Siber güvenlik alanının önde gelen isimlerinden ESET, kurumları hedef alan ve son zamanlarda yaygınlaşan QR kodlu kimlik avı saldırıları, yani "quishing" konusunda kritik uyarılarda bulundu. Uzmanlar, menülerde, sokak lambalarında ve e-postalarda sıkça karşılaşılan QR kodlarının, kötü niyetli bağlantıları gizleyerek kurumsal güvenlik sistemlerini aşma ve kullanıcıları daha az korunan kişisel mobil cihazlara yönlendirme potansiyeli taşıdığını belirtiyor. ESET'in 2026 Yılı İlk Yarı Tehdit Raporu'na göre, sadece bu dönemin ilk yarısında tüm kimlik avı e-postalarının en az yüzde 11'inde kötü amaçlı QR kodları tespit edildi.
Quishing Tehdidi Neden Bu Kadar Yaygın?
"Quick Response" (Hızlı Yanıt) kelimesinin kısaltması olan QR kodları, web siteleri, ödeme bilgileri veya iletişim detayları gibi verileri kodlayan iki boyutlu barkodlardır. Kullanıcıların hızlı ve temassız etkileşim kurmasına olanak tanıyan bu teknoloji, özellikle pandemi döneminde yaygınlaşarak günlük yaşamın ayrılmaz bir parçası haline geldi. Ancak bu yaygınlık, siber suçlular için yeni bir kapı araladı. Saldırganlar, kötü amaçlı bağlantıları veya ekleri bir QR kodunun içine gizleyerek kimlik avı süreçlerine entegre edebiliyor. Birçok kimlik avı kiti, özel QR kodu oluşturma yeteneğiyle donatılmış durumda.
Quishing saldırılarının tehlikeli olmasının temel nedenlerinden biri, hedefin genellikle kurumsal ağdan nispeten daha az korunan bir mobil cihaza yönlendirilmesidir. Bu durum, kurumsal düzeydeki güvenlik mekanizmalarının atlatılmasına olanak tanır. Ayrıca, kötü amaçlı URL'ler görsel bir desen içinde kodlandığı için, geleneksel e-posta filtrelerinin bu tehditleri tespit etmesi zorlaşır. Saldırganlar, bu kodları PDF veya JPEG gibi dosya eklerine gömerek gizliliği daha da artırır ve kötü amaçlı e-postaların çalışanların gelen kutularına ulaşma olasılığını yükseltir. Çalışanlar genellikle, yazım veya dil bilgisi hataları gibi ipuçları sunan metinlerin eksikliği nedeniyle, gerçek bir mesajı kötü niyetli olandan ayırt etmekte zorlanabilirler. Güvenilir markaların (örneğin DocuSign veya Microsoft) adı kullanılarak oluşturulan aciliyet hissi de, kullanıcıları kötü amaçlı bağlantılara tıklamaya teşvik eden sosyal mühendislik taktiklerini güçlendirir.
Gelişen Siber Saldırı Taktikleri ve Korunma Yolları
Siber tehdit aktörleri, quishing saldırılarını sadece kötü amaçlı yazılım yüklemek veya kimlik bilgilerini çalmakla kalmayıp, çok faktörlü kimlik doğrulama (MFA) jetonlarını ele geçirmek gibi daha karmaşık amaçlar için de kullanıyor. Araştırmacılar, bu saldırıların farklı hedeflerle tasarlanabildiğini gözlemlemiştir:
- Uygulama Mağazası Güvenliğini Atlama: Kötü amaçlı yazılımların meşru uygulamalar gibi gösterilerek doğrudan uygulama indirmeleri yoluyla dağıtılması.
- Hesap Ele Geçirme ve Finansal Dolandırıcılık: Kullanıcıyı doğrudan meşru bir sosyal medya veya ödeme uygulamasına yönlendirerek, kendi hesabında saldırganı doğrulamaya veya önceden doldurulmuş alıcı bilgileriyle finansal dolandırıcılığa maruz bırakma.
- Kişi veya Takvim Zehirlemesi: Kötü amaçlı toplantı bağlantılarının veya yeni kişi bilgilerinin yardımcı uygulamalara gömülerek kullanıcıları kimlik avı sitelerine yönlendirmesi.
- Güvenlik Araçlarını Gizleme: Uzun, kötü amaçlı web adreslerini QR kodlarına gömülü kısa bağlantılara dönüştüren QR kodu kısaltıcılarının kullanılması.
ESET, işletmelerin quishing saldırılarına karşı korunması için insan, süreç ve teknoloji odaklı kapsamlı bir yaklaşım benimsemesini önermektedir:
- Kullanıcı Farkındalık Eğitimi: Çalışanları, istenmeyen e-postalardaki QR kodlarını taramaktan kaçınmaya ve şüpheli durumları bildirmeye teşvik edin. Güvenilir bir kaynaktan geldiği düşünülen e-postalar için bile, gönderenle e-postadan bağımsız iletişim kanalları üzerinden teyit edin.
- Teknik Kontroller: Saygın bir güvenlik sağlayıcısının sunduğu e-posta güvenliği çözümlerini değerlendirerek quishing e-postalarının gelen kutularına ulaşma riskini en aza indirin.
- Mobil Cihaz Güvenliği: Çalışanların cihazlarına mobil güvenlik çözümleri ekleyerek kötü amaçlı sitelere erişimi engelleyin.
- Çok Faktörlü Kimlik Doğrulama (MFA): Tüm hassas hesaplarda kimlik avına karşı dayanıklı MFA uygulamasını zorunlu kılarak, kullanıcılar kandırılsa bile saldırganların kurumsal sistemlere sızmasını engelleyin. Mobil Cihaz Yönetimi (MDM) araçları, cihazların kurumsal politikaya uygun korunmasını sağlayabilir.
- Saldırı Yüzeyini Azaltma: En az ayrıcalık ve tam zamanında erişim ilkelerini uygulayın.
- Yazılım Güncellemeleri: Güvenlik araçları da dahil olmak üzere tüm mobil işletim sistemlerini ve kurumsal yazılımları güncel tutun.
- Sürekli İzleme ve Olay Müdahalesi: Şüpheli etkinlikler için sürekli izleme yapın ve olay müdahale planlarını en kötü senaryo durumlarında uygulamaya hazır bulundurun.
