Quishing veya QR Kod Sahtekarlığı Nedir?

Hesabınıza yapılan bazı ödemelerle ilgili sizi bilgilendiren soğuk bir e-posta veya anlık mesaj aldığınızı ve buna bağlı bir QR kodunu taramak üzere olduğunuzu varsayalım. Bu eylem, kötü amaçlı bir QR koduysa, sadece bir saniyenin çok küçük bir kısmında banka hesabınızı, parolalarınızı ve kişisel verilerinizi ifşa edebilir.  

Quishing, sahte QR kodları kullanarak kullanıcıların gizli bilgilerini çalmaya çalışan hızla büyüyen bir siber saldırıdır. Bu stratejik saldırı esas olarak iş başkanlarını ve yöneticilerini hedef alır. Abnormal Security Corp.'un 2024 raporuÜst düzey yöneticiler, ortalama çalışanlardan 42 kat daha fazla QR kimlik avı saldırısına maruz kalıyor. Sahte e-postalar kullanılarak yapılan popüler bir siber saldırı yöntemi olan iş e-postası ihlali (BEC), 108 ile 2022 arasında %2023 oranında arttı.

İle QR kodlarının günlük yaşamda giderek artan kullanımı, quishing giderek daha belirgin hale geliyor. Bu nedenle, her QR kodu kullanıcısı QR kodlarıyla ilişkili kötü amaçlı etkinlikleri veya uygulamaları ve QR kodu kimlik avına karşı önleyici eylemleri bilmelidir. 

Quishing veya QR kodlu kimlik avının anlamı

"Quishing" veya QR kodlu kimlik avı, QR kod kullanıcılarını kötü amaçlı bağlantıları ve web sitelerini ziyaret etmeye kandırmak için iyi planlanmış bir girişimdir. Kötü amaçlı bir QR kodunu tarayıp tıkladıklarında, kullanıcılar hassas bilgilerinin tehlikeye atıldığı bir kimlik avı sitesine yönlendirilir.

Quishing, e-posta güvenlik ağ geçitleri gibi geleneksel güvenlik sistemlerini sıklıkla atlatır, çünkü sistemler bir e-postaya eklenen QR kodlarını zararsız resimler olarak algılar. Sonuç olarak, birçok QR kodu kullanıcısı e-posta kimlik avının kurbanı olur. 

Quishing nasıl çalışır?

Quishing, kullanıcıların kötü amaçlı bir QR kodunu tararken görünen sahte bir bağlantıya bilerek veya bilmeyerek tıklamasıyla çalışır. Kimlik avı saldırıları esas olarak banka veya kredi kartı bilgileri, oturum açma kimlik bilgileri veya kişisel kimlik bilgileri gibi kişisel ve finansal bilgileri çalmayı hedefler.

Dolandırıcılar, kullanıcıların hassas bilgilerini finansal dolandırıcılık, kimlik hırsızlığı, yetkisiz hesap erişimi veya fidye yazılımı için kullanırlar. Genellikle basılı el ilanları ve posterler, e-posta ve sosyal medya platformları aracılığıyla kötü amaçlı QR kodları kullanırlar. 

QR kodunu taradıktan sonra kullanıcılar sahte bir web sitesine veya bağlantıya yönlendirilir. Mağdurlardan genellikle kullanıcıların adları, e-postaları, doğum tarihleri, banka bilgileri ve hesap giriş parolaları gibi hassas bilgileri girmeleri istenir.

Dikkat edilmesi gereken önemli QR kimlik avı istatistikleri

• The QR kod tarama için akıllı telefonların kullanımında hızlı artış artan quishing oranının arkasındaki önemli bir nedendir. Statista dedi ki Yaklaşık 89 milyon Amerikalı akıllı telefonlarını kullanarak bir QR kodunu taradı 2022 yılında bu rakamın 100 milyon kullanıcıya ulaşması bekleniyor.  
• Çin'de, çok sayıda QR kod ödemeleri için 10 milyar mobil cihaz kullanıldı 2022 içinde. 
• Bir rapora göre, toplam sayı; Dünya çapında akıllı telefon kullanıcıları 4.88'te 2024 milyarı aştıDünya nüfusunun %60.42'sini oluşturmaktadır.

