Menülerde, sokak lambalarında, park alanlarında ve son yıllarda e-postalarda sıkça karşılaşılan QR kodlar, siber saldırganların da hedefinde. QR kodlar, kötü amaçlı bağlantıları gizlemek, bazı geleneksel güvenlik filtrelerini aşmak ve kullanıcıları kurumsal bilgisayarlardan güvenlik kontrollerinin daha sınırlı olabileceği kişisel telefonlara yönlendirmek için kullanılabiliyor.

Çalışanları hedef alan QR kodlu kimlik avı saldırıları ise “quishing” olarak adlandırılıyor. Siber güvenlik araştırmalarına göre bu yöntem, saldırganların yalnızca kötü amaçlı yazılım ve kimlik bilgilerini ele geçirmek için değil, çok faktörlü kimlik doğrulama (MFA) bilgilerini hedeflemek için de kullandığı yöntemler arasında yer alıyor.

Quishing neden tehlikeli?

“Quick Response” (Hızlı Yanıt) ifadesinin kısaltması olan QR kodlar; URL’leri, ödeme bilgilerini, iletişim bilgilerini ve farklı verileri kodlayabilen iki boyutlu barkodlar olarak kullanılıyor. Kullanıcıları hızlı şekilde bir web sitesine veya uygulamaya yönlendirebilen bu yapı, kimlik avı saldırılarına da kolayca uyarlanabiliyor.

Pandemi döneminde temassız etkileşimlere yönelik talebin artmasıyla QR kodların kullanımı yaygınlaştı. Bunun sonucunda kullanıcıların telefonlarını çıkarıp QR kod taraması günlük hayatın sıradan davranışlarından biri haline geldi. Siber saldırganlar da bu alışkanlığı kimlik avı saldırılarında kullanıyor.

Quishing saldırılarında kötü amaçlı bağlantı veya ek yerine QR kod yerleştiriliyor. Birçok kimlik avı kiti de QR kod oluşturucularını içeriyor. Kullanıcı QR kodu taradığında ise saldırgan tarafından hazırlanan bağlantıya yönlendirilebiliyor.

Yöntemin saldırganlar açısından önemli avantajlarından biri, kurbanı görece iyi korunan kurumsal ortamdan yönetilmeyen veya daha az korunan bir mobil cihaza yönlendirebilmesi. Böylece kurumsal düzeydeki bazı güvenlik kontrollerinin devre dışı kalması hedefleniyor.

QR kodların görsel bir desen şeklinde olması, kötü amaçlı bağlantının kullanıcı tarafından doğrudan görülmesini de engelliyor. Bu durum bazı geleneksel e-posta filtrelerinin QR kodun içindeki bağlantıyı tespit edip incelemesini zorlaştırabiliyor. QR kodların PDF veya JPEG gibi dosyalara gömülmesi ise bu yöntemi daha da gizli hale getirebiliyor.

Klasik kimlik avı mesajlarında görülebilen yazım veya dil bilgisi hataları da QR kodlu saldırılarda daha az belirgin hale geliyor. Çünkü kullanıcıların inceleyebileceği uzun bir metin veya doğrudan görünen bir bağlantı bulunmuyor.

Saldırganlar ayrıca güvenilir markaların adını kullanarak saldırının inandırıcılığını artırabiliyor. DocuSign veya Microsoft gibi bilinen markaları taklit eden mesajlarda kullanıcılar hesaplarını güvence altına almaya ya da bilgilerini doğrulamaya yönlendirilebiliyor. Aciliyet hissi yaratılması da kullanıcıların QR kodu düşünmeden taramasını amaçlayan yöntemlerden biri.

Phishing e-postalarının en az yüzde 11’inde QR kod kullanıldı

ESET 2026 Yılı İlk Yarı Tehdit Raporu’na göre, 2026’nın ilk yarısında tüm phishing e-postalarının en az yüzde 11’inde kötü amaçlı QR kodlar yer aldı. ESET, quishing e-postalarını “QRCode/Phishing” algılama adı altında takip ediyor. Sistem, farklı dosya türlerindeki QR kodları tespit etmek ve içlerinde yer alan URL’leri çözümlemek üzere e-posta tarayıcısında özel bir katman kullanıyor. Çıkarılan URL’ler kimlik avı önleme, kötü amaçlı yazılım önleme ve spam önleme motorlarıyla taranıyor. Zararlı URL’ler engellenirken ilgili e-postalar işaretlenebiliyor veya silinebiliyor.

