Dolandırıcılar Neden Bağlantıların Resimlerini Göndermeye Başladı

Bir bağlantı tarayıcısı basit, amansız bir şeydir. E-postadaki metin URL'lerini okur, onları bilinen kötü alan adlarının listeleriyle karşılaştırır, yönlendirmeleri takip eder ve nahoş bir yere çıkan olanları işaretler. Kendi işinde iyidir. Öyleyse dolandırıcılar bariz şeyi yaptılar: bağlantı göndermeyi bıraktılar.

Bağlantıların resimlerini göndermeye başladılar.

Bu, "quishing" — QR kodu kimlik avı — masının arkasındaki numaradır. Bir QR kodu, bir URL'nin siyah beyaz görüntü olarak kodlanmış halidir; böylece login-verify.example gibi bir hedef, iletinin gövdesindeki metin olmaktan çıkıp piksele dönüşür. Adresin şifrelenmiş olması değildir mesele; herhangi birinin kamerası onu anında çözer. Mesele, artık taahhütte bulunmadan önce sende veya bir metin ayrıştırıcıda okuyabileceğin hiçbir yerde yazılı olmamasıdır.

Bir filtrenin onu hala okuyabilip okuyamayacağı tamamen üründen bağlıdır. Birleşik Krallık'ın Ulusal Siber Güvenlik Merkezi (NCSC), Şubat 2024 QR kodları hakkındaki notunda sınırı dikkatli sözlerle ifade eder: "Kimlik avı e-postalarını tespit etmek için tasarlanan tüm güvenlik araçları görüntüleri taramaz." O cümlenin ne söylemediğine dikkat et. Hiçbirinin yapmadığını söylemez. Microsoft, Kasım 2024'te öteki tarafını yayınladı: Defender for Office 365'in, "QR kodlarından URL'leri çıkarma yeteneklerini iyileştirdiğini" ve posta akışının erken aşamasında "QR kodlarında gizli URL'leri çıkarmak ve kaydetmek" için görüntü işlemeyi kullandığını yazdı; artık QR meta verilerini de çıkarır ve çevreleyen deseni —minimal gövde metni, bir marka çekişi, bir yönlendirme zinciri— arar. Öyleyse "filtrenin onu okuması gerekir" bir süre birçok ürün için doğruydu, hâlen bazıları için doğru, ve doğanın bir yasası değildir. Kendi mailinde bunun doğru olup olmadığını bilmek istiyorsan, bu sağlayıcının ürünü ve konfigürasyonu hakkında bir soru, QR kodları hakkında değil.

Kontrol edilebilir sayılar aynı satıcıdan gelir ve ekli kapsam ile okunmaya değerdir. Microsoft'un Kasım 2024 yazısı, "bazı saldırılar ayda yüzde 270 büyüme hızında artış" ile bir artışı tanımlar, "zirvedeyken, Defender for Office 365 günde 3 milyon girişimi engelliyordu" der ve tespit işi gönderildikten sonra "bu sayının günde 200.000 QR kodu kimlik avı denemesine düştüğünü gördük" ifadesini kullanır. Microsoft'un Digital Defense Report 2026, mevcut ölçeğe toplam bir rakam koyar: Defender for Office 365 tarafından Temmuz 2025 ile Haziran 2026 arasında tespit edilen 145 milyondan fazla QR kodu kimlik avı saldırısı. Tüm bu rakamlar bir satıcının kendi ürünü için telemetrisidir, kendi kendine raporlanır. Bunlar tüm kimlik avının bir payı değildir ve bir endüstri toplamı değildir — bu makalenin önceki bir versiyonu Microsoft yayını tarafından desteklenmesi gibi görünmüyor bir yüzde 25'lik bir pay alıntı yaptı ve bu rakam değiştirilmek yerine kaldırılmıştır.

Tekniği dayanıklı kılan şey kodlama değil, devredilmedir. E-posta bir dizüstü bilgisayara iner; kurumsal filtre, yönetilen tarayıcı ve şifre yöneticisi orada yaşar. Kod bir telefonda taranır; bu genellikle kişisel bir cihazdır. NCSC bunu suçluların yöntemi tercih etme nedenlerinin arasında listeler: "Kişisel cihazlar, işvereniniz tarafından sağlanan bir bilgisayarla aynı güvenlik korumasına sahip olmayabilir." Bir telefonda adres çubuğu kısalır, tam URL incelemek zordur ve yanlış alan adına otomatik doldurması reddedecek bir şifre yöneticisi hiç dahil değildir.

