Bir kafede menüyü açmak için telefonunuzu masadaki koda tuttunuz. Ekranda menü yerine kart bilgisi isteyen bir sayfa belirdi. İşte QR kod dolandırıcılığı tam da böyle sıradan bir anda karşınıza çıkabilir. Kodun kendisi güvenilirliğin kanıtı değildir; önemli olan sizi nereye götürdüğü ve sizden ne istediğidir.
Bu rehberde quishing adı verilen yöntemi, şüpheli kodları fark etmenin yollarını ve yanlışlıkla işlem yaptıysanız atabileceğiniz ilk adımları anlatıyoruz. Amaç bütün QR kodlardan kaçınmak değil, bağlantıyı açmadan ve bilgi paylaşmadan önce kısa bir kontrol alışkanlığı kazanmak.
QR kod dolandırıcılığı (quishing) nedir?
Quishing, QR kod kullanılarak gerçekleştirilen kimlik avıdır. Saldırgan, kodun yönlendirdiği sahte sayfada kullanıcı adı, parola veya ödeme bilgisi toplamaya çalışabilir. ABD Posta Denetim Servisi’nin açıklaması, bu kodların fiziksel alanlarda veya mesajlarla dağıtılabildiğini; güven kazanmak için kurum ve şirketlerin taklit edilebildiğini belirtiyor.
Bir logonun veya tanıdık renklerin bulunması yeterli değildir. Kod, gerçek işletmenin basılı materyalinin üzerine sonradan yapıştırılmış da olabilir. Öte yandan her farklı alan adı dolandırıcılık anlamına gelmez: işletmeler dış hizmet kullanabilir. Böyle bir durumda tahminde bulunmak yerine yetkili kişiden doğrulama isteyin.
Hangi senaryolarla karşılaşabilirsiniz?
FTC’nin uyarısında otopark ödeme kodlarının değiştirilmesi ve teslimat ya da hesap sorunu bahanesiyle gönderilen kodlar örnekleniyor. Ortak nokta, okuyucuyu düşünmeden bağlantıyı açmaya yönelten acele ettirme çabası.
Başka bir örnek, beklemediğiniz bir paketten çıkan “Hediyeyi kimin gönderdiğini öğrenmek için okutun” notudur. FBI’nin 31 Temmuz 2025 tarihli duyurusu, istenmeyen paketlerdeki QR kodların kişisel bilgi toplama veya zararlı yazılım indirtme amacıyla kullanılabildiğini açıklıyor. Bunlar uluslararası kurumların bildirdiği örneklerdir; Türkiye için doğrulanmış bir vaka sayısı olarak değerlendirilmemelidir.
QR kodu okutmadan ve bağlantıyı açmadan önce 7 kontrol
1. Kodun fiziksel olarak değiştirilip değiştirilmediğine bakın
Üst üste etiket, kenarları kalkmış çıkartma veya çevresindeki tasarımla uyumsuz bir baskı varsa durun. İşletme görevlisinden kodu doğrulamasını isteyin. Etiket düzgün görünüyor diye de tek başına güvenli olduğunu düşünmeyin.
2. Önizlemede gösterilen adresi okuyun
Telefonunuz bağlantı önizlemesi gösteriyorsa hemen dokunmayın. Yazım değişikliklerine ve benzer harflere bakın. Açıldıktan sonra adres değişmişse son adresi de inceleyin. Tanımadığınız bir kısaltılmış bağlantı hedefi gizliyorsa, işlemi kurumun bildiğiniz adresinden başlatmak daha anlaşılır bir yoldur.
3. İstenen bilgi ile yaptığınız işi karşılaştırın
Yalnızca menü okumak için banka parolası istenmesi işin amacıyla uyuşmaz. “Bu bilgiyi neden vermem gerekiyor?” sorusunu sorun. Sayfa güzel tasarlanmış olsa bile beklenmedik kimlik, kart veya oturum bilgisi talebini doğrulamadan ilerlemeyin.
4. Aciliyet baskısına ara verin
“Beş dakika içinde hesabınız kapanacak” veya “Hemen ödeme yapın” gibi ifadeler karar sürenizi daraltır. Mesajdaki iletişim bilgisini kullanmak yerine şirketin önceden bildiğiniz uygulamasını ya da web adresini açın. Aynı uyarı orada da var mı kontrol edin.
