QR kod dolandırıcıları her yerde! Kendimizi tehlikelere karşı nasıl koruyacağız? | 5 SORU 5 CEVAP

Kare kodlar ya da diğer adıyla QR kodlar uzun süredir kullanılsa da hayatımıza tam anlamıyla pandemi sürecinde dahil oldu.

Covid-19 pandemisinden beri restoran ve kafelerde QR kodlu menüler kullanılıyor. Hem daha hijyenik hem de pratik olmasıyla pandemi sonrasında da devam eden QR kodlu menü uygulaması, ciddi dolandırıcılık hikayelerinin baş kahramanı olmak üzere.

Öyle ki, Amerika Birleşik Devletleri Federal Soruşturma Bürosu (FBI), son dönemde QR kodları kullanarak dolandırılanların sayısında ciddi bir artış yaşandığını açıkladı.

FBI verilerine göre, dolandırıcılar gerçek QR kodların üzerine kendi hazırladıkları QR kodları yapıştırıyor, bu sayede de kişilerin akıllı telefonlarına erişerek kişisel verilerini çalabiliyor. Sahte kare kodlar akıllı telefonlara tehlikeli yazılımlar yüklenmesini sağlıyor ve kredi kartı bilgileri de dahil olmak üzere birçok kişisel veriye erişimin önünü açıyor.

-- Sadece menülerde değil, kartvizitler, biletler, satış sitelerinin reklam panoları ve daha birçok alanda karşımıza çıkan QR kodlar ile dolandırılmaktan nasıl korunacağız?

-- Dolandırıcılar bu işi nasıl yapıyor?

-- En önemlisi okuttuğumuz QR kodun orijinal ya da sahte olduğunu anlamanın yolları var mı?

QR kod dolandırıcılığı hakkında merak edilenleri Siber Güvenlik Uzmanı Osman Demircan’a sorduk.

1994’TE ORTAYA ÇIKTI, SANAYİ SEKTÖRÜNDE KULLANILACAĞI DÜŞÜNÜLÜYORDU

1- Konu çok iyi anlaşılsın diye şunu sormakta fayda var; QR kod tam olarak nedir ve nasıl çalışır?

QR kod bir diğer adı ile kare kod, 1994 yılında Japon Denso firması tarafından patentlenmiş bir barkod türüdür. Her ne kadar o yıllarda sanayi sektöründe kullanılacağı öngörülmüş olsa da günümüzde mobil cihazların ve kameralarının çok gelişmiş olması QR kodun kullanımını yaygınlaştırmıştır.

Hazırlanması gayet kolay olan QR kod bir telefon tarafından okutulduğunda kod görsel çözümlenerek bir web sayfasına yönlendirebilir, bir dokümanın açılmasını sağlayabilir, bir uygulamanın kurulum linkine yönlendirebilir. Bunun yanında sosyal medya linkleri, mağaza dışı uygulama linkleri, içerisine zararlı yazılım konulabilecek fotoğraf veya doküman linkleri de tanımlanabiliyor bu QR kodların içerisine.

‘RİSK ÜLKEMİZDE ÇOK DAHA BÜYÜK’

2- QR kod ile dolandırıcılık nasıl gerçekleşiyor?

FBI yaptığı uyarıda restoran ve kafelerdeki riskin altını çizmiş ama risk ülkemizde maalesef çok daha büyük. İlk olarak restoran ve kafelerdeki tehdidi inceleyelim...

QR kodlar pandemi döneminde teması en aza indirmek için restoran ve kafeler tarafından yoğun şekilde kullanıldı. Size fiziksel bir menü vermek yerine bir QR kodu okutmanız istendi. Bu QR kod, menünün olduğu bir web sayfasını ya da bir dokumanı telefonunuzun ekranına getirdi. Bu aslında hem teması en aza indirme hem de menüler için kullanılan kâğıt tüketimini azaltma anlamında doğaya ciddi katkıları olan bir sistem.

Bu sistem aynı zamanda ciddi anlamda siber tehditler de barındırıyor. Eğer kötü niyetli bir kişi o QR kodun üzerine kendi hazırladığı QR kodu yapıştırırsa ve siz de karşınıza menü gelecek diye okutursanız karşınıza yine bir menü gelecektir fakat gelen menü sayfası açıldığında o kişinin hazırladığı zararlı yazılım da siz menüyü okuma başladığınızda telefonunuza bulaşmış olacaktır.

ZARARLI YAZILIMLAR TELEFONU ELE GEÇİRİYOR

Bundan sonrası kötü niyetli kişinin hazırladığı zararlı yazılımın yapabilecekleri ile doğru orantılı. Bu tarz zararlı yazılımlar telefonun ya da yüklü uygulamaların güvenlik açıklarından yararlanarak telefonu ele geçirebiliyor. QR kod okutularak link açıldığında telefonunuzun kontrolü tamamen kötü niyetli kişinin eline geçebileceği gibi sadece rehber, dosyalar gibi hedefli erişimler de sağlanıyor olabilir. Nasıl bir linke tıkladığımızda telefonumuzun kontrolü başka kişinin eline geçebiliyorsa aynı şekilde QR kod ile kod okutup linkin açılmasını sağlamak da aynı etkiyi gösterebiliyor.

