QR kodunu basmak ve unutmak, işletmelerin yaptığı en yaygın—ve en tehlikeli—hatalarından biridir. Kodun kendisi atalet içindedir; risk tamamen kodun gönderdiği yerde yaşar. Ocak ayında iyi görünen bir hedef URL, Mart ayına kadar ele geçirilmiş, süresi dolmuş veya hacked olmuş olabilir. Herhangi bir QR kodu print çalışmasına, fiziksel tabelaya veya ürün etiketine koymadan önce, her hedef URL'nin dikkatli bir incelemesini hak eder. İşte 15 dakika altında çalıştırabileceğiniz pratik bir yedi başlıklı kontrol listesi.
Hedef URL Neden Saldırı Yüzeyidir?
QR kodu sadece kodlanmış bir dizedir. Tarayıcılar, tarayıcıların şüpheli bağlantılar için yaptığı şekilde kullanıcıları uyarmaz ve kamera sayfayı açmadan önce görsel bir önizleme yoktur. Bu kombinasyon—makine tarafından okunabilir, görsel olarak opak, hemen işlem görebilir—tam da QR kimlik avının ("quishing") etkili olmasını sağlayan şeydir. Saldırganlar fiziksel kodları değiştirir ya da print sonrasında hedefi ele geçirir. Bu kontrol listesi hedef tarafına odaklanır.
7 Başlıklı Güvenli Hedef Kontrol Listesi
1. HTTPS'in Zorunlu Kılındığını Doğrulayın
Hedef URL'yi doğrudan tarayıcıya yazın. Eğer site HTTP üzerinden yükleniyorsa veya zincirdeki herhangi bir noktada HTTP'ye yönlendiriliyorsa, bu otomatik olarak başarısız demektir. HTTPS temel koşuldur, bonus değil. Redirect Detective veya SSL Labs gibi ücretsiz bir araç kullanarak tam yönlendirme zincirini kontrol edin — bazı siteler ana sayfada HTTPS'i zorunlu kılar ama açılış sayfalarını düz HTTP üzerinden sunar.
2. Alan Adı Yaşını ve Kayıtçısını Doğrulayın
Hedef alan adı üzerinde WHOIS araması yapın. Son 60–90 gün içinde kayıt edilen ve "ödeme" veya "oturum aç" sayfası barındıran bir alan adı kırmızı bayraktır. Bu, özellikle üçüncü taraf bir satıcı veya ajans sizin için açılış sayfası oluşturduğunda önemlidir — tanıdığınız kurulu bir alan adı kullandığını doğrulayın, yeni kayıt edilen benzer bir alan adını değil.
3. Her Yönlendirme Hopunun Kontrolünü Yapın
Kısa URL'ler ve dinamik QR kodları genellikle final hedefe ulaşmadan önce bir veya daha fazla yönlendirme katmanını geçer. Yönlendirme izleme aracı kullanarak şunu doğrulayın:
- Ara hoplamanın hiçbiri beklenen farklı bir kök alan adında yer almaz
- Hiçbir yönlendirme adlandırılmış bir alan adı yerine bir IP adresine işaret etmez
- Final URL hedeflediğiniz alan adıyla eşleşir
Dinamik QR kodları, print sonrasında hedefi değiştirmenizi sağlar — bu da kampanyalar için güçlüdür — ancak aynı esneklik, hedefi her güncellemede bu kontrolü yeniden çalıştırmanız gerektiği anlamına gelir.
4. Hedefi URL İtibar Aracıyla Tarayın
Final hedef URL'yi print etmeden önce şu ücretsiz araçlardan en az birine yapıştırın:
| Araç | Ne Kontrol Eder |
|---|---|
| Google Safe Browsing (VirusTotal aracılığıyla) | Kötü amaçlı yazılım, kimlik avı veritabanı |
| URLScan.io | Sayfa içeriği, giden bağlantılar, komut dosyaları |
| PhishTank | Topluluk tarafından rapor edilen kimlik avı sayfaları |
| Sucuri SiteCheck | CMS kötü amaçlı yazılımı, engellenme listesi durumu |
Bugün temiz bir sonuç, altı ay sonra bir garanti değildir — canlı kodları üç ayda bir yeniden kontrol etmek için takvime yinelenen bir hatırlatma ekleyin.
