Quishing, QR kod ve oltalama kavramlarının birleşiminden oluşan bir saldırı türüdür. Bu yöntemde sahte veya sonradan değiştirilmiş QR kodlar aracılığıyla kullanıcılar kötü amaçlı internet sitelerine yönlendirilebilir, kişisel verilerini paylaşmaya yöneltilebilir ya da cihazlarına zararlı yazılımlar yüklenebilir. 6698 sayılı Kişisel Verilerin Korunması Kanunu m. 3/1-d uyarınca kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade eder. Kanun quishing veya QR kodu özel olarak adlandırmasa da veri sorumlusu, m. 12/1 gereğince kişisel verilerin hukuka aykırı işlenmesini ve bu verilere hukuka aykırı erişilmesini önlemek ile verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almak zorundadır.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 3Kaynağı aç
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 12Kaynağı aç
Statik ve dinamik QR kod yapısı
Statik QR kodlarda kod oluşturulduktan sonra içerdiği bilginin değiştirilmesi mümkün değildir. Dinamik QR kodlarda ise görsel yapı sabit kalmak kaydıyla yönlendirilen hedef içeriğin güncellenmesine imkân tanınır. Bu esneklik, bazı durumlarda quishing riski doğurabilir.
Veri sorumlusunun güvenlik ve denetim yükümlülüğü
6698 sayılı Kanun m. 12/1 uyarınca veri sorumlusunun üç temel amacı sağlaması gerekir: kişisel verilerin hukuka aykırı işlenmesini önlemek, verilere hukuka aykırı erişilmesini önlemek ve kişisel verilerin muhafazasını temin etmek. Bu doğrultuda uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirler hayata geçirilir. Ayrıca 6698 sayılı Kanun m. 12/3 gereğince veri sorumlusu, kendi kurum veya kuruluşunda kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmakla yükümlüdür.
Veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri 6698 sayılı Kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. 6698 sayılı Kanun m. 12/4 uyarınca bu yükümlülük, ilgili kişilerin görevden ayrılmalarından sonra da devam eder. Bir bilginin kişisel veri niteliği taşıyıp taşımadığı ise her somut durumda kimliği belirli veya belirlenebilir gerçek kişiye ilişkin olma şartına göre belirlenir.
Başkası adına işlemede müşterek sorumluluk
Kişisel verilerin veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işlenmesi durumunda, 6698 sayılı Kanun m. 12/2 uyarınca veri sorumlusu, gerekli teknik ve idari tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumludur. Kanunun aradığı müşterek sorumluluk, verilerin veri sorumlusu adına işlenmesi koşuluna bağlıdır.
Verilerin elde edilmesi anında aydınlatma yükümlülüğü
6698 sayılı Kanun m. 10/1 uyarınca kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi aydınlatma yükümlülüğünü yerine getirmek zorundadır. Bu kapsamda ilgili kişilere veri sorumlusunun ve varsa temsilcisinin kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile kanunun 11 inci maddesinde sayılan diğer haklar bildirilir. QR kod kullanımı yoluyla veri elde edilirken de bu bilgilendirmenin yapılması gerekir; kanuni aydınlatma kapsamı maddede sayılan bu unsurlarla sınırlıdır.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 10Kaynağı aç
Kanuni olmayan yollarla elde etme ve bildirim süreci
İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, 6698 sayılı Kanun m. 12/5 uyarınca veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde durumu kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir. Bildirimin yapılması için kanun metninde belirli bir saat sınırı öngörülmemiş, en kısa sürede hareket edilmesi kurala bağlanmıştır.
Quishing saldırılarına işaret eden durumlar
QR kodun taranmasının ardından kullanıcının kimlik doğrulama bilgileri veya kredi kartı verileri gibi hassas verilerini girmesinin talep edildiği bir sayfaya yönlendirilmesi, quishing saldırılarının belirgin emareleri arasındadır. Kamuya açık alanlardaki QR kodlarda sonradan yapıştırılma, hizasızlık veya pikselleşme gibi fiziksel değişikliklerin varlığı da şüphe uyandıran göstergelerdendir ve şüpheli kodların taranmaması gerekir.
Sık sorulan sorular
Quishing saldırısı nedir?
Quishing, QR kod ve oltalama kavramlarının birleşimidir. Sahte veya sonradan değiştirilmiş kodlar aracılığıyla kullanıcıların kötü amaçlı internet sitelerine yönlendirilmesi, veri paylaşmaya ikna edilmesi veya cihazlarına zararlı yazılım yükletilmesi şeklinde gerçekleşir.
QR kodla ulaşılan her bilgi kişisel veri sayılır mı?
Hayır. 6698 sayılı Kanun m. 3/1-d uyarınca kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Bir verinin bu kapsama girip girmediği her somut bilgiye göre ayrı değerlendirilir.
Veri ihlali bildirimi ne zamana kadar yapılmalıdır?
6698 sayılı Kanun m. 12/5 uyarınca kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu durumu en kısa sürede ilgilisine ve Kurula bildirir.
QR kod sağlayıcıları veri güvenliğinden müştereken sorumlu mudur?
Müşterek sorumluluk, kişisel verilerin veri sorumlusu adına başka bir kişi tarafından işlenmesi hâlinde 6698 sayılı Kanun m. 12/1 kapsamındaki tedbirlerin alınması bakımından doğar.
Aydınlatma yükümlülüğü ne zaman yerine getirilmelidir?
6698 sayılı Kanun m. 10/1 uyarınca aydınlatma, kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi tarafından yerine getirilir.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy