O Kareyi Okutmadan Önce Bakın: QR Kod Tuzağı (Quishing)
Bir kafede oturuyorsunuz. Masanın üzerinde küçük bir stant, üzerinde bir kare kod: "Menü için okutun." Telefonunuzu çıkarıyor, kodu okutuyor, açılan sayfaya bakıyorsunuz. Belki menü açılıyor, belki bir "ödeme" ya da "kampanya" sayfası. Kredi kartı bilgilerinizi giriyorsunuz.
Sorun şu: masadaki o kare kod, kafenin gerçek kodu değildi. Birisi gerçek kodun üzerine, tıpatıp benzeyen sahte bir çıkartma yapıştırmıştı. Ve sizi kendi sahte sitesine yönlendirdi.
Buna "quishing" deniyor — QR kod (Quick Response) ve phishing (oltalama) kelimelerinin birleşimi. 2026'nın en hızlı büyüyen dolandırıcılık türlerinden biri. Bu yazıda QR kod tuzağının ne olduğunu, neden bu kadar etkili olduğunu, nerelerde karşınıza çıktığını ve iki saniyelik basit bir alışkanlıkla nasıl korunacağınızı sade bir dille anlatacağım.
QR kod neden dolandırıcılar için mükemmel bir araç?
Geleneksel oltalama saldırılarında bir bağlantı görürsünüz: mavi renkli, altı çizili bir link. Dikkatli kullanıcılar bu linkin üzerine gelip nereye gittiğini kontrol edebilir, tuhaf bir adres varsa tıklamaz.
QR kod bu kontrolü ortadan kaldırıyor. Kod, bir resimdir. İçindeki adres, gözle görülmez — kare desenin içine gizlenmiştir. Siz kodu okutana kadar nereye gideceğinizi bilemezsiniz. İşte dolandırıcının en sevdiği şey bu: hedefi gizleyen bir tuzak.
Üstelik QR kodlar bize güven veriyor. Pandemiden bu yana restoran menüsü, otopark ödemesi, etkinlik girişi, fatura ödeme — her yerde QR kod kullanıyoruz. NordVPN araştırmasına göre kullanıcıların %73'ü, bir QR kodu nereye götürdüğünü kontrol etmeden okutuyor. Bu öğrenilmiş güven, sahte kodlara da olduğu gibi aktarılıyor.
Rakamlar ne söylüyor?
QR kod dolandırıcılığı teorik bir tehdit değil, ölçülen ve hızla büyüyen bir gerçek.
Microsoft, 2026'nın ilk çeyreğinde QR kod dolandırıcılıklarında %146'lık bir artış raporladı — yalnızca Mart ayında yaklaşık 18,7 milyon vaka kaydedildi. Keepnet Labs verilerine göre QR tabanlı oltalama saldırıları 2025'te beş katına çıktı ve artık tüm oltalama saldırılarının yaklaşık %12'si bir QR kod içeriyor. Bu oran 2021'de sadece %0,8'di.
Maddi zarar da ciddi. 2025'te 200 mağaza lokasyonunda tespit edilen sahte çıkartma saldırıları yalnızca zarar telafisi için 2,3 milyon dolara mal oldu. Bir başka olayda, sahte bir kurumsal not içindeki QR kodu okutan çalışanlar nedeniyle bir finans kuruluşu 2,3 milyon dolar kaybetti.
Quishing nerede karşınıza çıkar?
Saldırganlar QR kod tuzaklarını dört ana yolla kuruyor.
1. Fiziksel çıkartma saldırıları. En sinsi olanı. Saldırgan, profesyonel görünümlü sahte QR çıkartmaları basıyor ve gerçek kodların üzerine yapıştırıyor. Hedefler: otopark ödeme makineleri, restoran masaları, mağaza ödeme noktaları. ABD, İngiltere ve Avustralya'da pek çok şehirde otopark makinelerinde bu tür sahte kodlar tespit edildi. Kurbanlar, sahte "şehir otopark ödeme" sayfasına kart bilgilerini girdi — dolandırıcılığı ancak günler sonra hesap ekstresinde gördü.
2. E-posta içinde QR kod. Sahte bir e-posta ("İK bildirimi", "MFA sıfırlama", "maaş bordrosu güncellemesi") tıklanabilir link yerine bir QR kod resmi içeriyor. "Doğrulamak için telefonunuzla okutun" diyor. Bu, e-posta güvenlik filtrelerini atlatmanın kurnaz bir yolu: filtreler metindeki linkleri tarar, ama bir resmin içindeki kodu çözemez.
3. Belge içine gömülü kodlar. QR kodlar PDF'lerin, faturaların, kurumsal eklerin içine yerleştiriliyor. Dosya, tarama araçlarına temiz görünüyor — tehdit, kodun çözüldüğü adreste saklı.
4. Sahte afiş, broşür ve postalar. "Vergi iadesi", "kargo yeniden teslimatı", "bağış kampanyası" vaat eden fiziksel mektuplar veya afişlerdeki QR kodlar.
Neden bu kadar etkili? Üç psikolojik tuzak
Quishing, aynı anda üç psikolojik zaafı sömürüyor.
Ortama duyulan güven. Bir otopark makinesine, restoran masasına ya da resmi görünümlü bir afişe yapıştırılmış QR kod, bulunduğu yerin otoritesini ödünç alır. Aslında çıkartmaya güvenmiyorsunuz — etrafındaki ortama güveniyorsunuz. Saldırgan tam da bunu kullanıyor.
Hız ve pratiklik alışkanlığı. QR kodlar hızlı erişim için tasarlandı. "Okut ve geç" refleksi, düşünmeye yer bırakmıyor. Araştırmalar, bir oltalama tuzağına ortalama tıklama süresinin sadece 21 saniye olduğunu gösteriyor.
