QR kod dolandırıcılığı: Kodu taradıktan sonra ne yapılmalı?

Kısa cevap: Yaptığınız son işleme göre durun

Şüpheli bir QR kodunu yalnız taradıysanız açılan adresi kapatın; hiçbir bilgi girmediyseniz, dosya indirmediyseniz ve izin vermediyseniz önce tarayıcı indirmelerini ve cihaz bildirimlerini kontrol edin. Parola yazdıysanız gerçek hizmetin uygulamasını veya adresini kendiniz açıp parolayı değiştirin, açık oturumları ve kurtarma bilgilerini inceleyin. Kart bilgisi girdiyseniz ya da ödeme yaptıysanız bankanızı kartın üzerindeki veya resmî uygulamadaki kanaldan hemen arayın. Android uygulaması veya iPhone yapılandırma profili kurduysanız kaldırma ve izin denetimini ayrıca yapın. QR kodunu yeniden taramayın; adresi, mesajı ve işlem kayıtlarını kanıt olarak saklayın.

QR kodu neden bağlantıdan daha güvenli değildir?

QR kod, kamera tarafından okunabilen bir veri kabıdır. İçinde bir web adresi, ödeme alıcısı, kablosuz ağ bilgisi, kişi kartı veya düz metin bulunabilir. Kare desen, içeriğin kim tarafından üretildiğini ya da güvenilir olduğunu kanıtlamaz. Oltalama saldırısında saldırgan, sahte adresi gözle görünür bir bağlantı yerine bu desenin içine koyar. FTC; parkmetre üzerindeki gerçek kodun başka bir etiketle kapatılması, kargo sorunu veya hesap uyarısı bahanesiyle kod gönderilmesi gibi örnekleri özellikle sayıyor.

FBI'nın Ocak 2026 tarihli uyarısı bu tekniği “quishing”, yani QR kodlu oltalama olarak adlandırıyor. Kurumsal e-postadaki kod, kişiyi iş bilgisayarından kişisel telefona taşıyabildiği için e-posta güvenlik denetimlerinin bir bölümünü de aşabilir. Bu, bütün QR kodlarının tehlikeli olduğu anlamına gelmez. NCSC'nin değerlendirmesi restoran ve benzeri olağan bağlamlardaki kodların çoğunun güvenli olduğunu; açık alandaki değiştirilmiş etiketlerin, beklenmedik e-posta kodlarının ve gereğinden fazla bilgi isteyen sayfaların daha dikkatli ele alınması gerektiğini söylüyor.

Taramadan önce üç noktayı nasıl kontrol edersiniz?

Önce fiziksel kaynağa bakın. Park cihazı, masa menüsü, kargo dolabı veya afiş üzerindeki kod kabarmış, kenarından kalkmış ya da alttaki etiketi örtüyor mu? Bir ödeme koduysa işletmenin kasadaki doğrulanmış kanalıyla alıcıyı teyit edin. E-posta veya mesajdaki kod sizden cezayı, kargoyu, hesabı ya da ödülü hemen çözmenizi istiyorsa aynı mesajdaki telefon ve bağlantıyı kullanmayın. Kurumun uygulamasını kendiniz açın veya bildiğiniz adresi elle yazın.

Telefonun yerleşik kamerası adres önizlemesi gösteriyorsa alan adını açmadan okuyun. Harf değişimi, gereksiz alt alan adı ve ilgisiz alan adı kırmızı bayraktır; ancak düzgün yazılmış adres de tek başına güven garantisi değildir. `https` ve kilit simgesi yalnız bağlantının o alan adıyla şifrelendiğini anlatır, sitenin dürüst olduğunu değil. NCSC, ayrı ve tanımadığınız bir QR tarayıcı uygulaması indirmek yerine telefonun yerleşik tarayıcısını kullanmayı öneriyor. Kodun gerçekliğini sınamak için onu bir “QR açma” sitesine yüklemek de hassas ödeme veya giriş verisini üçüncü tarafa taşıyabilir.

