Şüpheli QR: veri vermeden önce hedefi doğrulayın

Tabela resmi görünüyor, ancak bu yeterli değil

Bir otoparka gelip ödeme için QR gördüğünüzü düşünün. Telefonun açmayı önerdiği sayfada tanıdık logo ve ikna edici form vardır. Veri girmeden durun: tabela ve sitenin görünüşü hedefin işletmeciye ait olduğunu kanıtlamaz. FTC, başka QR taşıyan etiketlerle kapatılan kodları belgeler ve bunların kimlik taklidi sayfalarına götürebileceğini açıklar. Kontrolü uygulamak için olayı belirli bir şehre atfetmeniz gerekmez.

Bu rehber birbirinden ayrı üç inceleme yapmayı önerir: önce QR’nin bulunduğu fiziksel yüzeye bakmak, ardından tarama sırasında ekranda gösterilen tam adresi okumak ve son olarak bu hedef adresin beklediğiniz kuruluşla ilişkisini doğrulamak. WikiURL herkese açık URL’nin yanıtı ve son hedefi hakkında bilgi verebilir. Bu bilgi etiket sahibini belirlemez veya sayfanın meşru olduğunu garanti etmez. Bağlantıdan zaten şüpheleniyorsanız ödeme için ziyaret etmeniz gerekmez: durup hizmete bağımsız yoldan erişin.

Yalnızca tanıdık adı değil, adresin tamamını okuyun

Okuyucunuz açmadan önce URL’yi gösteriyorsa önizlemeyi kullanın. Değişmiş harfleri ve beklenenden farklı alan adını arayın. MDN, oltalamanın bilinen siteyi benzer alan adında taklit edebildiğini açıklar. Kurgusal örneklerde ikinci ana bilgisayar adı, aynı sözcüklerle başlasa da birincisi değildir. Bunlar yapıyı incelemek için uydurulmuş adreslerdir; açmayın veya gerçek ödeme hizmeti olarak kullanmayın.

Daha önce kullandığınız yer imi veya bağımsız biçimde doğrulanmış işletmeci sitesi gibi başka yoldan edinilmiş resmi adresle karşılaştırın. parking, güvenli veya ödeme sözcüklerini kimlik kanıtı saymayın. Önizleme alan adını kesiyorsa kalanını tahmin etmeyin. Yalnızca uzantıya da bakmayın: alışılmış görünen alan adı taklit site barındırabilir. Önemli olan adresin size ikna edici gelen bir ad taşıması değildir; asıl kontrol, hedefin gerçekten kullanmayı beklediğiniz hizmetin bağımsız yoldan doğruladığınız adresiyle eşleşip eşleşmediğidir.

https://parking.example.invalid/pago
https://parking.example.invalid.otro.invalid/pago

Yüzeyi kontrol edin ve bilinen alternatif arayın

Başka baskıyı kapatan veya kenarları kalkmış etiket olup olmadığına bakın. Bu, durup sorma nedenidir; tek başına kesin kanıt değildir, çünkü meşru işletmeci de etiket kullanabilir. Bir şey uymuyorsa personele prosedürü doğrulatın veya önceden doğruladığınız uygulama ya da adresten erişin. Aynı şüpheli etiketteki telefon numarasını tek doğrulama kaynağı olarak kullanmayın.

FTC beklenmedik istekte şirketle gerçek olduğunu bildiğiniz numara veya siteden iletişim kurmayı önerir. Bu ilkeyi tabelaya uygulayın: sorgulanan nesneye bağımlı olmayan ikinci yol gerekir. Otoparkta parkı doğru kaydetme yöntemini işletmeciye sorun. Rehber her QR’nin dolandırıcılık olduğunu veya bilinmeyen uygulamanın sorunu çözdüğünü söylemez. Alternatif de gerçek hizmete ait olmalıdır.

WikiURL neyi kontrol edebilir, neyi edemez?

Özel veri içermeyen herkese açık URL’niz varsa WikiURL URL kontrol aracına kopyalayıp HTTP durumunu ve son hedefi inceleyin. Alan adı değişimi işletmeciye yeni sorular sormayı gerektirebilir. Gözlediğiniz adresi bağımsız referansla karşılaştırmak için saklayın. Herkese açık kontrole parola, özel yönetim bağlantısı, erişim tokenı veya kişisel işlem bilgisi girmeyin.

200 yanıtı başarılı isteği anlatır, dürüstlük sertifikası değildir. Sahte sayfa da yanıt verebilir. Ayrıca sorgu WikiURL sunucusundan yapılır ve telefonunuzdan farklı davranabilir. Araç ödeme yapmanız gerekip gerekmediğine karar vermez, QR’yi basanın kimliğini doğrulamaz ve dolandırıcılık veya zararlı yazılım analizinin yerini almaz. Şüphede bağımsız yola öncelik verin; teknik inceleme sınırlı yardımdır, devam izni değildir.

HTTPS ve doğrulama kodları kimliği kanıtlamaz

MDN’nin açıkladığı gibi HTTPS bağlantıyı aktarım sırasındaki belirli saldırılardan korur, ancak siteyi otomatik olarak aradığınız işletmeci yapmaz. Taklit sayfa da şifreli bağlantı kullanabilir. Tarayıcı korunan bağlantı gösterse bile adresi ve prosedürü inceleyin. Logo, profesyonel görünüm ve HTTP hatası bulunmaması da bu doğrulamayı tamamlamaz.

Kimliğini doğrulamadığınız sayfaya parola veya tek kullanımlık kod vermeyin. MDN kodları aktaran saldırıları açıklar; ikinci faktör istenmesi meşruluk kanıtı değildir. QR bir şey kurmaya veya beklenmedik aciliyetle davranmaya yönlendirirse durun ve bilinen kanaldan isteği doğrulayın. FTC önerisine göre telefonu güncel tutun, fakat güncellemeyi aldatılmaya karşı garanti saymayın.

Zaten etkileştiyseniz gerçek kanalı kullanın

Olanları ayırt edin: adres görmek, parola yazmak, kart vermek veya dosya kurmak aynı şey değildir. Kimlik bilgisi paylaştıysanız bilinen adresten hesaba girip değiştirin ve güvenlik seçeneklerini inceleyin. Ödeme bilgisi verdiyseniz ödeme hizmeti sağlayıcınızla kendi resmi iletişim kanalı üzerinden bağlantı kurun ve hangi sayfaya hangi bilgileri verdiğinizi açıklayarak ne olduğunu anlatın. Yardım için şüpheli sayfaya dönmeyin ve düzeltme vaat eden başka beklenmedik isteği kabul etmeyin.

Mümkünse URL’yi, tarihi ve tabela fotoğrafını saklayın; hassas veriyi veya QR’yi kullanıma davet gibi yaymayın. İşletmeciye şüpheyi bildirin ve ülkenize uygun resmi yardım arayın; INCIBE oltalama bilgileri sunar. Para geri alma sözü vermeyin veya bağlantı kontrolünden cihazın güvenli olduğunu ilan etmeyin. Ölçüt nettir: veri vermeden bağımsız doğrulama ve etkileşim olduysa yararlı kanıtı koruma.