QR kodların e-posta tabanlı kimlik avı saldırılarında kullanımı yaygınlaşıyor. ESET’in 2026 Yılı İlk Yarı Tehdit Raporu’na göre yılın ilk yarısında phishing e-postalarının en az yüzde 11’inde kötü amaçlı QR kodları tespit edildi. “Quishing” olarak adlandırılan yöntem, saldırıyı kurumsal bilgisayardan mobil cihaza taşıyarak güvenlik kontrollerini aşmayı hedefliyor.
Restoran menülerinden otoparklara, ödeme noktalarından etkinlik alanlarına kadar günlük hayatın parçası haline gelen QR kodlar, siber suçluların da kullandığı araçlar arasındaki yerini güçlendiriyor.
QR kod üzerinden gerçekleştirilen kimlik avı saldırıları “quishing” adıyla anılıyor. Saldırganlar bu yöntemde kötü amaçlı internet adreslerini QR kod içerisine gizleyebiliyor. Böylece bağlantının kullanıcı ve bazı geleneksel e-posta güvenlik sistemleri tarafından fark edilmesi zorlaşabiliyor.
ESET’e göre saldırının kurumsal güvenlik açısından önemli taraflarından biri, kullanıcıyı iş bilgisayarından kişisel veya yönetilmeyen bir mobil cihaza yönlendirebilmesi. Kurumsal bilgisayarda bulunan güvenlik katmanlarının bir kısmı, kullanıcı QR kodu telefonuyla taradığında devre dışı kalabiliyor.
Quishing saldırıları nasıl çalışıyor?
QR kodlar internet adresleri, ödeme bilgileri ve iletişim verileri dahil farklı içerikleri saklayabiliyor. Siber suçlular bu yapıyı kimlik avı senaryolarına uyarlayarak zararlı bağlantıları görsel bir desen içerisinde gizliyor.
Kötü amaçlı QR kodlar doğrudan e-posta içerisinde bulunabildiği gibi PDF veya JPEG dosyalarına da yerleştirilebiliyor. Bağlantının açık biçimde görünmemesi, kullanıcıların e-postanın gerçek hedefini ilk bakışta anlamasını güçleştiriyor.
Saldırılarda sosyal mühendislik yöntemleri de kullanılıyor. Microsoft veya DocuSign gibi bilinen markaları taklit eden mesajlarla kullanıcı üzerinde güven oluşturulmaya çalışılıyor. Hesabın güvence altına alınması, bilgilerin doğrulanması veya hızlı işlem yapılması gerektiğini belirten ifadelerle aciliyet hissi yaratılabiliyor.
Kullanıcı QR kodu taradığında sahte giriş sayfasına, ödeme ekranına veya saldırganın belirlediği başka bir dijital noktaya yönlendirilebiliyor.
Phishing e-postalarının yüzde 11’inde QR kod
ESET 2026 Yılı İlk Yarı Tehdit Raporu’na göre, yılın ilk altı ayında tüm phishing e-postalarının en az yüzde 11’inde kötü amaçlı QR kodları yer aldı.
ESET, quishing girişimlerini “QRCode/Phishing” algılama yöntemiyle takip ediyor. Şirketin paylaştığı bilgilere göre e-posta tarayıcısında bulunan özel katman, farklı dosya türlerindeki QR kodları tanımlayarak içlerinde yer alan internet adreslerini çözümlüyor.
Elde edilen bağlantılar kimlik avı, kötü amaçlı yazılım ve spam kontrollerinden geçiriliyor. Zararlı olduğu belirlenen adresler engellenirken ilgili e-postalar işaretlenebiliyor veya silinebiliyor.
QR kod saldırılarında yöntemler çeşitleniyor
Quishing saldırılarının kullanım alanı kimlik bilgilerini ele geçirme girişimlerinin ötesine uzanıyor. ESET, saldırganların çok faktörlü kimlik doğrulama süreçlerinde kullanılan MFA verilerini ele geçirmek için de QR kod tabanlı yöntemlerden yararlandığını aktarıyor.
Kötü amaçlı yazılımlar, meşru uygulamalar görünümünde doğrudan indirme bağlantıları üzerinden kullanıcılara ulaştırılabiliyor. Başka bir yöntemde QR kod, kullanıcıyı sosyal medya veya ödeme uygulamalarına yönlendirebiliyor.
Ödeme senaryolarında alıcı bilgileri önceden doldurulmuş ekranlar kullanılarak finansal dolandırıcılık girişimleri gerçekleştirilebiliyor. Hesap ele geçirme senaryolarında ise kullanıcı farkında olmadan saldırganın erişimini doğrulayabiliyor.
Takvim ve kişi uygulamaları da saldırı zincirinin parçası haline gelebiliyor. Kötü amaçlı toplantı bağlantıları veya iletişim bilgileri kullanıcı cihazına eklenerek sonraki aşamada phishing sayfalarına yönlendirme yapılabiliyor.
Kurumlar quishing riskini nasıl azaltabilir?
ESET, kurumların QR kod tabanlı saldırılara karşı insan, süreç ve teknoloji odaklı önlemleri birlikte uygulamasını öneriyor.
Çalışan farkındalık programlarına quishing senaryolarının eklenmesi bu adımların başında geliyor. İstenmeyen e-postalarda bulunan QR kodların taranmaması, şüpheli mesajların güvenlik ekiplerine bildirilmesi ve göndericinin farklı bir iletişim kanalı üzerinden doğrulanması öneriliyor.
E-posta güvenlik çözümleri, mobil cihaz güvenliği ve mobil cihaz yönetimi araçları da savunmanın teknik katmanını oluşturuyor. Hassas hesaplarda phishing saldırılarına dayanıklı çok faktörlü kimlik doğrulama yöntemlerinin kullanılması, ele geçirilen kullanıcı bilgilerinin saldırgan tarafından kullanılmasını zorlaştırabiliyor.
ESET ayrıca en az ayrıcalık prensibinin uygulanmasını, mobil işletim sistemleri ile kurumsal yazılımların güncel tutulmasını ve şüpheli aktivitelerin sürekli izlenmesini tavsiye ediyor.
Quishing’in kurumsal güvenlik açısından en kritik tarafı saldırının kullandığı QR koddan çok, güvenlik bağlamını değiştirebilmesi. Çalışan, kurumsal e-postasında gördüğü kodu kişisel telefonuyla taradığında saldırı bir anda farklı güvenlik politikalarının uygulandığı başka bir cihaza taşınıyor.
Bu durum şirketlerin siber güvenlik yaklaşımında mobil cihazları daha merkezi biçimde ele almasını gerektiriyor. E-posta filtresinin güçlü olması tek başına yeterli kalmayabilir. Çalışan farkındalığı, mobil güvenlik, kimlik doğrulama ve cihaz yönetiminin aynı savunma zinciri içinde çalışması gerekiyor.
QR kodların günlük kullanımının artması da saldırganlara önemli bir sosyal mühendislik avantajı sağlıyor. Kullanıcıların QR kod taramayı sıradan bir davranış olarak görmesi, quishing saldırılarının önümüzdeki dönemde kurumsal siber güvenlik gündemindeki ağırlığını koruyabileceğine işaret ediyor.