5. Uygulamayı kodun sunduğu dosyadan kurmayın
Yeni Zelanda NCSC’nin QR güvenliği rehberi, beklenmedik kodlara ve sonradan eklenmiş etiketlere dikkat edilmesini, uygulamaların resmi mağazalardan bulunmasını öneriyor. Kod bir kurulum dosyasına yönlendirirse geri dönün; uygulamayı resmi mağazada geliştirici bilgisiyle birlikte kontrol edin.
6. İzin ve onay ekranlarını okuyun
Bir kod yalnızca web sayfası açmakla sınırlı değildir; farklı bir uygulamada işlem de başlatabilir. Telefonunuz bir bağlantı, oturum veya ödeme onayı gösteriyorsa neyi onayladığınızı okuyun. Kendi başlatmadığınız bir işlemi sırf “doğrulama” adı altında sunulduğu için kabul etmeyin.
7. Kritik işlemi bağımsız bir kanaldan doğrulayın
Ödeme yapmadan önce işletme, tutar ve işlem açıklamasının beklediğinizle uyuştuğunu kontrol edin. Şüphe varsa işlemi durdurun ve işletmenin bilinen iletişim kanalını kullanın. QR kodun yanında yazan isimle açılan hizmetin aynı olduğunu varsaymayın.
Kodu taradım: Şimdi ne yapmalıyım?
Yalnızca önizlemeyi gördüyseniz: Bağlantıyı açmadan kapatın. Sadece kameranın kodu tanıması, hesabınızın ele geçirildiğini göstermez.
Sayfayı açtıysanız: Bilgi girmeden kapatın; indirme veya izin isteğini kabul etmeyin. Bu durum tek başına bulaşma kanıtı değildir, ancak cihazınızı ve tarayıcınızı güncel tutun. Açılan sayfa ile yaptığınız işlemleri not edin.
Parolanızı yazdıysanız: Gerçek hizmetin uygulamasından veya bilinen adresinden parolanızı değiştirin. Aynı parolayı kullandığınız diğer hesapları da ele alın. Çok faktörlü doğrulamayı etkinleştirin ve tanımadığınız oturumları inceleyin. FTC’nin beklenmedik paket uyarısı da kimlik bilgisi paylaşımından sonra parola değişikliği ve iki aşamalı doğrulama öneriyor.
Kart bilgisi veya ödeme onayı verdiyseniz: Bankanıza resmi uygulama ya da kart üzerindeki iletişim numarası üzerinden ulaşın. Yapılan işlemi açıklayıp kart ve işlem güvenliği için yönlendirme alın. Mesajı, adresi ve işlem kayıtlarını saklayın; bunları sosyal medyada kişisel bilgileriniz açık biçimde paylaşmayın.
Uygulama yüklediyseniz: Şüpheli cihazdan hassas hesaplara giriş yapmayı bırakın. Verilen izinleri ve yüklenen uygulamayı değerlendirmek için güvenilir teknik destek alın; iş cihazıysa kurumunuzun bilgi işlem ekibine bildirin.
Sık sorulan sorular
HTTPS veya kilit simgesi sitenin gerçek olduğunu gösterir mi?
Hayır. Şifreli bağlantı, sitenin iddia ettiği kuruma ait olduğunu tek başına doğrulamaz. Alan adını ve talebin bağlamını birlikte değerlendirin.
QR kod okuyucu yüklemek zorunda mıyım?
Önce telefonunuzun kamera veya yerleşik kod okuma özelliğini kontrol edin. Yalnızca bir kodu açmak için kaynağı belirsiz bir uygulama kurmanız isteniyorsa durun.
Hesaplarımı nasıl daha iyi koruyabilirim?
Benzersiz parolalar, çok faktörlü doğrulama ve düzenli oturum kontrolüyle başlayın. Ayrıntılar için sosyal medya hesap güvenliği ve passkey rehberlerimizi inceleyebilirsiniz.
23 Ekim 2026 tarihinde resmi kaynaklar kontrol edilerek hazırlanmıştır. Kapak görseli yapay zekâ ile üretilmiş temsili bir çalışmadır.