ve ilk eğik çizgiden sonraki her şey (/checkout) herkesin dilediği gibi seçebileceği süslemelerdir.
• Yazım hataları ve taklitler. Saldırganlar küçük farklara güvenir: payment-site.com yerine paYment-site.com, fazladan harfler, yer değiştirmiş harfler ya da olmaması gereken tireler. Para söz konusuysa alan adını harf harf okuyun.
• Tanımadığınız kısaltıcılar. Bağlantı kısaltıcı servislerinden gelen adresler (genellikle çok kısa bir alan adı ardından rastgele görünümlü bir kod) hedeflerini tamamen gizler. Çözümlemeden nereye gittiklerini bilemezsiniz; bu yüzden fiziksel çıkartmalardaki kısaltılmış bağlantılara ekstra şüpheyle yaklaşın. Bazı kısaltıcı servisler önizleme sayfası gösterir; sizinkisi göstermiyorsa para ya da giriş bilgisi söz konusuysa bağlantıyı takip etmeyin.
• Asma kilit garanti değildir. Asma kilit simgesi ya da "https", bağlantının şifreli olduğu anlamına gelir, sitenin dürüst olduğu anlamını değil. Sahte dolandırıcılık siteleri de https kullanır. Asma kilidi asla meşruiyet kanıtı saymayın.
• Anında baskı. Kodun açtığı sayfa hemen giriş yapmanızı, ödeme yapmanızı ya da kart bilgisi girmenizi istiyorsa, bu aceleciliğin kendisi bir uyarı işaretidir. Meşru otopark ve ödeme sayfaları genellikle önce neye ödeme yaptığınızı görmenizi sağlar.

Emin değilseniz, kodu kullanmak yerine kurumun bilinen web adresini kendiniz tarayıcınıza yazın. Otuz saniyelik yazma, tehlikeye girmiş bir karttan iyidir.

Taramadan sonraki kırmızı bayraklar

Bazı saldırılar ancak kod açıldıktan sonra görünür hale gelir. Aşağıdakilerden biri olursa durun ve geri çıkın:

• Sayfa, seçmediğiniz bir şey için kart bilgisi istiyor ya da neye ödeme yaptığınızı göstermeden önce ödeme istiyor.
• Menü, tarife ya da fiyat listesi beklerken bir giriş sayfası çıkıyor.
• Site, telefonunuzun resmî uygulama mağazası dışından bir uygulama ya da yapılandırma profili kurmanızı istiyor.
• Sayfa, o anda hiçbir meşru sürecin gerek duymayacağı bilgi istiyor: kartınızın tam PIN'i, internet bankacılığı şifreniz ya da bankacılık uygulamanızdan gelen tek kullanımlık kodlar.
• Adres birkaç kez hızlı ardışık değişiyor, beklenmedik bir yere varmadan yönlendirmelerden geçiyor.
• Sayfa bilinen bir servise benziyor ama adres çubuğundaki alan adı o servisin gerçek adıyla uyuşmuyor.

Geri çıkmak size hiçbir şeye mal olmaz. Sahte bir sayfaya bilgi girmek çok şeyinize mal olabilir.

Zaten tarama yapıp bilgi girdiyseniz ne yapmalı

Sonradan sahte bir sayfa kullandığınızı fark ederseniz, hız utançtan daha önemlidir. Şu sırayla ilerleyin:

1. Kart bilgisi girdiyseniz derhâl bankanızla iletişime geçin. Kartın bloke edilmesini ya da değiştirilmesini isteyin ve işlemi bildirin. Çoğu bankanın 24 saat açık bir dolandırıcılık hattı vardır; numara kartınızın arkasındadır ya da resmî web sitelerinde bulunur, QR kodunun yönlendirdiği hiçbir sayfada değil.
2. Şifre girdiyseniz hemen değiştirin, hem etkilenen serviste hem de aynı şifreyi tekrarladığınız her yerde. Şifre yöneticisi kullanmıyorsanız, tekrarlanan şifreleri değiştirmek başlamak için tam anıdır.
3. Bir ödemeyi ya da giriş isteğini onayladıysanız geri alın. Hesabın güvenlik ya da oturumlar sayfasını kontrol edin, tanımadığınız cihazları bulun ve oturumlarını kapatın.
4. Bir uygulama ya da profil kurduysanız kaldırın, ardından telefonunuzda yerleşik güvenlik taraması varsa çalıştırın. iPhone'larda Ayarlar'dan tanımadığınız yapılandırma profillerini kontrol edin; Android'de açıklama yapamadığınız her şeyi kaldırın.
5. Sonraki saldırılara karşı tetikte olun. Telefon numaranızı ya da e-postanızı ele geçiren saldırganlar genellikle ikna edici mesajlar ve aramalarla devam eder. Olayla ilgili gelen her mesajı şüpheyle değerlendirin ve kurumlara resmî kanallarından ulaşın.
6. Bildirin. Kodu kapatılan işletmeye söyleyin ve olayı yerel polisinize ya da ulusal siber suç bildirim servisinize rapor edin. Bu, diğer müşterileri uyarmalarına ve bazen çıkartmanın kaldırılmasına yardımcı olur.

