Quishing (QR Kod Dolandırıcılığı) Nedir? 2026’da QR Kod Saldırılarından Korunma Rehberi

Cebinizden telefonunuzu çıkarıp bir an bile düşünmeden QR kodu taradığınız oldu mu? Restoranda menüye bakmak, otoparkta ödeme yapmak ya da bir etkinliğe kaydolmak için o kare kodlar artık hayatımızın ayrılmaz bir parçası. Ancak bu kolaylık, siber suçlular için de bulunmaz bir fırsat penceresi açıyor. İşte tam bu noktada “quishing” kavramı devreye giriyor. “QR” ve “Phishing” (oltalama) kelimelerinin birleşiminden oluşan bu terim, Prime Spoof’un uzmanlık alanı olan kimlik sahteciliğinin (spoofing) en sinsi ve hızla büyüyen türlerinden birini tanımlıyor. 2026 yılı itibarıyla hem dünyada hem de Türkiye’de ciddi bir tehdit haline gelen bu saldırı yöntemini tüm detaylarıyla mercek altına alıyoruz.

Quishing Nedir? Tehlikenin Temelleri

En basit tanımıyla quishing, siber suçluların kötü amaçlı internet adreslerini (URL’leri) QR kodların içine gömerek sizi sahte web sitelerine yönlendirmesi yöntemidir. Normal bir oltalama (phishing) saldırısında şüpheli bir e-postadaki bağlantıya tıklamadan önce URL’yi kontrol etme şansınız vardır. Quishing saldırısında ise QR kodu taradığınızda sizi nereye götüreceğini çıplak gözle anlamanız imkansızdır. Saldırganlar, meşru bir bankanın, restoranın ya da resmi bir kurumun sitesinin birebir kopyasını oluşturarak sizden şifre, kredi kartı bilgisi veya kişisel verilerinizi girmenizi ister. Siz güvende olduğunuzu düşünürken, bilgileriniz doğrudan dolandırıcıların eline geçer. Bu yöntem, Prime Spoof’un mücadele ettiği diğer sahtecilik türleri gibi güven zincirini hedef alır ve görsel doğrulama yapamadığınız için çok daha tehlikelidir.

2026’da Patlayan Tehdit: Rakamlar Neler Söylüyor?

Quishing saldırıları son birkaç yılda adeta bir patlama yaşadı. Sadece 2022’den 2023’e geçişte bu saldırı türünde %587 gibi astronomik bir artış kaydedildi. Hız kesmeyen bu tehdit, 2025 yılına gelindiğinde bir önceki yıla göre %25 daha sıçrama gösterdi. Peki 2026’da durum ne? ESET’in 2026’nın ilk yarısına ait güncel tehdit raporuna göre, tespit edilen tüm oltalama (phishing) e-postalarının yaklaşık %11’i QR kod içeriyor. Dünya genelinde bu kadar yaygınlaşan saldırı, ABD’de daha da kritik bir boyuta ulaşmış durumda; orada bu oran tam %19’a çıkmış vaziyette. Bugüne kadar 26 milyondan fazla Amerikalının kötü amaçlı QR kodlarla yanıltıldığı tahmin ediliyor. Bu veriler, quishing’in artık niş bir tehdit olmaktan çıkıp ana akım bir siber suç yöntemine dönüştüğünü net bir şekilde ortaya koyuyor.

Saldırı Vektörleri: Dolandırıcılar QR Kodları Nasıl Kullanıyor?

Siber suçluların QR kodları silah haline getirmek için kullandığı yöntemler, yaratıcılık ve fiziksel dünyayla dijital dünyayı harmanlama konusunda giderek ustalaşıyor. İşte en yaygın saldırı vektörleri:

• Fiziksel QR Kod Sahteciliği: Dolandırıcılar, restoran masalarındaki orijinal QR kod etiketlerinin üzerine kendi hazırladıkları sahte etiketleri yapıştırır. Siz menüyü açtığınızı sanarken, aslında sahte bir ödeme sayfasına veya kötü amaçlı yazılım indiren bir siteye yönlendirilirsiniz.
• E-posta ile Gelen Tuzaklar: Posta kutunuza gelen bir fatura, kargo takip bildirimi veya resmi bir kurumdan gelmiş gibi görünen bir e-posta, içinde bağlantı yerine bir QR kodu barındırabilir. Bu yöntem, e-posta filtrelerinin şüpheli bağlantıları tespit etmesini zorlaştırmak için özellikle tercih edilir.
• Sahte Ödeme ve Otopark Kodları: Sokakta, bir otoparkın girişinde veya toplu taşıma duraklarında gördüğünüz ödeme QR kodları düşündüğünüz kadar masum olmayabilir. Dolandırıcılar, bu alanlara kendi hesaplarına para aktaran sahte kodlar yerleştirir.
• Sosyal Medya Tuzakları: Sosyal medyada paylaşılan, “Hediyeyi almak için tara” gibi cazip mesajlar içeren QR kodlar, sizi genellikle kişisel bilgilerinizi çalmak üzere tasarlanmış sayfalara yönlendirir.

