QR kod nasıl çalışır ve neden yeni bir dolandırıcılık aracı

QR kod, yirmi yıl boyunca fabrika envanterlerinde yaşadı; sonra kamera uygulamalarının kodu doğrudan tanımasıyla hayatın her yerine girdi. Arkasındaki tasarım, dayanıklılık üzerine kurulu — ve bu dayanıklılık, bugünkü güvenlik sorununun da kaynağı.

Desenin içinde ne var

QR kod iki boyutlu bir matris. Her kare hücre bir bit taşır, ama hücrelerin hepsi veri değil:

• Üç köşedeki büyük kareler konum işaretleri. Okuyucu kodu bunlarla bulur, döndürme açısını ve yönünü anlar. Bu yüzden kodu ters ya da yan tutmanız sorun olmuyor.
• Kenarlardaki şaşırtmalı sıra zamanlama deseni; hücre boyutunu kalibre eder.
• Dördüncü köşedeki küçük kareler hizalama işaretleri; eğri bir yüzeydeki bozulmayı düzeltmeye yarar.
• Çevresindeki boşluk deseni ayırt etmek için gerekli; kodu kenarsız basmak okumayı bozar.

Kalan alanda veri ve hata düzeltme kodları durur. Kod sürümü büyüdükçe hücre sayısı artar; uzun bir metin, çok daha kalabalık bir desen demek. Pratik kural: bağlantı kısa olursa kod seyrek ve uzaktan okunur hâle gelir.

Hata düzeltme: logonun sırrı

QR kodun en zarif tarafı, veriyi fazlalıkla birlikte saklaması. Dört düzeltme seviyesi var; en yükseğinde kodun yaklaşık yüzde 30’u tahrip olsa bile içerik eksiksiz okunabiliyor.

Ortasına logo konabilmesinin nedeni bu: logonun kapattığı hücreler kayıp sayılır ve hata düzeltme onları geri hesaplar. Aynı mekanizma, buruşmuş kâğıdı, lekeyi ve kısmen silinmiş baskıyı da kurtarıyor.

Fakat bedeli var: düzeltme payı arttıkça aynı veri için daha fazla hücre gerekir, yani kod kalabalıklaşır. Tasarım tarafında bu bir denge işi.

Statik ve dinamik kod

İki tür kullanım var ve güvenlik açısından fark büyük:

1. Statik kod: hedef adres doğrudan kodun içinde yazılı. Basıldıktan sonra değişmez.
2. Dinamik kod: kodun içinde bir yönlendirme adresi var; gerçek hedef sunucuda tutulur. Böylece kod basıldıktan sonra hedef değiştirilebilir.

Dinamik kodlar pazarlama için pratik (tıklama sayılır, kampanya değişir) ama kullanıcı açısından iki kat belirsiz: hem kodun içeriğini görmüyorsunuz hem de gördüğünüz kısa adres gerçek hedefi söylemiyor.

Neden dolandırıcılığın yeni kılığı

QR kodun saldırgan açısından üç avantajı var:

• Hedef görünmez. Bir e-postadaki bağlantının üzerine gelip adresi kontrol edebilirsiniz; kareli desende böyle bir imkân yok.
• Filtreleri atlar. Kurumsal e-posta sistemleri bağlantıları tarar; görsele gömülü bir kod bu taramadan kaçabiliyor. Üstelik kullanıcı kodu kurumsal bilgisayarda değil, denetimsiz kendi telefonunda açıyor.
• Fiziksel dünyada güven taşır. Park ödeme makinesine, restoran masasına, kargo bildirimine ya da afişe sahte bir etiket yapıştırmak bugün en yaygın yöntem. Kod meşru görünür, çünkü bulunduğu yer meşru.

Hedef sayfa genellikle gerçek bir ödeme ya da giriş ekranının kopyası oluyor. Tanıma yöntemleri oltalama yazısındaki ile birebir aynı; tek fark, adresi kodu okuttuktan sonra kontrol etmek zorunda olmanız.

Pratik önlemler

1. Açmadan önce adresi okuyun. Telefonun kamerası kodu tanıdığında hedefi bir bildirimde gösterir; alan adını sağdan sola okumak yeterli.
2. Ödeme için kodla gelen sayfayı kullanmayın. Kurumun resmî uygulamasını ya da adresi kendiniz yazarak açın.
3. Yapıştırılmış etikete dikkat. Üst üste binmiş, kenarları kalkmış, farklı baskı kalitesinde bir kod kuvvetli bir uyarı işareti.
4. Giriş yapmanız istenirse durun. Parola isteyen bir QR hedefi, neredeyse her zaman kötü haber. Burada parola yöneticisinin alan adını doğrulaması en güçlü koruma.
5. Kilidi kontrol edin ama tek başına yetmediğini hatırlayın; nedenini HTTPS yazısında anlattık.

Ödeme ve kimlik tarafında QR

Birçok ülkede banka uygulamaları, hesap bilgisini QR ile taşıyor. Buradaki tasarım farkı önemli: kod bir web adresi değil, uygulamanın anladığı yapılandırılmış bir veri taşıyor ve işlem kullanıcının kendi bankacılık uygulamasında onaylanıyor. Yani kodu okutmak bir ödeme başlatmıyor, bir form dolduruyor.

Temassız ödemenin kart tarafındaki karşılığını merak ediyorsanız NFC yazısı, aynı işin radyoyla yapılan hâlini anlatıyor. İki yöntem arasındaki temel fark şu: NFC’de araya giren bir saldırganın işi çok zor, QR’da ise kodun kendisi değiştirilebildiği için risk fiziksel dünyada.

QR kod bir bağlantıdır; üzerine gelip hedefini göremediğiniz bir bağlantı. Güvenini desenin kendisinden değil, bulunduğu yerden alıyor.