QR Kod Dolandırıcılığı (Quishing): Restoranlar ve Misafirler Neye Dikkat Etmeli?

Misafir masaya oturuyor, karekodu görüyor, hiç düşünmeden telefonunu uzatıyor. Bu refleksin oluşması beş yıl sürdü ve artık neredeyse herkesin elinde.

Dolandırıcıların da istediği tam olarak bu refleks. QR kodla oltalamanın adı quishing, ve artık sadece yurt dışında konuşulan bir konu değil. Ama iyi haber şu: Risk, kodun ne yaptığına göre çok değişiyor. Ödeme sayfasına giden bir kodla menü açan bir kodun riski aynı değil.

Resmî Uyarı: KVKK, Şubat 2026

Kişisel Verileri Koruma Kurumu 26 Şubat 2026’da “QR Kodlarla Gelen Risk: Quishing” başlıklı bir duyuru yayımladı (KVKK). Kurum, sahte ya da değiştirilmiş QR kodlarla kişilerin zararlı sitelere yönlendirilebildiğini, kişisel verilerini paylaşmaya zorlanabildiğini ya da cihazlarına zararlı yazılım yüklenebildiğini belirtti. Saldırıların gerçekleştiği yerler arasında afişler ve broşürlerle birlikte restoran masaları da sayıldı.

Kurumun dikkat çektiği uyarı işaretleri:

• Bilinmeyen kaynaklardan gelen, aciliyet ya da panik yaratan mesajlar
• Kod okutulduktan sonra giriş bilgisi ya da kart bilgisi istenmesi
• Açılan alan adının kurumla ya da işletmeyle uyuşmaması
• Beklenmedik dosya indirmeleri
• Fiziksel bir QR kodun orijinalinin üzerine yapıştırılmış gibi görünmesi

KVKK ayrıca dinamik QR kodların, görünüşleri değişmeden hedef adreslerinin değiştirilebilmesi nedeniyle kötüye kullanıma daha açık olduğuna dikkat çekti.

Neden İşe Yarıyor?

Şüpheli bir e-postada linkin üzerine gelip adresi görebilirsiniz. QR kod ise gideceği adresi gözün okuyamadığı bir desenin içinde saklar. Gönderen yok, görünen bir link yok, bütün etkileşim telefonda birkaç saniye sürüyor. Dolandırıcılar akıllıca bir teknoloji icat etmedi; bir alışkanlık buldular.

Restoranda Nasıl Görünür?

Restoranlar için asıl mesele fiziksel quishing: gerçek kodun üzerine yapıştırılan bir sticker. Masa standında, kapı camında, otel odasındaki kartta aynı numara işler.

İşletme açısından gözden kaçan bir maliyet de var, dolandırıcılığın kendisi değil: güven. Misafir masadaki kodun gerçekten size ait olup olmadığından şüphe ettiğinde, bir kısmı hiçbir kodu okutmamaya karar verir. Bir restoran için asıl risk bu: kod okutmanın kötü bir fikir olduğuna karar vermiş misafirlerle dolu bir salon.

Asıl Belirleyici: Kodun Arkasında Ne Var?

QR kod kendi başına bir şey çalamaz; sadece bir web adresidir. Her şey diğer uçta ne olduğuna, ve dolandırıcının onun ikna edici bir taklidini yapıp yapamayacağına bağlı.

• Sipariş ve ödemeye giden bir kod yüksek değerli bir hedeftir. Misafir zaten kart bilgisi girmeyi beklediği için sahte bir ödeme sayfası şüphe uyandırmadan geçebilir.
• Yalnızca menü gösteren bir kod saldırgana çok az şey verir. Taklit edilecek bir kart alanı, çalınacak bir giriş bilgisi yoktur. Değiştirilmiş bir link yanlış bir sayfa açar; can sıkıcıdır, bazen zararlı yazılım denemesidir, ama banka hesabını boşaltan şey değildir.

Masaya birinin sticker yapıştırmasını engelleyemezsiniz. Ama o sticker’ın onun için ne kadar değerli olacağına karar verebilirsiniz.

Restoranlar Ne Yapmalı?

• Masadaki kodları haftada bir kontrol edin. Kalkmış kenarlara, yüzeyden hafifçe kabarık duran sticker’lara bakın.
• Üzeri kolay kapatılamayan stantlar ya da laminasyonlu baskılar kullanın. Gevşek kâğıt sticker’lar kolayca kapatılır.
• Süresi dolan yönlendirmelerden kaçının. Bazı ücretsiz QR oluşturucular deneme süresi bitince yönlendirmeyi kapatır; 80 masa kartına basılmış bir kod sessizce hiçbir yere ya da başkasının kontrol ettiği bir yere gitmeye başlayabilir.
• Ekibi bilgilendirin. “Bu kod doğru mu?” diye soran misafire garson güvenle cevap verebilmeli.
• Basılı bir seçenek bulundurun. Kod okutmak istemeyen misafirin baskıda kalmaması için; zaten kapıda ve masada fiyat listesi zorunlu.

