QR kod dolandırıcılığı, sahte bir QR kodla insanları gerçeğine benzeyen bir siteye yönlendirip şifre ya da kart bilgisi istemek veya zararlı yazılım indirtmektir; İngilizcede quishing de deniyor. Dolandırıcılar sahte kodu otopark makinesi gibi yerlerde gerçeğinin üstüne yapıştırır ya da "kargonuz teslim edilemedi" gibi bir bahaneyle SMS ve e-postayla gönderir. Korunmanın en kısa yolu, kodu okuttuktan sonra açılacak adresi açmadan önce kontrol etmek ve beklemediğin mesajlardaki kodları okutmamaktır.
Aşağıda sahte QR kodların nerelerde görüldüğünü, nasıl anlaşılacağını, okuttuysan ne yapman gerektiğini ve işletmelerin kendi kodlarını nasıl koruyacağını anlattık. Türkiye'de Kişisel Verileri Koruma Kurumu da 26 Şubat 2026'da QR Kodlarla Gelen Risk, Quishing başlıklı bir doküman yayımladı; saldırının nasıl yapıldığını, nasıl tespit edileceğini ve bireylerin nelere dikkat etmesi gerektiğini anlatıyor. Diğer bilgiler ABD Federal Ticaret Komisyonu (FTC) ve Stuttgart Belediyesi uyarılarına dayanıyor, 14 Ekim 2026 itibarıyla.
Sahte QR kodlar nerelerde görülüyor?
- Otopark ve park ödeme makineleri. Stuttgart Belediyesi 8 Haziran 2026'da, park bileti makinelerinde gerçek QR kodların üstüne "doğrudan ödeme" yazan sahte etiketler yapıştırıldığını duyurdu. Kodu okutan kişi sahte bir siteye gidiyor ve banka bilgileri isteniyor.
- SMS ve e-posta. FTC'nin uyarısına göre dolandırıcılar QR kodu mesajla gönderip okutmak için uydurma bir sebep gösteriyor.
- Kargo bahanesi. FTC'nin örneklerinden biri, teslim edilemeyen bir paket için yeniden randevu alman gerektiğini söyleyen mesajlar.
- Hesap ve şifre bahanesi. Hesabında sorun olduğunu, bilgilerini doğrulaman ya da şüpheli bir hareket yüzünden şifreni değiştirmen gerektiğini söyleyen mesajlar.
Ortak nokta aciliyet. Mesaj seni düşünmeden okutmaya ve açılan sayfaya bilgi girmeye zorlar.
Sahte QR kod nasıl anlaşılır?
- Üstüne yapıştırılmış etiket. Makinede, masada ya da afişte sonradan yapıştırılmış, kenarı kalkmış ya da asıl kodun üstünü kapatan bir etiket varsa okutma.
- Beklenmedik mesaj. Kargo, banka ya da hesap güvenliği bahanesiyle gelen ve hemen işlem isteyen QR kodlu mesajlar şüphelidir.
- Adres tutmuyor. Okuttuktan sonra açmadan önce adrese bak. FTC, tanıdık bir adreste yazım hatası ya da yer değiştirmiş bir harf olup olmadığına bakmayı öneriyor.
- Ödeme ya da şifre isteği. Park ödemesi, kargo ücreti ya da hesap doğrulaması için bilgi isteyen sayfaya bilgi girmeden önce dur.
- Uygulama indirme isteği. Okuttuğun kod seni bilmediğin bir uygulamayı indirmeye yönlendiriyorsa indirme; uygulamaları yalnız App Store ve Google Play gibi resmî mağazalardan kur.
Kısa linkli QR kodlarını kontrol etmek
Birçok işletme QR kodlarında kısa link kullanır; bu kendi başına tehlike işareti değil. Ama kısa link nereye gittiğini göstermediği için açmadan önce hedefini görmek istersen URL Yönlendirme Kontrolü aracına kısa linki yapıştırıp son adresi görebilirsin. Son adresi Güvenli URL Kontrolü aracında da sorgulayabilirsin; araç bilinen tehdit kayıtlarını gösterir ama sonucu tek başına güvenlik garantisi sayma. Ayrıntılı anlatım kısa link açma ve kısa link güvenli mi yazılarında.
Sahte QR kodu okuttuysan ne yapmalısın?