Mobil cihazın korumasızlığı. QR kodu genellikle kişisel telefonunuzla okutuyorsunuz. O an, kurumsal güvenlik korumalarının (güvenlik duvarı, DNS filtresi, e-posta ağ geçidi) hiçbirinin olmadığı bir cihaza geçmiş oluyorsunuz. Telefon, bu saldırının en zayıf halkası.
- Çıkartma üstüne çıkartma: Kodun bir etiket olarak yapıştırıldığını görüyorsanız — özellikle altında başka bir kod varsa — dikkat
- Beklenmedik giriş ekranı: Menü/afiş okuttunuz ama karşınıza şifre veya ödeme sayfası çıktı
- Tuhaf alan adı: Açılan adres, olması gereken kurumla alakasız veya yazım hatalı
- Uygulama indirme isteği: "Görüntülemek için uygulama kurun" — durun
- Aciliyet: "Hemen ödeyin yoksa ceza kesilir" baskısı
HTTPS kilidi güvenli olduğu anlamına gelmez
Yaygın bir yanılgıyı düzeltmek gerekiyor: tarayıcıdaki kilit simgesi (HTTPS) sayfanın güvenli olduğunu göstermez. Sadece bağlantının şifreli olduğunu gösterir. Dolandırıcılık siteleri de HTTPS kullanabilir — ve çoğu kullanıyor. Kilit simgesini görüp "güvenli demek ki" diye rahatlamayın. Asıl bakmanız gereken şey alan adının kendisi: gerçekten gitmek istediğiniz kurumun adresi mi?
Korunma: İki saniyelik alışkanlık
İyi haber şu — quishing'e karşı en güçlü savunma son derece basit. QR kodu okutmayı bırakmanız gerekmiyor; sadece okutma ile açma arasında iki saniye duraklamanız yeterli.
1. Önce önizleyin, sonra açın. Modern telefonların çoğu, QR kodu okuttuğunuzda gideceği adresi bir önizleme olarak gösterir. Hemen "aç" demeyin — o adresi okuyun. Beklediğiniz kurum mu? Alan adı doğru mu? Tuhaf bir uzantı (.xyz gibi) veya yazım hatası var mı?
2. Fiziksel kodları tampere karşı kontrol edin. Restoran, otopark veya mağazada bir kod okutmadan önce parmağınızla dokunun. Bir çıkartmanın altında başka bir kod var mı? Kenarları kalkıyor mu? Sahte çıkartmalar genellikle orijinal kodun üzerine yapıştırılır.
3. Ödeme ve giriş için resmi uygulamayı kullanın. Otopark ödemesi mi yapacaksınız? Şehrin resmi uygulamasını kendiniz açın. Bankacılık işlemi mi? Bankanızın uygulamasını doğrudan kullanın. QR kodun sizi bir giriş veya ödeme sayfasına götürmesine izin vermeyin — o adrese kendiniz gidin.
4. Beklenmedik QR kodlara şüpheyle yaklaşın. E-postayla, mesajla veya sosyal medyayla gelen, sizden giriş bilgisi veya ödeme isteyen QR kodları okutmayın. Gerçek kurumlar sizi genellikle bilinen, kayıtlı adreslerine yönlendirir.
5. Bir QR kod bir link kadar şüphe hak eder. Yıllardır "tanımadığın linke tıklama" diyoruz. QR kod da bir linktir — sadece resme dönüştürülmüş hali. Aynı şüpheyi ona da gösterin.
- Bu kod beklediğim yerde mi (menüde ödeme sayfası çıkması tuhaf)?
- Fiziksel kod bir çıkartma olarak mı yapıştırılmış?
- Açılan adres doğru kuruma mı ait?
- Benden şifre veya ödeme bilgisi mi istiyor?
Şüphe varsa: kodu değil, kurumun resmi uygulamasını/sitesini kendiniz açın.
Tuzağa düştüyseniz ne yapmalısınız?
Sahte bir sayfaya bilgi girdiyseniz, hız önemli:
- Kart bilgisi girdiyseniz — bankanızı arayıp kartı hemen bloke ettirin.
- Şifre girdiyseniz — o şifreyi kullandığınız tüm hesaplarda değiştirin.
- Uygulama indirdiyseniz — telefonu güvenilir bir güvenlik yazılımıyla tarayın, şüpheli uygulamayı kaldırın.
- Şikâyet edin — Türkiye'de USOM'a (ihbar.usom.gov.tr) sahte siteyi bildirin, gerekirse savcılığa suç duyurusunda bulunun.
Son söz: Kareyi okutmadan önce bir nefes
QR kodlar gerçekten kullanışlı — hayatımızı kolaylaştırıyorlar. Çözüm onları kullanmayı bırakmak değil. Çözüm, o küçük kareyi okutmadan önce bir saniye durup "bu beni nereye götürüyor?" diye sormak.
Dolandırıcının bütün planı, sizin hızınıza güveniyor. "Okut ve geç" refleksi, tüm şüphe mekanizmanızı devre dışı bırakıyor. Oysa o iki saniyelik duraklama — adresi okumak, çıkartmaya dokunmak, resmi uygulamayı tercih etmek — tuzağın başarısını sıfıra indirir.
Bir dahaki sefere restoranda, otoparkta veya bir afişte QR kod gördüğünüzde: acele etmeyin. Okutun, ama açmadan önce bakın. Kare kodun içindeki gizli adres, sizin iki saniyelik dikkatinizle görünür hale gelir.
Dijital güvenlik, en çok da acele ettiğimiz anlarda önemlidir.