QR Kod Dolandırıcılığı Nedir?

Aralık 2021'in sonunda San Antonio polisi bir uyarı yayımladı. Şehirdeki park ödeme makinelerinin üstüne sahte karekod etiketleri yapıştırılmıştı. Ardından Austin kendi makinelerini taradı ve 29 makinede aynı etiketi buldu. Houston ise basit bir hatırlatma yaptı: belediye hiçbir zaman karekodla ödeme almamıştı.

Bu olay, karekodun neden iyi bir tuzak olduğunu gösteriyor. Siyah beyaz kareleri gözle okuyamazsın. Kod seni nereye götürecekse oraya gidersin. Bu yazıda tuzağın türlerini, Türkiye'deki karekodlu ödemeleri ve kodu açmadan önce yapacağın kontrolleri bulacaksın.

QR kod dolandırıcılığı nedir?

QR kod dolandırıcılığı, bir karekodun içine gizlenen adresle insanları sahte bir siteye, sahte bir ödemeye ya da zararlı bir uygulamaya yönlendirmektir. İngilizcede buna "QR" ve "phishing" sözcüklerinden türeyen quishing adı verilir. Yani phishing denen oltalamanın karekodlu biçimidir.

Karekod aslında yalnız bir metindir. Çoğu zaman bu metin bir internet adresidir. Saldırgan için üç avantajı var. Birincisi, adres göze görünmez. İkincisi, e-posta filtreleri resmin içindeki adresi her zaman okuyamaz. Üçüncüsü, kodu okutmak için telefona geçersin. Telefon da çoğu zaman şirketin güvenlik araçlarının dışında kalır.

FBI, Ocak 2026'da yayımladığı bir uyarıda bu son noktanın altını çizdi. Kurban kurumsal bilgisayardan kişisel telefona geçince e-posta güvenliği devreden çıkar. MITRE ATT&CK bilgi tabanı da bu tekniği T1660 numarasıyla izliyor.

QR kod dolandırıcılığının türleri nelerdir?

QR kod dolandırıcılığı üç ana biçimde karşına çıkar: fiziksel etiket, e-postadaki karekod ve ödeme karekodu. Hepsinde amaç aynı, ama işaretler farklı.

Fiziksel etiket nasıl kullanılır?

Saldırgan gerçek karekodun üstüne kendi etiketini yapıştırır. En sık hedefler otopark ödeme makineleri, restoran masalarındaki menüler, afişler ve elektrikli araç şarj istasyonlarıdır. Kod sahte bir ödeme sayfası açar ve kart bilgisini ister. FBI'ın Ocak 2022 uyarısı, etiketin altında başka bir kod olup olmadığına bakmanı öneriyor.

E-postadaki karekod neden yükselişte?

Saldırganlar e-postadaki bağlantı filtrelerini aşmak için adresi bir karekodun içine saklıyor. Microsoft'un 2026'nın ilk çeyreğine ait e-posta tehdit raporu bu artışı sayılarla gösteriyor. Karekod içeren oltalama e-postası Ocak'ta 7,6 milyondu, Mart'ta 18,7 milyona çıktı. Bu, üç ayda yüzde 146 artış demek. Kodların yüzde 70'i Mart'ta PDF eklerinin içindeydi.

Hedefli saldırılarda da aynı yöntem var. FBI'ın Ocak 2026 uyarısına göre Kuzey Kore bağlantılı Kimsuky grubu, 2025'te düşünce kuruluşlarına sahte anket, sahte "güvenli dosya" ve sahte konferans kaydı karekodları gönderdi. Kodlardan biri sahte bir Google giriş sayfasına çıkıyordu. Amaç parola ve oturum bilgisini çalmaktı. Oturum bilgisi çalınınca iki adımlı doğrulama da atlanabiliyor.

Ödeme karekodu nasıl istismar edilir?

Ödeme karekodunda risk, parayı yanlış hesaba göndermektir. Türkiye'de karekodlu ödemenin kuralları Merkez Bankası'nın TR Karekod Yönetmeliği'nde yazar. Yönetmelik 21 Ağustos 2020'de Resmî Gazete'de yayımlandı. İki tür kod tanımlar. Statik karekodun içeriği sabittir ve tekrar tekrar kullanılır. Dinamik karekod ise tek bir işlem için üretilir.

Dükkân tezgâhındaki çıkartma genelde statik koddur. Üstüne başka bir hesabın kodu yapıştırılırsa ödeme oraya gider. Bu yüzden onay ekranındaki alıcı adını okumak hayati.

Sahte QR kod nasıl anlaşılır?

Sahte karekodu anlamanın yolu, kodun nerede durduğuna ve okuttuktan sonra açılan adrese birlikte bakmaktır. Aşağıdaki tablo en yaygın senaryoları özetliyor.

Son satırdaki "ödeme alınamadı" taktiği FBI'ın 2022 uyarısında da geçiyor. FBI, ödemenin karekodla tamamlanması gerektiğini söyleyen bir mesaj gelirse firmayı bildiğin bir numaradan aramanı öneriyor.

QR kodu açmadan önce bağlantıyı nasıl önizlersin?

