Quishing, kimlik avı bağlantısının bir QR kod içine gizlendiği saldırı türüdür. Kullanıcı kodu telefonuyla okuttuğunda sahte bir siteye yönlendirilir ve orada kimlik bilgisi ya da ödeme bilgisi istenir. Yöntemin adı, QR ve phishing kelimelerinin birleşiminden gelir. Temel mantık değişmez; değişen yalnızca bağlantının taşınma biçimidir.

QR kodların gündelik hayatta yaygınlaşması bu saldırıyı kolaylaştırmıştır. Menülerden ödeme sistemlerine, etkinlik girişlerinden bilgilendirme afişlerine kadar birçok yerde kod okutmak olağan hâle gelmiştir. Bu alışkanlık, kullanıcıların kodu sorgulamadan okutmasına yol açar. Saldırgan da tam olarak bu refleksten yararlanır.

Quishing Nedir?

Quishing, kimlik avı bağlantısının QR kod biçiminde iletilmesiyle yürütülen ve kullanıcıyı sahte bir siteye yönlendirmeyi amaçlayan saldırı türüdür.

Saldırı hem dijital hem fiziksel ortamda uygulanabilir. E-postaya eklenen bir görselin içinde taşınabileceği gibi, gerçek bir afişin üzerine yapıştırılan bir etiketle de yayılabilir. İkinci yöntem özellikle otopark ödeme noktaları ve kamuya açık alanlarda görülmüştür. Fiziksel uygulama, dijital denetimlerin tamamını atlar.

Neden Tespit Edilmesi Zordur?

Kurumsal e-posta denetimleri bağlantı metinlerini inceler; ancak QR kod bir görsel olduğu için bağlantı metin olarak bulunmaz. Bu nedenle klasik bağlantı analizi devreye girmez. Görsel içindeki kodun çözülüp incelenmesi ek bir yetenek gerektirir. Birçok ortamda bu yetenek bulunmaz.

İkinci zorluk, okutma işleminin çoğunlukla kişisel telefonda gerçekleşmesidir. Kod kurumsal bilgisayardaki bir e-postada görünse bile, kullanıcı telefonuyla okutur ve trafik kurumsal ağın dışına çıkar. Böylece web filtreleme ve kayıt toplama devre dışı kalır. Olay sonrası inceleme de bu nedenle zorlaşır.

• Sahte fatura ya da ödeme bildirimi içinde gönderilen kodlar
• Kurumsal doğrulama ya da uygulama kurulumu görünümlü kodlar
• Gerçek afiş ve tabelaların üzerine yapıştırılan etiketler
• Otopark, ulaşım ve bağış noktalarındaki ödeme kodlarının değiştirilmesi
• Etkinlik ve toplantı davetlerine eklenen yönlendirme kodları

Nasıl Korunulur?

Bireysel düzeyde en etkili önlem, kod okutulduğunda açılan adresi kontrol etmektir. Çoğu telefon kamerası, sayfayı açmadan önce hedef adresi önizleme olarak gösterir; bu adresin beklenen kuruma ait olduğu doğrulanmalıdır. Adres kısaltma servisi kullanılıyorsa şüphe artırılmalıdır. Ödeme ya da giriş isteyen sayfalarda bu kontrol zorunlu hâle getirilmelidir.

Fiziksel ortamda ise kodun üzerine sonradan yapıştırılmış olup olmadığına bakılır. Kabarık kenarlar, farklı kâğıt dokusu ve hizasız yerleşim güçlü işaretlerdir. Şüphe hâlinde kod okutulmaz ve ilgili kuruma bildirilir. Kurumlar da kendi ödeme noktalarını düzenli olarak kontrol etmelidir.

Kurumsal Önlemler

Kurum tarafında ilk adım, e-posta içindeki görsellerin kod açısından taranabilmesidir. Bazı güvenlik çözümleri görsel içindeki kodu çözerek bağlantıyı analiz edebilir; bu yetenek varsa etkinleştirilmelidir. Yetenek yoksa, kod içeren dış kaynaklı mesajların işaretlenmesi bile faydalı olur. Kullanıcının uyarılması, sorgulama refleksini tetikler.

İkinci adım, kurumun kendi iletişiminde QR kod kullanımını sınırlamasıdır. Çalışanlara giriş ya da doğrulama amacıyla hiçbir zaman kod gönderilmeyeceği duyurulduğunda, gelen her kod şüpheli hâle gelir. Bu netlik, teknik denetimin eksik kaldığı yeri kapatır. Kural basit ve hatırlanabilir olduğu için etkilidir.

Diğer Kimlik Avı Türleriyle İlişkisi

Bu yöntem bağımsız bir saldırı ailesi değil, bilinen kimlik avı tekniklerinin farklı bir taşıma biçimidir. Yönlendirildikten sonraki adımlar kimlik avı ile birebir aynıdır: sahte giriş sayfası, kimlik bilgisi toplama ve gerçek siteye anlık aktarım. Bu nedenle korunma önlemlerinin büyük bölümü de ortaktır. Fark yalnızca tespit katmanındadır.

Kısa mesaj kanalıyla birlikte de kullanılabilir. Smishing mesajının içinde bir kod görseli gönderilmesi, iki kanalın avantajını birleştirir. Bu tür melez kampanyalar giderek yaygınlaşmaktadır. Savunmanın da kanal bazlı değil, kimlik ve süreç bazlı kurulması gerektiğini gösterir.

Hedefli kampanyalarda kod, kuruma özel bir bağlamla sunulur. Bir toplantı davetine, bir iç duyuruya ya da bir anket çağrısına eklenen kod, kurum içi bir iletişim gibi görünür. Hedefli kimlik avı mantığı burada da geçerlidir. Bağlam ne kadar tanıdıksa sorgulama o kadar azalır.

Olay Sonrası İnceleme

Kod okutulduktan sonra yaşanan olayların incelenmesi, kişisel cihaz kullanımı nedeniyle zorlaşır. Trafik kurumsal ağdan geçmediği için proxy kayıtlarında iz bulunmaz. Bu durumda inceleme, kimlik sağlayıcısının giriş kayıtları üzerinden yürütülür. Olağandışı konum, cihaz ya da tarayıcı bilgisiyle yapılan girişler aranır.

Ele geçirilen hesabın hangi kaynaklara eriştiği de belirlenir. Erişim kayıtları üzerinden hangi verinin görüntülendiği ve indirildiği çıkarılır. Bu bilgi, bildirim yükümlülüklerinin değerlendirilmesinde kullanılır. Kayıt kapsamı yetersizse bu değerlendirme tahmine dayanır ve kurum dezavantajlı duruma düşer.

İnceleme sonucunda kampanyanın diğer hedefleri de aranır. Aynı kodu içeren mesajların başka çalışanlara ulaşıp ulaşmadığı kontrol edilir ve gerekiyorsa toplu bilgilendirme yapılır. Kod içindeki alan adı engelleme listelerine eklenir. Bu adımlar, aynı kampanyanın devamını keser.

Privia Security olarak QR kod tabanlı senaryoları dasiber tatbikat çalışmalarına dahil ediyor, kurumun bu kanaldaki görünürlük eksiğini raporluyoruz.