Quishing, geleneksel kimlik avına popüler bir alternatif hâline gelmiştir. İşletmelerin bu açığı nasıl kapatabileceği aşağıda açıklanmaktadır.
Aşinalık, siber güvenlik dünyasında zaman zaman rehavete yol açar ve bu çok tehlikeli olabilir. Menülerde, sokak lambalarında ve park alanlarında sıkça görülen ve son yıllarda e-postalarda da giderek daha fazla yer alan QR kodları da bu durumun bir örneğidir. Buradaki zorluk, QR kodlarının kötü amaçlı bağlantıları gizlemek, bazı geleneksel kurumsal güvenlik filtrelerini atlatmak ve etkileşimi kurumsal bir bilgisayardan güvenlik kontrolleri daha az olan kişisel bir telefona aktarmak için harika bir yol olmasıdır.
Saldırganlar, tespit edilmekten kaçınmak için yeni yöntemler denemeye ve yenilikler geliştirmeye devam edeceklerdir. Ayrıca farkında olmayan çalışanları tuzağa düşürmek için yeni “quishing” yani QR kodlu kimlik avı teknikleri de ortaya çıkacaktır. Kuruluşunuzun güvenliğini sağlamak için bilmeniz gerekenler şunlardır.
Quishing neden bu kadar tehlikelidir?
“Quick Response” (Hızlı Yanıt) kelimesinin kısaltması olan QR kodu, URL’leri, ödeme ayrıntılarını, iletişim bilgilerini ve diğer verileri kodlayabilen iki boyutlu bir barkoddur ve kullanıcıların A noktasından B noktasına hızlıca ulaşmasına yardımcı olur; bu durumda hedef genellikle bir web sitesi veya uygulamadır.
QR kodları, çeşitli nedenlerle siber tehdit aktörlerinin ilgisini çekmektedir. Pandemi sırasında temassız etkileşimlere olan talebin de etkisiyle yaygınlaşan kullanımları, bu kodları taramayı günlük yaşamın sıradan bir parçası hâline getirmiştir. Bu da birkaç yıl öncesine kıyasla bugün telefonlarımızı çıkarıp QR kodlarını tarama olasılığımızın daha yüksek olduğu anlamına gelir.
Ayrıca QR kodları kimlik avı iş akışlarına da mükemmel bir şekilde uyum sağlar; tek yapmanız gereken, kötü amaçlı bağlantıyı veya eki bir QR koduyla değiştirmektir. Üstelik saniyeler içinde oluşturulabilirler. Aslında birçok kimlik avı kiti, özel bir QR kodu oluşturucuya sahiptir. En önemlisi, kurbanı nispeten iyi korunan bir kurumsal ortamdan potansiyel olarak yönetilmeyen bir mobil cihaza yönlendirerek kurumsal düzeyde güvenliği atlatırlar.
Saldırgan için önemli bir avantaj da gizliliktir. Hedef, okunabilir metin olarak değil görsel bir desende kodlanmıştır; bu da arkasındaki kötü amaçlı URL’leri gizler ve bazı geleneksel e-posta filtrelerinin bunları ayıklayıp incelemesini engeller. Bazen PDF veya JPEG eklerine gömülerek daha da gizlenirler. Bu da çalışanlarınızın gelen kutularına ulaşma olasılıklarının daha yüksek olduğu anlamına gelir. Ve bu gerçekleştiğinde, personeliniz gerçek bir mesajı kötü niyetli olandan ayırt etmekte zorlanabilir.
Genellikle yazım hataları veya dil bilgisi hataları açısından analiz edilecek fazla metin yoktur. Ayrıca bağlantı, görsel bir desene etkili bir şekilde kodlandığından insan gözüyle görülemez.
Güvenilir bir markayla birlikte kullanıldığında – örneğin, bir DocuSign e-postası veya Microsoft’tan gelen bir güncelleme – “quishing” saldırısı, klasik phishing mesajlarıyla benzer sosyal mühendislik taktiklerinden yararlanır. Güvenilir marka imajı, kurbanın bağlantıya tıklayabileceğine dair güven verir. Ayrıca genellikle bir bahaneyle aciliyet hissi yaratılır. Kötü amaçlı QR kodları, kullanıcıları hesaplarını güvence altına almaya veya bilgilerini doğrulamak için kimlik doğrulaması yapmaya teşvik eden uyarılara sıklıkla gömülür.
Aslında ESET 2026 Yılı İlk Yarı Tehdit Raporu’na göre, 2026 yılının ilk yarısında tüm phishing e-postalarının en az yüzde 11’inde kötü amaçlı QR kodları yer almıştır. “ESET, ‘QRCode/Phishing’ algılama adı altında quishing e-postalarını adresinde takip etmektedir.
Bu algılama, dosya türlerinin büyük çoğunluğundaki QR kodlarını tanımlamak ve içlerindeki URL’leri çözmek üzere tasarlanmış, ESET e-posta tarayıcısının özel bir katmanı aracılığıyla çalışır. Çıkarılan URL’ler, ESET’in kimlik avı önleme, kötü amaçlı yazılım önleme ve spam önleme motorları kullanılarak taranır; zararlı URL’ler engellenir ve ilgili e-postalar işaretlenir veya silinir,” diyor.