KVKK’dan Kritik Uyarı: Türkiye’de Resmi Alarm Zilleri Çalıyor

Quishing tehlikesi artık sadece siber güvenlik şirketlerinin gündeminde değil; devlet kurumları da harekete geçmiş durumda. Türkiye’de Kişisel Verileri Koruma Kurumu (KVKK), Nisan 2026’da tam da bu konuya özel, kapsamlı ve resmi bir uyarı yayımladı. KVKK, vatandaşlara ve şirketlere yönelik yaptığı açıklamada, QR kod dolandırıcılığının kişisel veri güvenliği üzerindeki büyük riskine dikkat çekti. Kurumun uyarısının özünde, QR kodların kaynağının mutlaka doğrulanması, kod tarandıktan sonra açılan internet adresinin (URL) dikkatlice incelenmesi ve herhangi bir şüphe durumunda işlemin derhal durdurulması gerektiği vurgulandı. Bu resmi açıklama, quishing’in bireysel bir dikkatsizlik konusu olmaktan çıkıp ulusal çapta bir siber güvenlik ve veri mahremiyeti sorununa dönüştüğünün en somut kanıtıdır.

Quishing Saldırılarından Korunma Rehberi: 6 Altın Kural

Devasa istatistiklere ve resmi uyarılara rağmen, alacağınız birkaç basit ama etkili önlemle quishing saldırılarına karşı güçlü bir kalkan oluşturabilirsiniz. İşte Akılda tutmanız gereken altın değerinde kurallar:

1. Tarama Öncesi Fiziksel Kontrol Şart: Özellikle restoran, kafe veya otopark gibi halka açık yerlerde, QR kodun üzerine sonradan bir etiket yapıştırılıp yapıştırılmadığını kontrol edin. Orijinal baskı ile sonradan yapıştırılan bir etiket arasındaki farkı fark etmeye çalışın. En ufak bir şüphede o kodu taramayın.
2. URL’yi Önizleyin ve Doğrulayın: Çoğu akıllı telefon, bir QR kodu taradığınızda sizi doğrudan siteye götürmeden önce bağlantıyı size gösterir. Bu bağlantının resmi ve doğru site adresine yönlendiğinden emin olun. ‘.com.tr’ yerine ‘.com’ veya garip harf kombinasyonları içeren bağlantılara karşı son derece dikkatli olun.
3. İki Faktörlü Kimlik Doğrulamayı (2FA) Mutlaka Kullanın: Diyelim ki bir anlık dalgınlıkla sahte bir siteye şifrenizi girdiniz. Eğer hesabınızda 2FA etkinse, saldırganlar şifrenizi bilseler bile hesabınıza erişemezler. Bu, en kritik güvenlik katmanlarından biridir.
4. Güvenlik Yazılımı Kullanın: Güncel ve kapsamlı bir siber güvenlik yazılımı, kötü amaçlı bir URL’ye tıklamadan önce sizi uyararak saldırının son aşamaya ulaşmasını engelleyebilir. Bu tür yazılımlar, adeta bir son savunma hattı görevi görür.
5. Kaynağına Güvenmediğiniz Kodu Taramayın: Sosyal medyada, tanımadığınız kişilerden gelen e-postalarda veya rastgele bir broşürde gördüğünüz QR kodlara karşı şüpheci olun. “Bedava hediye” veya “acil ödeme” gibi aceleye getirici ve cazip teklifler sunan kodlardan özellikle uzak durun.
6. Resmi Uygulamaları Tercih Edin: Bir firmaya ait QR kodunu taramak yerine, doğrudan o firmanın resmi mobil uygulamasına gidin. Uygulama mağazasından (App Store, Google Play) yüklenmiş resmi uygulama, sahte bir web sitesine göre her zaman katbekat daha güvenlidir.

Sonuç: Farkındalık En Büyük Silahınızdır

Quishing, geleneksel oltalama saldırılarına kıyasla çok daha sinsi ve hazırlıksız yakalanmaya son derece müsait bir tehdit. Fiziksel dünyadaki masum bir etiketin, sizi bir anda tüm dijital varlıklarınızdan edebilecek bir anahtara dönüşmesi an meselesi. 2026 yılında KVKK’nın da resmen uyardığı bu tehlike karşısında en büyük korumanız teknoloji değil, farkındalığınızdır.

Bu rehberde anlattığımız önlemleri günlük hayatınıza entegre ederek, bir siber saldırının kurbanı olma riskini büyük ölçüde azaltabilirsiniz. Quishing gibi konularda daha fazla bilgi edinmek isterseniz, oltalama saldırılarının analizini derinlemesine ele aldığımız “Adım Adım Phishing E-posta Analizi: Sahte E-postaları Tespit Etme Rehberi” yazımız özellikle e-posta yoluyla gelen QR kod tuzaklarını anlamanıza yardımcı olabilir. Ayrıca, genel siber hijyeninizi artırmak için “Siber Güvenlikte En Sık Yapılan 10 Hata” başlıklı içeriğimize de göz atmayı unutmayın. Unutmayın, dijital dünyada güvende kalmak bir şans değil, bilinçli bir seçimdir.