Başta restoran menüleri olmak üzere otopark ödeme noktalarına, kargo bildirimlerinden e-posta kutularına kadar hayatın her alanına giren QR kodlar, siber dolandırıcıların yeni oltalama silahı haline geldi. Uzmanlar, QR kodun kendisine değil, yönlendirdiği adrese güvenmeyi uyarıyor. QR code phishing ifadesinden türetilen quishing, klasik oltalama saldırısının karekodlar üzerinden yapılan modern biçimi anlamına geliyor. Bir QR kodun görsel yapısına bakıldığında hangi internet adresine yönlendirdiğini anlamak insan gözünden bakıldığında zorlayabilir. Dolandırıcılar kullanıcı kodu tarattığı sırada telefon, kodun içine gizlenmiş bağlantıyı açıyor. Bu bağlantı gerçek bir bankanın, kargo şirketinin veya ödeme sisteminin birebir kopyası olan sahte bir sayfaya götürebiliyor.
SİNSİ BİR TEHLİKE
Buradaki amaç her zaman telefona doğrudan virüs bulaştırmaktan ziyade kullanıcıdan kredi kartı, şifre ve kimlik bilgilerini kendi eliyle girmesini sağlamak oluyor. Kullanıcı mekanın kodunu tarattığını düşünürken dolandırıcının tuzağına düşüyor. Sahte sayfalarda açılan 'Son 10 dakika' veya 'Hesabınız kapatılacak' gibi aciliyet hissi yaratan bildiriler ise kurbanı düşünmeden hareket etmeye zorlayan sosyal mühendislik taktikleri oluyor. Bu tuzaktan korunmanın en temel kuralı acele etmemek, yönlendirilen alan adını harf harf kontrol etmek ve hassas işlemleri QR kod üzerinden değil kurumların resmi mobil uygulamalarından yapmak oluyor. Bilginin paylaşıldığı fark edildiği anda ise derhal bankayla iletişime geçilerek hesaplar güvenceye alınmalıdır. ABD Federal Soruşturma Bürosu (FBI) da yayımladığı uyarıda, sahte QR kodlar üzerinden finansal veri hırsızlığı yapıldığına dikkat çekiyor.