- Bilgi girmediysen sayfayı kapat. Yalnız sayfayı açtıysan, bir şey indirmediysen ve bilgi girmediysen sayfayı kapat; bu durumda genellikle ek işlem gerekmez. Yine de telefonunda beklenmedik bir davranış görürsen aşağıdaki adımları uygula.
- Şifre girdiysen değiştir. O şifreyi kullandığın hesapların şifresini değiştir ve iki adımlı doğrulamayı aç; FTC güçlü şifre ve çok adımlı doğrulama kullanmayı öneriyor.
- Kart bilgisi girdiysen bankanı ara. Bankanın bilinen müşteri hizmetleri numarasından hemen ara, mesajdaki numarayı kullanma. Kartının güvenliğe alınmasını iste, şüpheli işlemleri bildir ve itiraz sürecini sor; paranın geri alınması garanti değildir.
- Bir şey indirdiysen kaldır. İndirdiğin dosyayı açma, bilmediğin uygulamayı sil, telefonunun işletim sistemini güncelle ve güvenlik taraması yap. Zararlı yazılımdan şüpheleniyorsan güvenilir bir teknik destek al.
- Bildir. Türkiye'de dolandırıcılığa uğradıysan polise, jandarmaya ya da Cumhuriyet başsavcılığına başvurabilirsin; mesajları, adresleri, ekran görüntülerini ve işlem kayıtlarını sakla. Sahte etiketi gördüğün yeri işletmeye ya da belediyeye de bildir.
İşletmeler kendi QR kodlarını nasıl korur?
- Kodları düzenli kontrol et. Masa, vitrin ve kasa önündeki kodların üstüne başka etiket yapıştırılmadığından emin ol.
- Kodun yanına adresi yaz. QR kodun altına müşterinin göreceği kısa ve tanıdık bir adres yazarsan, müşteri okuttuktan sonra açılan adresin aynı olup olmadığını karşılaştırabilir.
- Tanınır bir kısa link kullan. Rastgele harflerden oluşan bir adres yerine işletmeni anlatan bir ad seç; özel kısa link müşterinin linki tanımasını kolaylaştırır.
- Dinamik QR kod kullan. Basılı kodun hedefini panelden değiştirebilirsen bir sorun olduğunda kodu yeniden basmadan yönlendirmeyi düzeltirsin. Dinamik kod, üstüne sahte etiket yapıştırılmasını engellemez; böyle bir etiketi kaldırman gerekir. Kodun bağlı olduğu hesabı güçlü şifre ve iki adımlı doğrulamayla koru. Ayrıntılar dinamik QR kod yazısında.
- Ödeme için kod kullanıyorsan resmî kanalı göster. Müşteriye ödemenin hangi uygulama ya da sayfadan yapılacağını açıkça yaz.
Ücretsiz hesap aç ve işletmen için tanınır bir kısa link oluştur
Sık sorulan sorular
QR kodu okutmak tek başına tehlikeli mi?
Okutmak kodun içindeki adresi gösterir. Asıl risk, açılan sayfaya bilgi girmek ya da önerilen bir dosyayı ve uygulamayı indirmektir. Bu yüzden açmadan önce adresi kontrol et.
Quishing ne demek?
QR kod ve phishing kelimelerinden türetilen, QR kodla yapılan oltalama dolandırıcılığının İngilizce adıdır.
Sahte QR kodlar nerelerde görülüyor?
Resmî uyarılarda otopark ve park ödeme makinelerine yapıştırılan etiketler ile kargo, hesap sorunu ya da şifre değişikliği bahanesiyle gelen SMS ve e-postalar öne çıkıyor.
Kısa link içeren QR kod güvensiz mi?
Kendi başına değil; birçok işletme kısa link kullanır. Emin olmak istersen kısa linkin son adresini bir yönlendirme kontrol aracıyla açmadan görebilirsin.
Sahte QR kodla bilgilerimi girdim, ne yapmalıyım?
Şifreni değiştir ve iki adımlı doğrulamayı aç, kart bilgisi girdiysen bankanı bilinen numarasından ara ve kartını güvenliğe aldır. Dolandırıcılığa uğradıysan polise, jandarmaya ya da Cumhuriyet başsavcılığına başvurabilirsin.