DURAKLARDAKİ QR KODLARA ÖZELLİKLE DİKKAT EDİN

Özellikle büyük şehirlerde risk daha fazla. Belediyelerin otobüs duraklarına koyduğu bilgilendirme panolarında, o duraktan geçen otobüslerin durağa olan mesafelerini görebilmek için QR kodlar bulunuyor. Siz telefonunuz ile o QR kodu okutarak beklediğiniz otobüsün kaç dakikada geleceğini görebiliyorsunuz. Sırf İstanbul’da binlerce durak olduğu ve hemen hemen her durakta bu QR kodlardan olduğu düşünülürse aslında risk çok fazla. Aynı restoran ya da kafelerde olduğu gibi duraklarda bulunan QR kodların da üzerine kötü niyetli kişiler hazırladıkları kare kodları yapıştırabilir.

DİREKLER VE BOŞ DUVARLARDAKİ KARE KODLARIN TUZAK OLMA İHTİMALİ YÜKSEK

Genellikle vatandaşların doğa ile iç içe olduğu alanlarda ya da ilçe merkezlerinde sıkça karşımıza çıkan farklı QR kodlar da mevcut. Bu kodlar çoğunlukla merak uyandıracak bir yazı ile karşımıza çıkıyor. Örneğin ‘BUNU GÖRMELİSİN!’ yazısının altına bir QR kod konulabiliyor. Bu gerçekten bir reklam çalışması olabileceği gibi kötü niyetli kişiler tarafından da hazırlanmış olabilir. Genellikle direklere ve boş duvarlara yapıştırılıyor. Şunu unutmamakta fayda var; bu tarz reklam çalışmaları çoğu zaman kurumlar tarafından resmi billboard'lar ya da elektronik ekranlarda gösterilerek yapılıyor. Amatörce görünen QR kodların okutulmaması gerekiyor.

SOSYAL MEDYA VE BANKA HESAPLARI, GALERİ, REHBER…

3- QR kod ile nasıl telefonlarımıza ve kişisel bilgilerimize ulaşılabiliyor?

Kare kodlar okutulduğunda açılan linkte bir zararlı yazılım mevcutsa ve bu kullanıcının da gözünden kaçarak yanlışlıkla yüklenirse telefona bulaşıyor. Bunun dışında sadece linkin tıklanmasıyla telefona erişim sağlanabilecek yöntemler de mevcut.

Bir diğer durum ise dokümanların içine saklanan zararlı yazılımlar. Bu bir fotoğraf dahi olabilir. Bu durumlardan herhangi biri ile karşılaşıldığında bulaşan zararlı yazılımın telefona erişimi için gerekli güvenlik açığı da telefonda mevcutsa, tüm rehber, mesajlar, notlar, fotoğraflar yani kişisel verilerimizin tamamına erişim sağlanabiliyor. Erişim genellikle tüm telefonun ele geçirilmesi olarak da gerçekleşebiliyor. Bir telefonun tüm erişimi ele geçirildiyse sosyal medya hesapları ve bankacılık uygulamaları da dahil her şeye erişim sağlanabiliyor.

4- Sadece linki kontrol etmek dolandırılmanın önüne geçmemize yardımcı olur mu?

Restoran ya da kafede menünün QR kodunu okuttuğunuzda açılan linke tıklamanız gerekiyor. Bu linkin gerçekten kuruma ait olan link olup olmadığını çalışanlara teyit ettirebilirsiniz. Bunun dışında otobüs durağında QR kod okuttuysanız açılacak olan linkin şehrin belediyesine ait olduğunu teyit etmeniz gerekiyor. IP adreslerinden ya da karmaşık anlamsız harflerden oluşan bir link ile karşılaşılırsa kesinlikle o link açılmamalı. Burada açılacak linkin kontrolü gerçekten çok önemli. Şüpheleniyorsak mutlaka linkin doğruluğu teyit edilmeli.

‘YAZILIM GÜNCELLEMELERİ VE ANTİVİRÜS PROGRAMLARI İLE KORUMA SAĞLANABİLİR’

5- QR kod dolandırıcılığını önlemek için telefonlarımızda yapabileceğimiz herhangi bir ayar var mı?

Yukarıda da bahsettiğimiz gibi linkleri açılmadan kontrol etmek çok önemli. Bu ilk dikkat edilmesi gereken konu. Diğer konu da telefonun ele geçirilmesi ve kişisel verilere erişilmesi için telefonda ya da yüklü uygulamalarda bir zafiyet yani güvenlik açığı olması gerekliliği. Bu tarz güvenlik açıklarını kapatmak için yazılım güncellemeleri ya da telefon güncellemeleri yayınlanıyor. Bunların mümkünse otomatik olarak yüklenmesinin sağlanması telefonu daha güven içinde kullanmamızı sağlayacaktır.

Aynı zamanda QR kodun bir link açtığı düşünülürse telefonlarımızdaki internet tarayıcılarının bu tarz linklere karşı koruyan özellikleri mevcut. Bunlar aktif hale getirilmeli. Ayrıca telefonumuz destekliyor ise bir antivirüs ve güvenlik duvarı yazılımı mutlaka kurulmalı. QR kod ya da başka bir şekilde gelen bir link zararlı bir yazılım barındırıyorsa bu güvenlik uygulamaları telefonumuzu koruyacaktır.