Misafirler Ne Yapmalı?

• Açmadan önce adresi kontrol edin. Çoğu telefon kamerası linki önce gösterir; işletmenin adıyla uyuşuyor mu?
• Masadaki bir koddan ulaştığınız sayfaya asla kart bilgisi ya da şifre girmeyin. Ödemeyi garson aracılığıyla ya da güvendiğiniz bir sistemle yapın.
• Koda bakın. Bir sticker’ın üzerine yapıştırılmış başka bir sticker en belirgin işarettir.
• Şüphelendiğinizde işletmeye haber verin; dolandırıcılığa uğradıysanız bankanızla ve kolluk kuvvetleriyle iletişime geçin.

Menü Kodunu Değersiz Bir Hedef Hâline Getirmek

MenuOnGo bilinçli olarak yalnızca menü gösteriyor: sipariş yok, ödeme yok, kodun arkasında doldurulacak bir alan yok. Tahsilat, güvenlik önlemlerinin olması gereken yerde, mevcut ödeme sisteminizde kalıyor. Her menü menuongo.com üzerinde işletmenizin adını taşıyan tanınabilir bir adreste duruyor; telefonu linki önceden gösteren misafir gerçek menüye gittiğini bir bakışta anlayabiliyor. Kodunuz hiç değişmiyor, süresi dolmuyor. Sitedeki ücretsiz QR kod oluşturucuyla ihtiyaç duyduğunuzda kayıt olmadan yeni bir kod da üretebilirsiniz.

QR Kod Türüne Göre Risk

Kodun Yaptığı İş	Dolandırıcının Elde Edebileceği	Göreli Risk
Yalnızca menü gösterimi	Az; kart ya da giriş alanı yok	Düşük
Wi-Fi erişimi	Sınırlı; en fazla ağ erişimi	Düşük
Sipariş (ödemesiz)	Sipariş bilgisi, bazı kişisel veriler	Orta
Sipariş ve ödeme	Kart ve fatura bilgileri	Yüksek
Otopark, fatura ya da ceza ödemesi	Kart ve fatura bilgileri	Yüksek
Kimlik numarası ya da internet bankacılığı şifresi isteyen her şey	Kimlik hırsızlığı	Çok yüksek

Sıkça Sorulan Sorular

Quishing nedir? Quishing, QR kodlarla yapılan oltalama dolandırıcılığıdır. Sahte ya da üzeri kapatılmış bir QR kod kişiyi kişisel ya da finansal bilgilerini toplamak için hazırlanmış bir sayfaya yönlendirir. KVKK, Şubat 2026’da restoran masaları gibi fiziksel alanlardaki sahte kodlara karşı uyarı yayımladı.

Restoranlardaki QR menüler güvenli mi? Yalnızca menü gösteren bir kodun arkasında taklit edilecek bir ödeme ya da giriş sayfası olmadığı için risk görece düşük. Yüksek riskli olanlar ödeme ve giriş bilgisi isteyen kodlardır.

Sahte QR kodu nasıl anlarım? Başka bir yüzeyin üzerine yapıştırılmış sticker’a, kalkmış kenarlara ya da çevresine göre yeni görünen bir koda dikkat edin. Açmadan önce telefonunuzun gösterdiği adresi kontrol edin; işletmenin adıyla uyuşmuyorsa açmayın.

Masasında sahte QR kod bulan restoran ne yapmalı? Kodu kaldırın, tüm masaları, camları ve tabelaları kontrol edin, ekibi bilgilendirin. Misafirleri açıkça bilgilendirmek genellikle sessiz kalmaktan daha az itibar kaybettirir.

Sipariş ve ödemeyi QR menüden çıkarmak riski azaltır mı? Belirgin şekilde. Yalnızca menü açan bir kodda kart girişi ya da giriş bilgisi olmadığı için kodu değiştirmek dolandırıcı için çok daha az kazançlıdır.

---

Kaynaklar: Kişisel Verileri Koruma Kurumu (QR Kodlarla Gelen Risk: Quishing, 26 Şubat 2026). Görseller: Pexels (ücretsiz kullanım). Ekim 2026 itibarıyla günceldir.