Tehdit aktörleri yöntemlerini çeşitlendiriyor

Quishing saldırılarının kullanım alanı kötü amaçlı yazılım yüklemek ve kimlik bilgilerini çalmakla sınırlı değil. Saldırganlar bu yöntemleri MFA jetonlarını toplamak ve farklı dolandırıcılık senaryoları oluşturmak için de kullanıyor. Güvenlik araştırmacılarının gözlemlediği yöntemler arasında doğrudan uygulama indirmeleri de bulunuyor. Bu yöntemde kötü amaçlı yazılımlar meşru uygulamalar gibi gösterilerek uygulama mağazalarının güvenlik kontrollerinin aşılması hedefleniyor.

Bazı saldırılarda kullanıcı kötü amaçlı veya kimlik avı amacı taşıyan bir web sitesine yönlendirilmek yerine doğrudan meşru bir sosyal medya, ödeme veya başka bir uygulamaya bağlanıyor.

Bu yöntem hesap ele geçirme saldırılarında kullanılabiliyor. Kurban, kendi hesabında saldırganı doğrulamaya yönlendirilebiliyor. Finansal dolandırıcılıkta ise kullanıcı, alıcı bilgilerinin önceden doldurulduğu bir ödeme uygulamasına yönlendirilebiliyor.

Kötü amaçlı QR kodlar kişi veya takvim zehirlemesi amacıyla da kullanılabiliyor. Kötü amaçlı toplantı bağlantıları veya yeni kişi bilgileri yardımcı uygulamalara eklenerek kullanıcıların daha sonra kimlik avı sitelerine yönlendirilmesi sağlanabiliyor.

Uzun ve kötü amaçlı web adreslerini kısa bağlantılara dönüştüren QR kod kısaltıcıları da güvenlik araçlarından gizlenmek amacıyla kullanılabiliyor.

Kurumlar quishing saldırılarına karşı ne yapabilir?

Quishing riskinin azaltılması için kullanıcı farkındalığı, süreçler ve teknik güvenlik önlemlerinin birlikte uygulanması gerekiyor.

Çalışanlara yönelik farkındalık eğitimleri ve simülasyon tatbikatlarında quishing saldırılarına da yer verilmesi öneriliyor. Çalışanların istenmeyen e-postalardaki QR kodlarını taramaktan kaçınması ve şüpheli durumları bildirmesi gerekiyor. E-postanın güvenilir bir kaynaktan geldiğine inanılması halinde ise gönderenle, e-postadan bağımsız şekilde elde edilen iletişim bilgileri kullanılarak tekrar teyit yapılması öneriliyor.

Kurumların ayrıca e-posta güvenliğini de kapsayan teknik kontrolleri değerlendirmesi ve quishing e-postalarının çalışanların gelen kutularına ulaşma riskini azaltması gerekiyor.

Çalışan cihazlarına mobil güvenlik çözümleri eklenmesi, kötü amaçlı sitelere ve diğer tehditlere erişimin engellenmesine yardımcı olabilir.

Hassas hesaplarda phishing’e karşı dayanıklı çok faktörlü kimlik doğrulamanın zorunlu hale getirilmesi de önemli önlemler arasında yer alıyor. Böylece kullanıcı kandırılsa bile saldırganların kurumsal sistemlere erişmesinin önüne geçilmesi hedefleniyor. Mobil cihaz yönetimi (MDM) araçları ise cihazların kurumsal güvenlik politikalarına uygun şekilde korunmasına yardımcı olabiliyor.

Bunlara ek olarak saldırı yüzeyinin azaltılması, en az ayrıcalık ve tam zamanında erişim ilkelerinin uygulanması, mobil işletim sistemleri ile kurumsal yazılımların ve güvenlik araçlarının güncel tutulması gerekiyor. Şüpheli etkinliklerin sürekli izlenmesi ve olası saldırılara karşı olay müdahale planlarının hazır tutulması da önerilen önlemler arasında bulunuyor.