Yalnız sayfayı açtıysanız hesap çalınmış sayılır mı?

Hayır. Bir sayfanın açılması ile o sayfaya parola yazmak, bildirim izni vermek, dosya indirmek veya ödeme onaylamak aynı olay değildir. Güncel bir telefon ve tarayıcıda sayfayı görmek tek başına hesap parolasını karşı tarafa vermez. Yine de “hiç risk yok” sonucu da kurulamaz: zararlı site tarayıcı açığından yararlanmayı deneyebilir, sahte güncelleme indirebilir veya sonraki bildirimlerle sizi geri çağırabilir. Bu nedenle sayfayı kapatın, indirmeler listesini ve yeni bildirim izinlerini kontrol edin, işletim sistemi ile tarayıcı güncellemelerini uygulayın.

Panikle bütün telefonu hemen fabrika ayarına döndürmek ilk adım değildir. Önce ne olduğunu sabitleyin: kod nerede görüldü, hangi alan adı açıldı, herhangi bir düğmeye basıldı mı, dosya indi mi, uygulama ya da profil kuruldu mu? Ekran görüntüsünde kişisel bilgi ve tek kullanımlık kodları paylaşmadan adresi, saati ve göndericiyi kaydedin. Sonra tarayıcı sekmesini ve indirilmiş şüpheli dosyayı kapatın. Cihazda kalıcı yönlendirme, kapanmayan reklam, tanımadığınız uygulama veya güvenlik uyarısı yoksa müdahaleyi bu kanıtla sınırlı tutmak, rastgele “temizleyici” yüklemekten daha güvenlidir.

Parola veya doğrulama kodu girdiyseniz sıra nedir?

Değişikliği QR kodunun açtığı sayfadan yapmayın. İlgili hizmetin gerçek uygulamasını açın ya da adresini kendiniz yazın; önce parolayı güçlü ve yalnız o hesaba özgü bir değerle değiştirin. Aynı parolayı başka hesaplarda kullandıysanız, özellikle ana e-posta ve bankacılık bağlantılı hesaplardan başlayarak onları da değiştirin. Google'ın ele geçirilmiş hesap rehberi; güvenlik olaylarını, bağlı cihazları, kurtarma telefonu ve e-postasını, üçüncü taraf erişimlerini ve Gmail yönlendirme kurallarını birlikte gözden geçirmeyi öneriyor. Yalnız parola değişikliği, saldırganın eklediği oturum veya kurtarma yolunu her hizmette otomatik temizlemeyebilir.

Açık oturumları sonlandırın, tanımadığınız cihazları ve uygulama yetkilerini kaldırın, ardından çok adımlı doğrulamayı açın. Az önce bir doğrulama kodunu da sahte sayfaya verdiyseniz o kodun süresinin dolmasını beklemek yerine hesabın güvenlik sayfasını hemen denetleyin; saldırgan kodu gerçek zamanlı kullanmış olabilir. İş veya okul hesabıysa kendi başınıza sessizce kapatmayın: bilgi işlem ya da güvenlik ekibine kodu nerede gördüğünüzü, hangi hesabı kullandığınızı ve yaklaşık zamanı bildirin. FBI'nın kurumsal quishing uyarısındaki temel risk, saldırının kişisel telefona sıçrayarak kurumun görünürlüğünü azaltmasıdır.

Kart bilgisi verdiniz veya ödeme yaptınız: Önce kimi aramalısınız?

Kart numarası, son kullanma tarihi, güvenlik kodu, mobil bankacılık parolası ya da işlem onayı verdiyseniz önce ilgili bankanın resmî uygulamasındaki destek yolunu veya kartın arkasındaki numarayı kullanın. Kartı geçici kapatma, yenileme, mobil bankacılık erişimini güvene alma ve itiraz seçenekleri bankaya ve işlemin durumuna göre değişir. Şüpheli işlemin saatini, tutarını, alıcı adını, kodun bulunduğu yeri ve bankaya yaptığınız bildirimin kayıt numarasını saklayın. Bir ödemeyi sizin onaylamış olmanız, geri alma sonucunun otomatik kabul veya ret olduğu anlamına gelmez.

