Quishing — QR kodla oltalama — bir QR kodun sizi, taklit ettiği gerçek adres yerine sahte bir ödeme sayfasına, giriş formuna veya indirmeye gönderdiği bir dolandırıcılık türüdür. QR kod, bağlantısını tarayana kadar gizlediği için savunma basittir: bağlantıyı önizleyin, alan adını kontrol edin ve beklenmedik bir taramadan sonra asla şifre veya kart bilgisi girmeyin.
Quishing nedir, neden işe yarıyor?
Bir QR kod, yalnızca bir kısayoldan ibarettir: genellikle bir web adresini kodlayan bir nokta deseni. Telefonunuz bu metni çözümler ve açmayı önerir. Sorun şudur ki noktaları gözle okuyamazsınız; bir kodun nereye gittiğini, ekranınıza gelene kadar göremezsiniz.
Dolandırıcılar iki şeyden yararlanır. Birincisi alışkanlık: menü, park tabelası veya afiş taramak rutin bir davranış haline gelir, rutin ise düşünmeyi durdurur. İkincisi ödünç alınan güven: duvara, mektuba veya faturaya basılı bir kod resmi görünür; oysa ücretsiz bir oluşturucu olan herkes saniyeler içinde kod üretebilir. "Quishing" adı, "QR" ve "phishing" kelimelerinin birleşimidir — sahte e-postalarda kullanılan aynı tuzaklar, kare bir çıkartma yoluyla sunulur.
En yaygın quishing dolandırıcılıkları
Gerçek kodların üstüne yapıştırılan sahte çıkartmalar. Klasik örnek, cep telefonuyla ödeme yapılan sokak parkıdır. Dolandırıcı kendi QR kodunu çıkartmaya basar ve parkomat ya da tabeladaki gerçek kodun üzerine yapıştırır. Sürücüler tarar, ödeme sitesinin inandırıcı bir kopyasına düşer, kart bilgilerini girer; para da kart verisi de dolandırıcıya gider. Aynı tuzak elektrikli araç şarj istasyonlarında, bisiklet ve scooter kiralama noktalarında, restoran masalarında, bağış afişlerinde ve yardım kutularında da karşınıza çıkar.
E-posta ve mektuptaki kodlar. E-postanın içindeki QR kod genellikle bir görseldir; bu yüzden metin tabanlı spam filtrelerinin okuyacağı şey azalır. Kağıt mektuplar da aynı işi görür: "hesabınız kapatılacak", "paketiniz teslim edilemedi", "size bir iade ödemesi var — talep etmek için tarayın". Mektup formatı otorite katarken, QR kod bağlantıyı gizler.
Acele ödeme talepleri. Birçok quishing mesajı, sıradan oltalamadaki aynı düğmelere basar: hemen ödenmesi gereken bir ceza, depoda bekleyen bir kargo, askıya alınmış bir hesap. Aciliyetin amacı, kontrol yapmanızı engellemektir.
Bir tarama, sayfa açmaktan fazlasını da yapabilir. İçeriğine bağlı olarak alıcısı önceden dolu bir ödeme uygulaması açabilir, kişi veya takvim kaydı ekleyebilir, indirme başlatabilir ya da telefonunuzu bir Wi-Fi ağına bağlayabilir. Bunların her biri kötüye kullanılabilir.
Bağlantıyı açmadan önce önizleyin
Modern telefonların çoğu, yerleşik kamerayla taradığınızda hedefi bir banner veya bildirim olarak gösterir — siz dokunana kadar hiçbir şey açılmaz. O önizlemeye işin tamamı gibi davranın: acele ediyor olsanız bile her seferinde okuyun.
Birçok telefonda önizlemeye uzun basarak tam web adresini görebilirsiniz; bağlantı kısaltılmış ya da tuhaf görünüyorsa bunu yapmaya değer. Bir tarayıcı uygulaması tarayıcıyı kendiliğinden açıyorsa veya sormadan indirme başlatıyorsa, onu değiştirin. Önce her zaman bağlantıyı gösteren bir tarayıcı — QRCodeMax.Vip'teki ücretsiz tarayıcı böyle çalışır — kararı yeniden sizin elinize verir.
Bir alışkanlık daha: para veya giriş gerektiren her şey için taramayı tamamen atlayın ve resmi uygulamayı açın ya da zaten bildiğiniz adresi yazın. QR kod bir kolaylıktır, asla bir zorunluluk değil.
Alan adını birkaç saniyede nasıl kontrol edersiniz?
Bir web adresinde önemli olan tek bölüm vardır: alan adı, yani ilk tek eğik çizgiden hemen önceki kelimeler. pay.meters.example.com adresinde alan adı example.com'dur. example.com.meters-pay.info adresinde ise alan adı meters-pay.info'dur — baştaki "example.com" süslemedir. Dolandırıcılar, insanların soldan sağa okuyup tanıdık kelimede durduğuna bahse girer.
Ayrıca benzeticilere bakın: "o" olması gereken yerde sıfır, "m" yerine "rn", fazla kısa çizgiler ya da tanıdık bir marka adının alakasız bir son eke yapıştırılmış hali. Meşru kuruluşlar küçük bir ödeme alan adı seti kullanır; hiç görmediğiniz bir alan adına yönlendiren bir park çıkartması, durmak için başlı başına bir nedendir.
Alan adı size hiçbir şey ifade etmiyorsa ödemeyin, giriş yapmayın, indirmeyin. Sayfayı kapatın.