QR kodlu kimlik avı da önemli ölçüde arttı. Hadi biraz veriye bakalım:

• Check Point Yazılım Teknolojileri raporuna göre, Hindistan'da QR kod kimlik avı UPI dolandırıcılıkları 15,000'de 2022 olan vaka sayısı 30,000'te iki katından fazla artarak 2023'in üzerine çıktı. 
• Her gün 3 milyardan fazla kimlik avı e-postası gönderiliyorBu da QR kod kullanıcılarının quishing'e kanma olasılığının artmasına neden oluyor.
• Gmail her gün 100 milyondan fazla kimlik avı girişimini engelliyor. 
• Pymnts'in açıkladığı gibi, QR kodları 1000'den fazla Tüm çevrimiçi dolandırıcılıkların %20'si.
• Göre IBM2024 yılında küresel ortalama veri ihlali maliyetinin 4.88 milyon ABD doları olacağı tahmin ediliyor. Bu, geçen yıla göre %10'luk bir artış ve şimdiye kadarki en yüksek tutar.
• Göre Siber güvenlik ihlalleri anketi 2024 GOV.UK'a göre, kimlik avı, İngiltere'deki işletmelerin %84'ünü ve yardım kuruluşlarının %83'ünü hedef alan en yaygın siber güvenlik ihlali ve saldırısı türü olmaya devam ediyor.

QR kimlik avı saldırılarından nasıl korunuruz?

Kişisel bilgilerinizin güvenliğini sağlama ve QR kod kimlik avından kaçınma konusunda önemli bilgiler şunlardır. 

✅ İstenmeyen QR kodlarını asla dikkate almayın: Göndereni bilmediğinizde e-postalara veya sosyal medya paylaşımlarına eklenen QR kodunu taramaktan kaçının. QR kodlarını halka açık yerlerde rastgele taramayın. Özellikle siz talep etmediyseniz, e-posta veya sosyal medya aracılığıyla paylaşılan QR kodlarına karşı dikkatli olun.

✅ Taramadan önce kaynağı doğrulayın: Kaynağını bildiğinizi düşünüyorsanız bile, taramadan önce QR kodunun gerçekliğini doğrulayın. Çevrimiçi arama yaparak veya taramadan önce şirketle doğrudan iletişime geçerek gönderenin adını doğrulayabilirsiniz.

✅ QR kod URL'sini tekrar kontrol edin: QR kodunu taradıktan sonra görünen URL'ye tıklamadan önce bir süre bekleyin. QR kodu URL'sini tekrar kontrol ederek bildiğiniz şirketle veya ziyaret etmeyi beklediğiniz web sitesiyle eşleşip eşleşmediğini görün. Şüpheli URL'lere tıklamayın.  

✅ Kimlik avı sinyallerini tespit edin: E-postalarda aldığınız QR kodunu Google Wallet veya UPI hesabınızda kayıtlı olanla karşılaştırın. Grafik hataları ve e-posta adresi tutarsızlıkları gibi farklılıkları görebilirsiniz. Acil eylem hissi yaratan QR kodunu veya kötü dilbilgisi içeren bir mesajı taramaktan kaçının.  

✅ İnternette verilen bilgilere dikkat edin: Bilinmeyen göndericilerden gelen ve kişisel ve finansal bilgilerinizi isteyen e-postaları veya kısa mesajları dikkate almayın. İletişim numarası, doğum tarihi, oturum açma bilgileri, kredi kartı bilgileri vb. gibi hassas bilgileri vermeden önce QR kodunu taramanın güvenli olduğundan %100 emin olmalısınız. 

İşletmeler, iflasın eşiğine gelmemek için şu ek adımları atabilirler:

☑️ İki faktörlü kimlik doğrulamanın uygulanması: E-posta kimlik avı en yaygın iş tehdididir. İki faktörlü veya çok faktörlü kimlik doğrulama İş e-postası ihlali (BEC) saldırganlarının iş e-postalarını ele geçirmesini önleyecektir. 

