Kurumsal Güvenliği Ekran İle Aşan Tehlike: QR Kodlu Kimlik Avı Saldırıları Artıyor

Yeni Nesil Kimlik Avı Tehdidi “Quishing”: QR Kodlu Saldırılar Kurumları Hedef Alıyor

Günlük yaşamın ayrılmaz bir parçası haline gelen QR kodlar, siber saldırganların yeni odak noktası oldu. “Quishing” olarak adlandırılan QR kodlu kimlik avı saldırıları; e-posta güvenlik filtrelerini aşmak, kötü amaçlı bağlantıları gizlemek ve çalışanları korumasız mobil cihazlara yönlendirmek amacıyla giderek daha sık kullanılıyor.

Siber güvenlik kuruluşu ESET, kurumsal güvenlik duvarlarını hedef alan bu yeni nesil tehdidin detaylarını ve korunma yöntemlerini paylaştı.

Quishing Neden Tehlikeli?

QR kodlar, bağlantıları metin olarak değil görsel bir desen içinde kodladığı için geleneksel e-posta güvenlik filtreleri tarafından kolayca tespit edilemiyor. Saldırganlar, hazırladıkları zararlı kodları PDF veya JPEG dosyalarına gömerek çalışanların gelen kutularına doğrudan ulaştırabiliyor.

Quishing saldırılarının kurumsal sistemler için yarattığı başlıca riskler şunlardır:

• Mobil Cihaz Savunmasızlığı: Çalışanlar e-postadaki QR kodu bilgisayarlarından ziyade güvenlik önlemleri daha sınırlı olan kişisel akıllı telefonlarıyla taratıyor. Bu durum, kurumsal güvenlik katmanlarını devre dışı bırakıyor.

• Metin Analizinin Zorluğu: Görsel kodlama nedeniyle insan gözüyle incelenebilecek hatalı metin veya şüpheli bağlantı (URL) görünmüyor.

• Güvenilir Marka İstismarı: Saldırganlar Microsoft veya DocuSign gibi tanınmış markaların kurumsal kimliğini taklit ederek aciliyet hissi oluşturan sahte bildirimler gönderiyor.

Phishing E-Postalarının Yüzde 11'inde Kötü Amaçlı QR Kod Var

ESET 2026 Yılı İlk Yarı Tehdit Raporu verilerine göre, 2026'nın ilk altı ayında tespit edilen tüm phishing (oltalama) e-postalarının en az yüzde 11’inde kötü amaçlı QR kodlar yer aldı. Siber saldırganlar artık sadece şifre çalmakla kalmıyor; doğrudan uygulama indirmeleri, sosyal medya hesabı ele geçirme, takvim zehirlemesi ve çok faktörlü kimlik doğrulama (MFA) jetonlarını toplama gibi yöntemlere de başvuruyor.

Kurumları Quishing Saldırılarından Koruma Yolları

ESET uzmanları, şirketlerin ve kurumların bu tehdide karşı alabileceği temel önlemleri şu şekilde sıralıyor:

• Eğitim ve Simülasyon: Çalışanlara e-postalardaki QR kodları doğrulamadan taramamaları gerektiği anlatılmalı, quishing konusunu kapsayan farkındalık eğitimleri düzenlenmelidir.

• Teknik Güvenlik Filtreleri: Görsel metinleri ve QR kod içerisindeki URL'leri analiz edebilen gelişmiş e-posta tarama çözümleri tercih edilmelidir.

• Mobil Cihaz Yönetimi (MDM) ve Mobil Güvenlik: Kurumsal verilere erişen tüm mobil cihazlara güvenlik yazılımları yüklenmeli ve cihazlar merkezi politika ile denetlenmelidir.

• Güçlü Kimlik Doğrulama: Phishing saldırılarına karşı dayanıklı Çok Faktörlü Kimlik Doğrulama (MFA) sistemleri zorunlu hale getirilmelidir.

• Güncellik ve İzleme: Tüm mobil işletim sistemleri ve kurumsal yazılımlar güncel tutulmalı, şüpheli ağ hareketleri sürekli izlenmelidir.