Aciliyete güvenmeyin — beklenmedik taramadan sonra kimlik bilgisi girmeyin
Aciliyet en yüksek sesli kırmızı bayraktır. Gerçek cezalar, gerçek kargolar ve gerçek hesap sorunları otuz dakikada sona ermez; hiçbir gerçek kuruluş şifrenize aceleyle ihtiyaç duymaz. Taramayıp hemen ödemediğiniz takdirde ceza, çeki ya da kapanmış hesap tehdidi yapan her mesajı, aksi kanıtlanana dek düşmanca sayın.
Neredeyse her quishing sonucundan koruyan kural şu: beklenmedik bir taramadan sonra asla şifre, kart numarası veya tek kullanımlık kod girmeyin. Sayfaya bakmakta sakınca yok; yazmakta var. Gerçekten park ya da fatura borcunuz varsa, çıkartmanın size verdiği sayfadan değil, normalde kullandığınız uygulama veya siteden ödeyin.
Bir taramanın açtığı herhangi bir ödemeyi onaylamadan önce alıcının adını ve tutarı kontrol edin — QR ödemeler önceden dolu gelebilir, dolandırıcılık da o doldurmada gizlidir. Ve bir QR kod istedi diye asla uygulama kurmayın ya da izin vermeyin.
Bozuk çıkartmaları ve şüpheli yerleşimleri fark etmek
Fiziksel dolandırıcılık fiziksel iz bırakır. Kamuya açık bir kodu taramadan önce iki saniyelik bir bakış atın:
- Kenarları kalkmış, kabarcıklı ya da basılı bir etiketin üstüne yapıştırılmış çıkartmalar
- Çevresindeki tabeladan daha keskin, daha bulanık ya da farklı renkte baskı
- Orada olmasına gerek olmayan bir kod; örneğin direk üzerinde bir ödeme kodu
- Orijinal yazının ya da başka bir kodun bir bölümünü örten çıkartma
Kodu, yanında düz metinle yazılmış web adresiyle karşılaştırın; uyuşmazlık net bir uyarıdır. Bir şey ters görünüyorsa taramayın — başka bir yolla ödeyin ve durumu, makine ya da tabelanın üzerinde basılı telefon numarasından operatöre bildirin; asla çıkartmanın kendisinin verdiği numaradan değil.
Önce bağlantıyı gösteren bir tarayıcı kullanın
Telefonunuzun yerleşik kamerası genellikle doğru araçtır: bağlantıyı önizler ve kendi kendine hiçbir şey kurmaz. Hangi tarayıcıyı kullanırsanız kullanın, üç özellik önemlidir. Herhangi bir şeyi açmadan önce hedefi göstermeli, asla kendiliğinden dosya indirmemeli ve bilinmeyen bir uygulama mağaza kaydından değil, güvendiğiniz bir kaynaktan gelmeli.
Telefonunuzun işletim sistemini ve tarayıcısını da güncel tutun; modern tarayıcılar bilinen birçok oltalama sayfasını tanır ve sizi uyarır. Bu güvenlik ağı yardımcı olur ama garanti değildir — taze bir alan adındaki sahte sayfa gerçekle birebir aynı görünebilir; işte bu yüzden alan adını okumak her araçtan daha önemlidir.
İşletmeniz QR kod kullanıyorsa
Bastığınız her kod bir sözdür ve yer değiştiren bir çıkartma, bu sözü müşterilerinize yapılmış bir saldırıya çevirir. Birkaç alışkanlık bu sözü korur:
- Her fiziksel koda bir sahip belirleyin ve yüksek riskli olanları — park, ödeme, gözetimsiz makineler — düzenli aralıklarla kontrol edin.
- Yönettiğiniz, tutarlı ve kısa bir alan adından geçen "dinamik" QR kodlar kullanın; böylece ele geçirilmiş bir hedef, her afişi yeniden bastırmak yerine dakikalar içinde değiştirilebilir veya kapatılabilir.
- Her kodun yanına hedef alan adını düz metinle basın. Müşteriler böylece kodun nereye gittiğini doğrulayabilir; o yazıyı örten bir çıkartma anında şüpheli olur.
- Hedefi gizleyen rastgele kısa bağlantılardan kaçının; kısaltacaksanız kendi alan adınızı kullanın.
- Kodları personelin görebileceği yerlere koyun ya da müdahale fark edilir bir muhafazayla koruyun; gözetimsiz açık alandaki her kodu sürekli bir risk sayın.
- Müşterilerinize ödemeyi nasıl isteyeceğinizi ve istemeyeceğinizi anlatın; personeli, e-postalardaki QR kodlara bağlantılara gösterdiği şüpheyle yaklaşmaya eğitin.
Son olarak, yayımlanmış her kodun hâlâ doğru sayfaya gittiğini periyodik olarak kontrol edin. Bir değişikliği müşteri fark ederse, bunu öğrenmenin en kötü yolu odur.
Özet
Bir QR kod, kılık değiştirmiş bir bağlantıdan ibarettir; ona, yabancıdan gelen bir bağlantıya davrandığınız gibi davranın: önizleyin, alan adını okuyun, aciliyete hayır deyin ve beklenmedik bir taramadan sonra asla şifre ya da kart bilgisi girmeyin. Dokunmadan önceki iki saniyelik duraklama, neredeyse her quishing dolandırıcılığını boşa çıkarır.