QR kodu kolaylık sağlar, kararını sen vermelisin

Restoran menüsü, otopark ödemesi, etkinlik bileti veya kargo takibi… QR kodları birkaç dokunuşu tek bir taramaya indiriyor. Fakat kare biçimli görüntü, seni hangi adrese götüreceğini ilk bakışta anlatmaz. FTC, dolandırıcıların QR kodlarını sahte sitelere yönlendirmek, kişisel bilgi istemek veya zararlı yazılım indirtmek için kullanabildiği konusunda uyarıyor. FBI’ın İnternet Suçları Şikâyet Merkezi de hem dijital hem fiziksel QR kodlarının değiştirilebildiğini belirtiyor. Bu, bütün QR kodlarının tehlikeli olduğu anlamına gelmez. Doğru yaklaşım korkmak değil, taramayla işlem arasına kısa bir kontrol koymaktır.

Birinci kontrol: Kod bulunduğu yere ait mi?

Masadaki menü kartında veya parkmetrede bulunan kodun sonradan yapıştırılmış bir etiket olup olmadığına bak. Kenarları kalkmış, alttaki başka bir kodu kapatan ya da ortamın tasarımıyla ilgisiz görünen bir etiket şüphe sebebidir. Böyle bir durumda işletme görevlisine sorabilir veya kurumun bildiğin resmî internet adresini kendin açabilirsin. E-posta ya da mesajla gelen ve ‘hemen okut’, ‘paketin bekliyor’ veya ‘ödemen başarısız’ gibi acele ettiren kodlarda da aynı mesafeyi koru. Mesaj gerçek görünse bile kurumun uygulamasını kendin açmak, mesajdaki rotaya güvenmekten daha kontrollü bir yoldur.

İkinci kontrol: Adresi okumadan devam etme

Telefon QR kodunu tanıdığında çoğu zaman bağlantıyı açmadan önce bir adres önizlemesi gösterir. Burada yalnızca tanıdık logoya değil, alan adına bak. Harf değişikliği, gereksiz tire, eklenen kelime veya markaya benzeyen fakat farklı biten bir adres uyarı işaretidir. Örneğin bankanın adını içeren uzun bir adresin gerçekten bankaya ait olduğunu varsayma. Emin değilsen sayfayı kapat, arama sonucundaki reklama da güvenmeden kurumun resmî uygulamasını veya daha önce doğruladığın adresi kullan. HTTPS bağlantısı aktarımın şifrelenmesine yardımcı olur; ancak kilit simgesi tek başına sitenin sahibinin dürüst olduğunu kanıtlamaz.

Üçüncü kontrol: İstenen işlem mantıklı mı?

Bir menü kodunun e-posta parolanı istemesi, bir otopark kodunun telefonuna profil veya uygulama yükletmeye çalışması ya da bir kargo kodunun banka bilgilerine ulaşmak istemesi beklenen akışla uyuşmaz. İşlemin amacıyla istenen bilgi arasındaki bağı sorgula. FBI/IC3, QR koduyla açılan bir sayfada giriş, kişisel bilgi veya ödeme bilgisi girerken dikkatli olunmasını; uygulamaların QR bağlantısından değil resmî uygulama mağazasından indirilmesini öneriyor. Ödeme yapacaksan alıcı adını, tutarı ve işlemin gerçekleşeceği kurumu son onaydan önce tekrar kontrol et.

10 saniyelik pratik rutin

Taramadan önce bu kısa sırayı uygula:

  1. **Yeri kontrol et:** Kod sonradan yapıştırılmış veya değiştirilmiş görünüyor mu?
  2. **Adresi kontrol et:** Alan adı doğru yazılmış mı ve gerçekten beklediğin kuruma mı ait?
  3. **İsteği kontrol et:** Sayfa, yaptığı işle ilgisiz bilgi, uygulama veya ödeme istiyor mu?
  4. **Alternatifi düşün:** Aynı işlemi kurumun resmî uygulamasından ya da adresini kendin yazarak yapabilir misin?

Bu rutin kusursuz bir güvenlik garantisi değildir. Yine de hız ve aciliyet duygusunun kararının önüne geçmesini zorlaştırır. Özellikle para transferi veya hesap girişi söz konusuysa birkaç saniyelik duraklama değerlidir.

Kod tanıdığın birinden geldiyse

Tanıdığın bir kişinin hesabı ele geçirilmiş olabilir veya mesaj yanlışlıkla iletilmiş olabilir. Beklemediğin bir QR kodu geldiğinde aynı mesaj zincirinden ‘bu sen misin?’ diye sormak yerine, kişiyi daha önce kullandığın başka bir kanaldan veya bildiğin numaradan doğrula. FTC de beklenmeyen mesajlardaki, özellikle hızlı hareket etmeye zorlayan QR kodlarının taranmamasını öneriyor. Kuruma ulaşman gerekiyorsa mesajda verilen telefon numarasını değil, kurumun resmî sitesinde veya kartının arkasında yer alan numarayı tercih et. Buradaki amaç iletişimi kesmek değil, doğrulama yolunu mesajı gönderen kişiden bağımsız hale getirmektir.

Okuttuysan ve şüphelendiysen ne yapabilirsin?

Yalnızca sayfayı açtıysan hiçbir bilgi girmeden kapat; telefonunu ve tarayıcını güncel tut, beklenmedik indirmeleri kontrol et. Parola girdiysen ilgili hesabın resmî uygulamasını kendin açarak parolanı değiştir, aynı parolayı kullandığın diğer hesapları da gözden geçir ve çok faktörlü doğrulamayı etkinleştir. Kart veya ödeme bilgisi paylaştıysan bankanın resmî iletişim kanalından hızlıca ulaşarak işlemleri kontrol et. Şüpheli bir uygulama yüklediysen cihaz üreticinin resmî destek adımlarını izle. Her durumda ekran görüntüsü, adres ve işlem zamanı gibi bilgileri saklamak; hizmet sağlayıcıya veya yetkili kanallara bildirim yaparken yardımcı olabilir.

Sonuç: Hızlı araç, yavaş karar

QR kodunun işi hızlandırması, kararın da hızlı verilmesi gerektiği anlamına gelmez. Kodun bulunduğu yeri, açacağı adresi ve senden istediği işlemi kontrol etmek günlük dijital güvenliğin basit bir parçasıdır. En güçlü alışkanlık şudur: Şüphe duyduğunda bağlantının içinden ilerleme; kurumun bildiğin resmî kanalına dışarıdan ulaş. On saniyelik kontrol bazen yalnızca yanlış bir sayfayı kapatmanı sağlar, bazen de hesap ve ödeme bilgilerini korur. Teknolojiyi güvenli kullanmak her aracı reddetmek değil, kolaylık ile kontrol arasındaki dengeyi kurabilmektir.