Eylül 2025’ten Mayıs 2026’ya kadar QRCode/Phishing algılama eğilimi, yedi günlük hareketli ortalama (kaynak: ESET Tehdit Raporu 2026 İlk Yarı)
Tehdit aktörleri yenilik yapmaya devam ediyor
Herhangi bir tehdit ortamı eğiliminde olduğu gibi, kötü niyetli aktörler de maksimum etki elde etmek için çabalarını geliştirmeye devam ediyor. Quishing saldırıları, yalnızca kötü amaçlı yazılım yüklemek ve kimlik bilgilerini çalmak için değil, aynı zamanda MFA jetonlarını toplamak için de kullanılıyor. Güvenlik araştırmacıları, bu saldırıların aşağıdaki amaçlarla tasarlandığını da gözlemlemiştir:
- Kötü amaçlı yazılımın meşru uygulamalar gibi gösterildiği doğrudan uygulama indirmeleri yoluyla uygulama mağazası güvenliğini atlatmak
- Kullanıcıyı kötü amaçlı/oltalama web sitesine yönlendirmek yerine, doğrudan meşru bir sosyal medya, ödeme veya başka bir uygulamaya bağlamak. Bu, aşağıdaki gibi çeşitli senaryolarda kullanılabilir:
- Hesap ele geçirme: Kurban, kendi hesabında saldırganı doğrulamaya yönlendirilir
- Kurbanın, alıcı bilgileri önceden doldurulmuş bir ödeme uygulamasına yönlendirildiği finansal dolandırıcılık
- Kişi/takvim zehirlemesi: Kötü amaçlı toplantı bağlantıları veya yeni kişi bilgileri yardımcı uygulamalara gömülür ve tıklandığında kullanıcıları kimlik avı sitelerine yönlendirir
- Uzun, kötü amaçlı web adreslerini küçük bağlantılara dönüştüren ve bunları QR kodlarına gömen QR kodu kısaltıcılarını kullanarak güvenlik araçlarını gizleme
ESET ürünleri tarafından QRCode/Phishing olarak tespit edilen bir kimlik avı e-postası örneği (kaynak: ESET Tehdit Raporu 2026 Yılı İlk Yarı)
Devlet destekli APT grupları bile faaliyetlerinin bir parçası olarak quishing yöntemini kullanmaktadır. Ocak 2026 tarihli bir FBI bildirisi, Kuzey Koreli Kimsuky grubunun, spearphishing e-postalarına gömülü QR kodları kullanarak düşünce kuruluşlarını, akademik kurumları ve ABD/yabancı devlet kurumlarını hedef aldığı konusunda uyarıda bulunmuştur. Yemler çeşitlilik göstermiştir. Söz konusu e-postalar, kodu taramanın kullanıcıları anketlere, kayıt açılış sayfalarına ve güvenli sürücülere yönlendireceğini iddia etmiştir.
İşletmenizi Quishing saldırılarından koruyun
Neyse ki insan, süreç ve teknoloji ayarlamalarının doğru bir şekilde harmanlanması, kuruluşunuzun maruz kaldığı quishing riskini büyük ölçüde azaltmaya yardımcı olabilir.
İnsanlardan başlayın. Kullanıcı farkındalık eğitimlerine ve simülasyon tatbikatlarına “quishing” konusunu dâhil edin. Çalışanları, istenmeyen e-postalardaki QR kodlarını taramaktan kaçınmaya ve şüpheli her şeyi bildirmeleri konusunda teşvik edin. E-postanın güvenilir bir kaynaktan geldiğine inanıyorlarsa e-postadan ayrı olarak elde ettikleri iletişim bilgilerini kullanarak gönderenle tekrar teyit etmeleri gerekir.
Ardından, saygın bir güvenlik sağlayıcısının sunduğu çözümün bir parçası olarak e-posta güvenliğini de içeren teknik kontrolleri değerlendirerek, quishing e-postalarının kullanıcıların gelen kutularına ulaşma riskini en aza indirin. Çalışanların cihazlarına bir mobil güvenlik çözümü ekleyerek kötü amaçlı sitelere ve diğer tehditlere erişimi engelleyin.
Ayrıca tüm hassas hesaplarda phishing’e karşı dayanıklı çok faktörlü kimlik doğrulama (MFA) uygulamasını zorunlu kılın; böylece kullanıcılar kandırılsa bile saldırganlar kurumsal sistemlere sızamayacaktır. Mobil cihaz yönetimi (MDM) araçları, tüm cihazların kurumsal politikaya uygun şekilde korunmasını sağlamanıza yardımcı olabilir.
Saldırı yüzeyini azaltın, en az ayrıcalık ve tam zamanında erişim ilkelerini uygulayın. Güvenlik araçlarınız da dâhil olmak üzere tüm mobil işletim sistemlerini ve kurumsal yazılımları güncel tutun. Ayrıca şüpheli etkinlikler için sürekli izleme yapın. En kötü senaryo durumunda olay müdahale planlarını uygulayın.
Quishing artık yeni değil
QR kodları, bir tür yenilik olmaktan çıkıp kurumsal ortamda sıradan bir görüntü hâline geldi. Quishing de öyle. Aşinalık, rehavete yol açmak zorunda değildir. Çalışanların geleneksel e-posta ve SMS tabanlı oltalama saldırılarına karşı şüpheci olmaya alıştıkları gibi olası bir quishing girişiminin uyarı işaretlerini fark etmeleri için de eğitilebilirler. Doğru koşullar altında, aşinalık güvenliği artırabilir.
Yapay zekâ öğretmenler çocuklarınız için güvenli mi?