☑️ Yazılım ve güvenlik özelliklerini güncelleyin: Yazılımınızı en son sürüme güncelleyin ve gelişmiş güvenlik özelliklerini kullanmaya devam etmek, kimlik avı saldırılarını önlemenize yardımcı olabilir.

☑️ Çalışanlar için güvenlik farkındalığı eğitimi: Siber güvenlik farkındalığı aşılamak ve çalışanlarınıza QR kodu güvenliği konusunda eğitim vermek, işletmelerin sömürüden kaynaklanan tehlikelerden kaçınmasına yardımcı olabilir. Eğitim yoluyla çalışanlar, BEC girişimlerini tespit etmeyi ve QR kodlarının veya ödeme taleplerinin kaynağını doğrulama gibi uygulamaları uygulamayı öğrenebilir. 

Peki ya bir kuruluş zaten quishing mağduruysa?

Kuruluşunuzun halihazırda QR kodlu kimlik avının kurbanı olduğunu varsayalım. Dolandırıcılığın daha fazla yayılmasını durdurmak veya en azından hasarı azaltmak için aşağıdaki adımları izlemelisiniz. Bunu nasıl yapmanız gerektiği aşağıda açıklanmıştır. 

➡️ QR kodunu hemen kaldırın: Kötü amaçlı QR kodunu basılı posterler, menüler, sosyal medya ve web siteleri dahil olmak üzere mevcut fiziksel ve dijital alanlarınızdan derhal kaldırın veya değiştirin. Bu, kimlik avı saldırısının daha da tırmanmasını önlemeye yardımcı olacaktır.

➡️ Müşterileri ve personeli acilen bilgilendirin: Müşterileri, iş ortaklarını ve personeli kimlik avı saldırısı hakkında uyarın ve durumu net bir şekilde açıklayın. Durumun nasıl ele alınacağına dair net talimatlar vererek uygun iletişim kurun. Zamanında iletişim, müşterileri maddi kayıptan ve kişisel veri hırsızlığından kurtarabilir, şirketlerin kötü marka imajı veya itibarından kaçınmasını sağlayabilir.  

➡️ Sahte QR kodlarının kaynağını belirleyin: QR kodunun kaynağının ve hedef noktasının kapsamlı bir değerlendirmesini yapın. Kullanıcıların bir kimlik avı sitesine yönlendirilip yönlendirilmediğini veya kötü amaçlı içerik indirip indirmediğini belirleyerek quishing amacını araştırın. Zamanında müdahale ve araştırma, müşterileri ve kuruluşları daha fazla zarardan koruyabilir. 

➡️ Olayı güvenlik ekibine bildirin: Kimlik avı saldırısını ilgili yetkililere anında bildirin. Örneğin, kuruluşunuzun ayrı bir güvenlik ekibi varsa, olayı tespit ettiğiniz veya fark ettiğiniz anda ekibe bildirin. Kuruluşlar yerel bir siber suç birimine şikayette bulunabilir. Yetkililer, diğer kuruluşların aynı olayla karşılaşmasını önlemek için uygun karşı önlemleri alabilir. 

➡️ Sorun çözümünü iletin: Müşterilerinizi, personelinizi ve diğer iş paydaşlarınızı kuruluşunuz sorunları çözer çözmez bilgilendirin. Durumu ele almak için yaptığınız eylemler hakkında onları güncelleyebilirsiniz. Güveni yeniden sağlamak ve müşterilere kuruluşunuzun arkalarında olduğunu güvence altına almak esastır.

Sonuç

Günümüzde QR kodları her yerde ve aynı şekilde quishing potansiyeli de var. QR kullanıcıları, özellikle de tanıdık olmayan kaynaklardan gelen bir e-postaya, metne veya sosyal medya gönderisine eklenmiş bir QR kodunu tararken QR kodlarını kullanırken dikkatli olmalıdır. 

İşletmeler, kimlik avı saldırıları için kullanıldığında QR kodlarının potansiyel tehdidinin farkında olmalıdır. Uygun karşı önlemler almak, işletmelerin kendilerini QR kod kimlik avından korumasını sağlayacaktır.

Sık sorulan Sorular