5. Sayfayı Gerçek Mobil Cihazda Test Edin
Bu kısım sürekli atlanır. QR kodunu Android ve iOS cihazlarında açın ve gözlemleyin:
- Sayfa sertifika hataları olmadan yüklenir mi?
- Beklenmedik bir uygulama mağazasına veya indirme istemiyle hemen yönlendirilir mi?
- Kullanıcı herhangi bir içerikle etkileşime girmeden izin ister mi (kamera, konum, kişiler)?
- Sayfa açıkça mobil için biçimlendirilmiş midir, yoksa acele hazırlandığını düşündüren ham masaüstü sayfası mı?
Beklenmedik indirme istemleri ve agresif izin istekleri, ele geçirilmiş veya kötü amaçlı açılış sayfalarının en yaygın iki işaretidir.
6. Hedefin Sahipliğini Doğrulayın
Bu açık görünmekle birlikte, bağlantı kısaltma hizmetleri kullanan veya üçüncü taraf yönlendirme sistemlerini gömülü olan kuruluşları takip eder. Sorun:
- Hedef alan adı kurumunuz tarafından kayıt mı edilmiştir (veya sözleşmeye konu bir satıcıya)?
- Barındırma ortamına giriş kimlik bilgileriniz var mı?
- DNS kaydı denetiminiz altında mı?
Bu sorulardan birine "emin değilim" cevabı verirse, baskıya göndermeden önce bunu çözün. Hızlı şekilde değiştiremeyeceğiniz veya kaldıramayacağınız bir açılış sayfası yükümlülüktür.
7. Hedeflenen Hedefi Belgelendirin ve Saklayın
Üretimde olan her QR kod için basit bir elektronik tablo satırı oluşturun: QR kod kimliği veya etiketi, hedeflenen final URL, son doğrulandığı tarih ve kim tarafından doğrulandığı. Bu kod başına 30 saniye sürer ve müşteri bir sorun bildirirse değersizdir. Ayrıca temel bir çizgi oluşturur — canlı tarama belgelenmiş URL'den farklı bir URL'ye çözülürse, hemen bir şeyin değiştiğini bilirsiniz.
Bunu İş Akışınıza Katın
Tarama analitiği olan bir QR kod platformu kullanıyorsanız, bu hedef kontrol listesinin üstüne davranışsal bir kontrol katabilirsiniz: tarama hacminde ani düşüşleri izleyin (açılış sayfasından sonra kullanıcılar terkediyor) veya bot aktivitesi veya ele geçirilmiş yönlendirme zincirini öneren coğrafi anormallikler.
Hacimlerde kod üreten ekipler için, bu kontrol listesini herhangi bir baskı siparişi onaylanmadan önce gerekli bir imza aşaması haline getirmeyi düşünün — tıpkı bir editörün metni incelemesi gibi. Dinamik kod hedefleri merkezi olarak güncellenebilir ve belgelendirilebilir.
Ana Çıkarımlar
- QR kodun kendisi risk değildir — hedef URL'dir.
- Her zaman tam yönlendirme zincirini izleyin, sadece yüzey URL'sini değil.
- HTTPS uygulamasını, alan adı yaşını ve URL itibarını her baskı çalışmasından önce kontrol edin.
- Gerçek mobil cihazlarda test edin — sertifika hataları ve sahte indirme istemleri sadece orada görünür.
- Her canlı kodun hedeflenen hedefini belgelendirin ve üç ayda bir yeniden doğrulamayı planlayın.
- Dinamik kodlar esneklik sağlar ancak hedef her değiştiğinde yeniden doğrulama gerektirir.