Temalar sıkıcı şekilde tahmin edilebilirdir; bu kendi başına bir işarettir ve tüketici uyarılarında neredeyse kelime kelimeye gösterilirler. FTC'nin Aralık 2023 uyarısı, dolandırıcıları bir park makinesi üzerindeki gerçek QR kodunu kendi etiketiyle kaplayışını açıklar ve açıkça uyarır: "Bir e-posta veya metin mesajında beklediğin bir QR kodu tarama; özellikle seni hemen hareket etmeye iten biri." FBI'ın Ocak 2022'deki IC3 kamu hizmeti duyurusu, uygunsuz muamele hakkında aynı şeyi söyler — "Siber suçlular hem dijital hem fiziksel QR kodlarına uygulama yaparak meşru kodları kötü niyetli kodlarla değiştirirler" — ve insanlara fiziksel kodları "orijinal kodun üstüne yerleştirilmiş bir etiket" için kontrol etmeyi söyler. Süresi dolan çok faktörlü kimlik doğrulamayı yeniden etkinleştirmek için bir kod, beklediğin bir imza isteği, teslim almayı onaylamanı isteyen bir sevkiyat bildirimi: tasarım hedefi her zaman herhangi bir şey kontrol edilmeden önce telefonu kaldırmak için küçük, makul bir nedenidir.

Öyleyse savunma hamleleri sıkıcı olanlar ve ajanslıklar gerçekten yayınladıkları olanlardır. IC3'ün bir taramanın ardından ödeme veya oturum açma isteyen bir mesaj için tavsiyesi: "şirketin doğruluğunu kontrol etmek için çağır," "e-postada sağlanan bir numara yerine güvenilir bir siteden şirketin telefon numarasını" kullanarak, ve "bir QR koddan gezinilen bir siteden ödeme yapmaktan kaçın. Bunun yerine bilinen ve güvenilir bir URL'yi el ile gir." Bunun hiçbiri, belirli bir karenin kötü niyetli olup olmadığı hakkında yargıda bulunmanı gerektirmez — bu hiçbir insan iyi olmadığı kısımdır.

Bir e-postadaki bir QR kodu sana asla söylemeyeceği bir şey, mesajın sahte olup olmadığıdır. Alan adı kimlik doğrulaması tamamen farklı bir soruya yanıt verir ve mevcut DMARC spesifikasyonu açıkça "içerik analizi"ni kapsamının dışında tutar — bu nedenle tam olarak kimlik doğrulanmış bir mesaj kötü niyetli bir görüntü taşıyabilir. Bu mekanizma kendi başına okunmaya değerdir ve bu serinin bir eşlik makalesinin konusudur.

Düzeltme, 20 Ekim 2026. Bu makalenin önceki bir versiyonu, bir spam filtresinin QR kodunu okuyamayacağını ve tarayıcıların kodlanmış adrese kör olduğunu söyledi. Bu, bazı e-posta güvenlik ürünleri için doğru ve diğerleri için değildir: Microsoft, Kasım 2024'te Defender for Office 365'de QR kodlarından URL çıkarmayı belgeledi ve NCSC'nin ifadesi tüm araçların görüntüleri taramadığıdır. Makale ayrıca e-posta kimlik avının kabaca yüzde 25'inin QR kodlarını kullandığını, Microsoft'a atfedilen bir rakamı alıntı yaptı; bu payı destekleyen hiçbir Microsoft yayını bulunamadı, bu nedenle rakam kaldırılmış ve Microsoft'un doğrudan yayınladığı, ürünleri ve dönemi belirtilen rakamlarla değiştirilmiştir. Canlı bağlantı olarak işlenen bir kimlik avı etki alanının gösterimi, ayrılmış .example ad alanında tıklanmayan bir örnek ile değiştirilmiş ve CISA ana sayfasına yapılan bir alıntı, belirli FBI IC3 ve FTC danışmanlarıyla değiştirilmiştir.

@@END@@