Türkiye Bankalar Birliği, dolandırıcılık ve güvenlik bilgisini yayımlasa da tek tek müşteri hesabını görmediğini ve şikâyetin doğrudan ilgili bankaya yöneltilmesi gerektiğini belirtiyor. Bu yüzden sosyal medyada “parayı kurtarma” vaadi veren kişiye belge veya ek ücret göndermeyin. Banka uyuşmazlığı çözülmezse bankanın yazılı yanıtı ve başvuru süreleri üzerinden TBB Bireysel Müşteri Hakem Heyeti gibi resmî yollar ayrıca değerlendirilebilir; bu, acil kart kapatma kanalının yerine geçmez. Kripto para ya da geri döndürülmesi zor başka bir yöntemle ödeme yapıldıysa kullanılan hizmete dolandırıcılık bildirimini gecikmeden iletin, fakat geri dönüş garantisi kurmayın.

Android'de uygulama veya APK kurulduysa ne yapılır?

QR kodu bir APK indirmeye, “güvenlik güncellemesi” kurmaya veya bilinmeyen kaynaktan uygulama izni açmaya yönelttiyse yalnız tarayıcı geçmişini silmek yetmez. Uygulamayı açmayın; Ayarlar'da son yüklenen uygulamaları kontrol edip tanımadığınızı kaldırın. Özellikle Erişilebilirlik, cihaz yöneticisi, bildirim erişimi, SMS, telefon, kişiler, ekran üstünde gösterme ve bilinmeyen uygulama yükleme izinlerini gözden geçirin. Menü adları üretici ve Android sürümüne göre değişebilir. Bir uygulama kaldırma düğmesini kilitliyorsa önce hangi özel yetkinin bunu sağladığını üreticinin resmî desteğinden doğrulayın; rastgele yönetici komutu çalıştırmayın.

Google, Play Protect taramasını açmayı, Android güvenlik ve Google Play sistem güncellemelerini denetlemeyi, güvenilmeyen uygulamaları kaldırmayı ve hesap Güvenlik Kontrolü'nü çalıştırmayı öneriyor. Kapanmayan reklamlar, kendiliğinden yönlendirme, tanımadığınız mesajlar, yeniden beliren uygulama veya hesabınızdan sizin göndermediğiniz iletiler sürüyorsa cihaz üreticisinin desteğine başvurun. Google bu durumda fabrika ayarına dönüşün gerekebileceğini de söylüyor; ancak sıfırlamadan önce temiz bir cihazdan hesap parolalarını değiştirin ve yalnız güvenilir kişisel dosyaları yedekleyin. Şüpheli uygulamanın tam yedeğini geri yüklemek sorunu geri getirebilir.

iPhone'da uygulama, profil ve izin farkı

iPhone'da bir web sayfasının yapılandırma profili indirmesi, profilin otomatik kurulduğu anlamına gelmez. Apple'ın Nisan 2026 belgesine göre webden indirilen profil ayrıca Ayarlar içinden kurulmalı; sekiz dakika içinde kurulmazsa indirilen profil silinir. Siz kurulum adımlarını tamamladıysanız Ayarlar > Genel > VPN ve Aygıt Yönetimi bölümünde tanımadığınız profili inceleyin ve kaldırın. Profil bir iş veya okul cihazına aitse silmeden önce kurumun bilgi işlem ekibiyle konuşun; kaldırma, o profile bağlı ayarları, uygulamaları ve verileri de etkileyebilir.