Telefonun kendi kamerası karekodu okuyunca adresi önce ekranda gösterir, sen dokunana kadar site açılmaz. Bu kısa an senin kontrol penceren. Şu sırayı alışkanlık hâline getir:

1. Kodu telefonun kendi kamerasıyla okut. FBI, ayrı bir karekod okuyucu uygulama indirmemeni öneriyor.
2. Kamera adresi gösterdiğinde dokunma, önce oku.
3. Alan adını sağdan oku. Uydurma bir örnek vereyim: "belediye-otopark.odeme-hizli.example" adresinin sahibi belediye değil, en sağdaki "odeme-hizli.example" kısmıdır.
4. Kısaltılmış bir adres görürsen açma. Kısaltma, asıl hedefi gizler.
5. Açtığın sayfa kart, parola ya da kimlik bilgisi isterse dur. Kurumun adresini tarayıcıya kendin yaz.
6. Karekod seni bir uygulama indirmeye yönlendirirse vazgeç. Uygulamayı yalnız resmî mağazadan kur.

Alan adını okumanın ayrıntılı kuralını sahte kargo SMS'leri rehberimizde örneklerle anlattık. Aynı kural karekod için de geçerli.

Ödeme uygulamalarında nelere dikkat etmelisin?

Karekodla ödeme yaparken kodu bankanın kendi uygulamasındaki okuyucuyla okut ve onaydan önce alıcı adını, tutarı ve açıklamayı kontrol et. Bankanın okuyucusu seni genellikle bir web sayfasına değil, uygulamanın onay ekranına götürür. Bu, sahte siteye düşme riskini azaltır.

Dikkat etmen gereken birkaç nokta daha var:

• Onay ekranındaki alıcı adı işletmenin adıyla uyuşmalı. Uyuşmuyorsa ödemeyi yapma.
• Tutarı kendin girdiysen doğru yazdığını bir kez daha oku.
• Hiç kimseye bankanın gönderdiği tek kullanımlık şifreyi söyleme. Bu şifre karekodlu işlemler dâhil her işlemi onaylar.
• İnternet bankacılığı bilgilerini paylaşma. Türkiye Bankalar Birliği'nin 2022 rehberindeki bir vakada, dolandırıcı ele geçirdiği hesaptan nakit avans çekip parayı ATM'den karekodla almıştı.

Türkiye'de sahte karekod etiketine dair kamuya açık resmî bir istatistik bulamadık. Ama karekodlu ödeme yaygınlaştıkça aynı tuzağın burada da kullanılması şaşırtıcı olmaz. Önlemi şimdiden alışkanlık yapmak en ucuz yol.

Kurumlar e-postadaki QR kodlara karşı ne yapmalı?

Kurumlar e-postadaki karekodlara karşı hem teknik filtre hem de çalışan alışkanlığı kurmalı. FBI'ın Ocak 2026 uyarısı ve Microsoft'un önerileri aynı yöne işaret ediyor.

1. E-posta güvenlik ürününde görsel ve PDF içindeki karekodu çözüp bağlantıyı tarayan özelliği aç.
2. Microsoft 365 kullanıyorsan Safe Links, Safe Attachments ve teslimat sonrası temizleme özelliğini (ZAP) etkinleştir.
3. Oltalamaya dayanıklı kimlik doğrulamaya geç. Passkey ve FIDO2 anahtarları sahte sayfaya kod girilmesini anlamsız kılar. Seçenekleri iki adımlı doğrulama rehberinde karşılaştırdık.
4. Kurumsal hesaba girilen telefonları mobil cihaz yönetimine bağla. FBI, karekod bağlantısını açılmadan önce inceleyebilen çözümler öneriyor.
5. Karekodla gelen her giriş sonrası anormal oturumları izle. Çalınan oturum çerezi, parola değişse bile kullanılabilir.
6. Çalışanlara basit bir bildirim yolu ver. "Şüpheli karekod gördüm" demek on saniye sürmeli.

QR kodu okuttun ve bilgi girdin, şimdi ne yapmalısın?

Bilgi girdiysen ilk iş ne verdiğine göre o kapıyı kapatmaktır: kart verdiysen kartı kapat, parola verdiysen değiştir ve açık oturumları sonlandır. Kurumsal hesapsa hemen bilgi işlem ekibine haber ver.

Parolayı değiştirmek tek başına yetmeyebilir. Saldırgan oturum bilgisini çaldıysa hesapta "tüm cihazlardan çıkış yap" seçeneğini kullan. Kart, banka ve bildirim adımlarının tam listesi smishing rehberindeki "tıkladıysan" bölümünde. Sahte sayfanın adresini Siber Güvenlik Başkanlığı'nın ihbar formuna bildirmeyi unutma.

İnternetin, alan adlarının ve web isteklerinin nasıl çalıştığını temelden öğrenmek istersen ücretsiz Siber Güvenlik Temelleri yolu bu yazıdaki kontrollerin mantığını oturtur. Karekodlu tuzakları gerçek bir saldırı olmadan tanımak istersen Olta oyununa bak. Oyunda e-posta ve SMS'in yanında QR afişleri de çıkıyor. Her yanlış kararında nedenini görürsün.

Kaynaklar

• FBI IC3, Cybercriminals Tampering with QR Codes to Steal Victim Funds (18 Ocak 2022).
• FBI, Kimsuky aktörlerinin karekodlu hedefli oltalama uyarısı (8 Ocak 2026).
• Microsoft, Email threat landscape: Q1 2026 trends and insights (30 Nisan 2026).
• FTC, Scammers hide harmful links in QR codes (6 Aralık 2023).
• TCMB, Ödeme Hizmetlerinde TR Karekodun Üretilmesi ve Kullanılması Hakkında Yönetmelik (2020).
• Gizmodo, park makinelerindeki sahte karekod haberi (12 Ocak 2022).
• Türkiye Bankalar Birliği, Dolandırıcılık Eylemleri ve Korunma Yöntemleri (2022).