Ne olduğunu kayıt altına alın: yönlendirildiğiniz adres ve varsa ödeme referansları dahil. Bankanız ya da polis için gerekebilir.

İşletmeler kendi kodlarını nasıl koruyabilir

QR kodu kullanan bir işletme yürütüyorsanız, hem müşterilerinizi hem de kendi itibarınızı savunuyorsunuz demektir. Pratik önlemler, kabaca etki sırasına göre:

• Hedef adresi kodun yanına basın. Kodun altına kısa, okunabilir bir web adresi koymak müşterilerin nereye gittiğini doğrulamasını sağlar ve çıkartmaya güvenmeyenlere bir alternatif sunar. Mevcut en ucuz ve en etkili koruma budur.
• Kurcalamaya duyarlı etiketler kullanın. Yırtılan, arkasında desen bırakan ya da soyulduğunda "VOID" gösteren güvenlik etiketleri, üstüne yapıştırılan çıkartmaları bariz yapar ve kurcalamayı görünür biçimde riskli hale getirir.
• Kodları üzerine yapıştırılamayacak şekilde monte edin. İşlenmiş plakalar, gömme paneller ya da doğrudan cihazın üzerine basılmış kodlar, düz yüzeydeki kağıt çıkartmadan çok daha zor değiştirilir.
• Kodlarınızı düzenli kontrol edin. Mevcut rutinlere hızlı bir görsel kontrol ekleyin: restoran açan personel her sabah masa kodlarını kontrol eder, otopark işleticisinin devirleri otomatları kapsar, dükkan vitrin afişlerini kontrol eder. Kodlarınızın üstüne yapıştırılmış çıkartmaları, kalıntıları ya da sizinkilerden farklı görünen kodları arıyorsunuz.
• Kontrol ettiğiniz ve kısa tuttuğunuz bir alan adı kullanın. Kısa, akılda kalıcı bir adres, parametre dolu uzun bir adresten müşterilerin bir bakışta doğrulamasına çok daha uygundur.
• Halka açık yerlerde önizlemesiz kısaltılmış bağlantılardan kaçının. Kısaltıcı kullanmak zorundaysanız, tarayanların hedefi görebilmesi için önizleme ya da ara sayfa gösteren bir servis seçin.
• Müşterilerinize meşru kodların nasıl göründüğünü anlatın. "Ödeme sayfamız [adres] üzerindedir; asla PIN'inizi istemeyiz" gibi küçük bir not, doğrulamanın normal olduğunu beklenti hâline getirir.
• Kurcalama bulduğunuzda hızlı tepki verin. Sahteyi kaldırın, yüzeyi temizleyin, kurcalamaya duyarlı bir sürümle değiştirin ve müşterileri alışılmış kanallarınızdan uyarın.

Alışkanlığı inşa etmek

QR güvenliği paranoya değil; tutarlı biçimde uygulanan tek bir alışkanlıktır: harekete geçmeden önce doğrula. Kodun fiziksel görünümünde, işletme tarafından yerleştirilmediğine dair işaret olup olmadığına bakın. Dokunmadan önce telefonunuzun gösterdiği adresi okuyun. Baskı altında giriş, ödeme ya da uygulama kurulumu isteyen sayfaları reddedin. Para söz konusuysa bilinen adresleri kendiniz yazın. İşletme yürütüyorsanız kodlarınızı fiziksel olarak taklit edilmesi zor hale getirin ve müşterilerinize kontrol etme yolu verin.

Sorun teknoloji değil. QR kodu bir bağlantıdır ve bağlantılar, nereye gittiklerini okuduğunuzda güvenlidir. Risk, otomatik pilotta taramaktan gelir. Otomatik pilotu bozun; bu saldırıların çoğu ilk adımda başarısız olur.

Sonuç

Sahte QR çıkartmaları, sıradan göründükleri ve taramanın güvenli, tanıdık seçenek gibi hissettirdiği için işe yarar. Savunmanız saniyeler sürer: çıkartmayı kalkık kenarlar ve uyumsuz baskı için inceleyin, açmadan önce web adresini okuyun ve doğrulamadığınız bir kod üzerinden ulaştığınız hiçbir sayfaya kart bilgisi ya da şifre girmeyin. Zaten yakalandıysanız derhâl bankanızla iletişime geçin ve şifrelerinizi değiştirin. İşletmeler her halka açık kodun yanına hedef adresi basmalı, kurcalamaya duyarlı etiketler kullanmalı ve kodlarını düzenli kontrol etmelidir. Ana çıkarım: gerçekten nereye gittiğini okuyana kadar her QR kodu, yabancıdan gelen bir bağlantı gibi davranın.