Ayrıca Ayarlar > Gizlilik ve Güvenlik altında kamera, mikrofon, kişiler, fotoğraflar ve konum izinlerini kontrol edin; tanımadığınız uygulamayı silin. iOS 16 ve sonrasında Güvenlik Denetimi, uygulamaların bilgi erişimini ve Apple hesabına bağlı cihazları gözden geçirmeye yardımcı olabilir. Bu araç, Google, banka veya sosyal medya gibi Apple dışı hesapların açık oturumlarını temizlemez. Apple hesabı parolası verildiyse hesabın gerçek ayarlarından parolayı değiştirin, tanımadığınız cihazları kaldırın ve doğrulama telefonu ile kurtarma bilgilerini denetleyin. Profil indirmek, uygulama kurmak ve web formuna parola yazmak üç ayrı iz bırakır; her birini kendi menüsünde kontrol edin.

Kanıtı nasıl saklar, olayı Türkiye'de nereye bildirirsiniz?

Şüpheli etiketi söküp atmak, mesajı hemen silmek veya telefonu defalarca sıfırlamak delili zayıflatabilir. Güvenli biçimde kodun bulunduğu yerin, üst üste yapıştırılmış etiketin, gönderen numaranın, alan adının, mesaj saatinin ve ödeme kaydının fotoğrafını ya da ekran görüntüsünü alın. Parola, kart güvenlik kodu, tek kullanımlık doğrulama kodu ve kimlik görüntüsünü bu kayıtlarla birlikte açık kanalda paylaşmayın. İşletme veya kurum adına basılmış gerçek bir kodun üzeri örtülmüşse işletmeye de haber verin; başkalarının aynı etiketi taramasını önlemek için fiziksel alanı onların yönetmesi gerekir.

Maddi kayıp, hesap ele geçirme, sahte siteyle veri toplama veya zararlı yazılım şüphesi varsa banka ve ilgili platform bildiriminden sonra kolluk başvurusu gündeme gelir. EGM'nin güncel bilgi sayfası Siber Suçlarla Mücadele için çevrim içi ihbar adresini ve `siber@egm.gov.tr` iletişimini yayımlıyor; ayrıca en yakın polis merkezi veya Cumhuriyet Başsavcılığına başvuru olanağı bulunuyor. Her şüpheli QR kodunun aynı suç sınıfına girdiğini varsaymayın. Başvuruda yorumdan çok zaman çizelgesi, alan adı, hesap hareketi, yazışma ve banka kayıt numarası sunun. Acil tehdit veya devam eden güvenlik riski varsa genel ihbar formunu beklemek yerine uygun acil yardım kanalını kullanın.

On dakikalık son kontrol: Risk gerçekten kapandı mı?

İlk iki dakikada şüpheli sayfayı kapatın ve ne yaptığınızı yazın: yalnız açtım, bilgi girdim, ödeme yaptım, dosya indirdim, uygulama ya da profil kurdum. Sonraki üç dakikada en yüksek sonuçlu kapıyı kapatın; parola için hesap güvenliği, kart için banka, kurumsal hesap için bilgi işlem. Ardından cihazda son indirmeleri, uygulamaları, profilleri, özel izinleri ve güncellemeleri kontrol edin. Son aşamada hesap güvenlik olaylarını, açık oturumları, kurtarma bilgilerini ve tanımadığınız işlemleri inceleyin. Her kutuyu işaretlemek gerekmez; olayınıza uymayan adım yalnız gürültü üretir.

Doğru kapanış, “antivirüs bir şey bulmadı” cümlesinden daha geniştir. Hesapta yabancı oturum kalmaması, bankanın olayı kayda alması, şüpheli uygulama veya profil bulunmaması, işletmenin değiştirilmiş etiketi kaldırması ve kanıtın güvenli yerde tutulması ayrı sonuçlardır. Bir QR kodunu taramak tek başına felaket kanıtı değildir; hiçbir işlem yapmadan sayfayı kapatan kişiyle parola ve ödeme onayı veren kişinin müdahalesi aynı olamaz. Sakin ama hızlı sıra şu: yapılan işlemi belirle, gerçek kanaldan erişimi kes, cihazdaki kalıcı izi denetle, maddi veya hukuki olayı kayıt altına al.