QR kod dolandırıcılığı (QUİSHİNG) nedir?

QUISHING (QR Kod Dolandırıcılığı) nedir ve nasıl karşımıza çıkabilir?

Ouishing kelimesi kökü itibariyle Ouick Response ve phishing birleşiminden meydana gelmektedir. OR

kodlar, yönlendirdikleri içeriğin sonradan değiştirilip değiştirilememesine bağlı olarak temel olarak

“statik” ve “dinamik” olmak üzere iki kategoriye ayrılmaktadır. Statik OR kodlarda, kod oluşturulduktan

sonra içerisinde yer alan bilginin güncellenmesi mümkün değildir; bu nedenle genellikle sabit ve

değişmeyecek içeriklerin paylaşımında tercih edilmektedir. Dinamik OR kodlarda ise kodun görsel

tasarımı aynı kalırken, bağlantı adresi daha sonra değiştirilebilmekte ve güncellenebilmektedir. Quishing,

OR kod aracılığıyla yapılan oltalama (phishing) saldırısıdır. Oltalama (phishing) yöntemlerinin

en yaygın olanları sesli aramalar üzerinden gerçekleştirilen “vishing” (voice phishing), kısa mesajlar

aracılığıyla yürütülen “smishing” (SMS phishing) ve OR kodlar kullanılarak gerçekleştirilen

“guishing”tir. Quishing saldırıları, afiş, broşür veya fiziksel ortamlarda yer alabileceği gibi, e-posta

aracılığıyla görsel bir öğe şeklinde de bireylere gönderilebilmektedir. OR kodların e-posta üzerinden

görsel formatta iletilmesi, bu kodların içerisine gizlenmiş kötü amaçlı bağlantıların bazı e-posta güvenlik

sistemleri tarafından tespit edilmesini zorlaştırabilmektedir. Kişisel Verileri Koruma Kurumu 26/02/2026

tarihinde Quishing hakkında web sitesi üzerinden döküman yayınlamıştır, yayınlanan içeriğin

anlaşılabilir ve kitapçık niteliğinde olması ayrıca güncel tarihli olması gibi etkenlerden dolayı yakın

gelecekte OR dolandırıcılığı vakalarıyla çok sayıda karşılaşacağımızı düşünmekteyim. Bu yazımda yakın

gelecekte sıkça karşılaşacağımızı düşündüğüm Quishing saldırı yöntemlerinden iki tanesini sizlere

aktarmaya çalışacağım. Bunlar;

A-) OR kodlu dijital menüler üzerine sahte OR kodları yapıştırılması suretiyle dolandırıcılar günümüzde

gerçek restoran/kafe OR kodlarının üzerine kendi sahte OR kodlarını yapıştırmaktadırlar. Sahte olan OR

kodu tarattığınızda taklit veya kötü amaçlı bir siteye yönlendiriliyorsunuz. Bu sahte site, menüymüş gibi

görünse de kişisel bilgileri (e-posta, telefon, ödeme bilgileri vb.) girmeye zorlayabilir. Girilen sitede

sizden izin istenmektedir, izin verildikten sonra telefonunuza .exe dosyası otomatik olarak indirilir,

keylogger veya truva atı benzeri bir program ile banka giriş bilgilerinizi, OTP kodlarınızı ve kart ele

geçirilir. Dijital menü şeklinde açılan OR kodlarının fiziki yapısına dikkat etmek (yıpranmış olması ve sonradan yapıştırılmış olması) önemlidir.

B-) Kamuya açık otoparklarda kullanılan OR kodu ile ödeme yapılması suretiyle dolandırıcılık çok

tehlikelidir. İngiltere'de Nisan 2024 — Nisan 2025 döneminde yaklaşık 780 guishing vakası

bildirildiği ve toplam zararın 3,5 milyon sterlin civarında olduğu açıklanmıştır. Bu yöntemde

dolandırıcılar, park ödeme makinelerinde bulunan gerçek OR kodların üzerine sahte OR kod etiketleri

yapıştırmıştır. Bazı durumlarda ise tamamen sahte ödeme yönlendirmeleri içeren yeni OR kodlar

yerleştirilmiştir. Sürücüler park ücretini ödemek amacıyla bu kodları telefonlarıyla okuttuğunda resmi

ödeme sistemi yerine dolandırıcılara ait sahte internet sitelerine yönlendirilmiştir. Bu sahte siteler,

tasarım açısından gerçek belediye veya otopark işletmesi sayfalarına oldukça benzemektedir.

Kullanıcılardan kredi kartı numarası, son kullanma tarihi ve güvenlik kodu gibi finansal bilgiler talep

edilmiştir. Girilen bilgiler doğrudan dolandırıcıların eline geçmiştir. Mağdurların hesaplarından izinsiz

para çekildiği ve maddi kayıplar yaşandığı bildirilmiştir.

Yukarıda bahsettiğim yöntemler yalnızca banka bilgilerinizi değil, e-posta ve sosyal medya hesaplarınızı da ele geçirmek amacıyla uygulanmaktadır. Teknolojinin her geçen gün gelişmesiyle

programlar güncellenmekte, değişmekte ve gelişmektedir; bu nedenle dolandırıcılara karşı daha dikkatli olunmalıdır. OR kod okutulmadan önce URL adresinin doğruluğunun kontrol edilmesi ve şüpheli sitelere bilgi girilmemesi gerektiğini önemle hatırlatırım.

AV.EGEMEN ELİBOL