Çoğu kişi bayi dolandırıcılığını kaba bir hikâye sanır: sahte bir dekont gelir, bakiye yüklenir, adam kaybolur. Gerçek hayatta o kadar hamlığa neredeyse hiç rastlamazsın. Seni asıl zorlayan bayi, ödemesini düzgün yapar, aylarca temiz alışveriş yapar, panelinde "güvenilir" etiketiyle durur ve tam sen rahatladığın anda tek bir hafta içinde kâr marjının üç katını götürür. Çünkü o kişi senin e-pin scriptini senden daha dikkatli okumuştur.
Bu yazıda ahlak dersi yok. Sahada tekrar tekrar karşımıza çıkan beş senaryoyu, her birinin log dosyalarında bıraktığı parmak izini ve e-pin satış scripti tarafında hangi kaydı hangi anda tutmazsan savunmasız kaldığını anlatacağım. Şunu baştan kabul et: dolandırıcılığı sıfırlayamazsın, ama tespit süresini günlerden dakikalara indirebilirsin. Aradaki fark tam olarak senin kâr marjın.
Senaryo 1: Temiz geçmişli bayi neden bir gecede boşaltır?
En pahalı dolandırıcılık, güven inşa ederek yapılanıdır. Bayi haftalarca küçük tutarlarla alır, ödemelerini gününde yapar, sana destek biletlerinde kibar davranır. Sistemin içinde risk skoru düşer, senin gözünde limit artırmayı hak eder. Sonra bir cuma akşamı, mesai bitiminde, limitinin tamamını tek seferde kullanır. Ürünler anında teslim olur, para ise "pazartesi havale" sözüyle askıda kalır.
Buradaki kırılma noktası limit değil, limitin zaman boyutudur. Bir bayinin aylık 200 bin liralık hacmi hak etmesi, o hacmi tek saatte kullanmayı hak ettiği anlamına gelmez. Kullandığın dijital ürün satış scripti saatlik ve günlük tavan tanımlayabiliyorsa bu senaryo kendiliğinden ölür. Tanımlayamıyorsa, kayıp yaşamadan önce sadece sıranı bekliyorsun demektir.
Pratik kural: açık hesap limitini üçe böl. Saatlik tavan, günlük tavan, ödenmemiş bakiye tavanı. Üçü aynı anda aşılamıyorsa tek gecede boşaltma matematiksel olarak mümkün olmaz.
Senaryo 2: Sahte ödeme bildirimi hâlâ neden işe yarıyor?
Klasik zannedilen bu yöntem hâlâ çalışıyor, çünkü iş akışın insana bağımlı. Bayi sana WhatsApp'tan bir dekont fotoğrafı atar, "bankada gecikme var" der, sen de müşteriyi kaçırmamak için bakiyeyi elle yüklersin. Sorun dekontun sahte olması değil; sorun bakiye yükleme yetkisinin banka onayından kopuk olması.
Doğru mimaride manuel yükleme diye bir ana yol yoktur, sadece istisna yolu vardır: ayrı yetki, zorunlu açıklama alanı, değiştirilemez log ve ikinci kişi onayı. Bir e-pin yazılımı içinde manuel bakiye hareketleri kim, ne zaman, hangi gerekçeyle sorularının üçüne birlikte cevap veremiyorsa, orada iç denetim de yapamazsın. Zararın yarısı dolandırıcıdan değil, iyi niyetli personelin acele kararından çıkar.
| Senaryo | Tipik Tetikleyici | Log İzi | Ortalama Zarar Penceresi |
|---|---|---|---|
| Güven sonrası boşaltma | Limit artırımı sonrası mesai dışı saat | Saatlik hacimde 8-10x sapma | 2-6 saat |
| Sahte ödeme bildirimi | Manuel bakiye yükleme talebi | Banka kaydı olmayan bakiye hareketi | 1-3 gün |
| Çoklu hesap kampanya istismarı | Hoş geldin indirimi veya ilk alım bonusu | Aynı cihaz parmak izi, farklı e-posta | Kampanya süresi boyunca |
| Kart itirazı zinciri | Üçüncü kişi kartıyla ödeme | Fatura adı ile panel adının uyuşmaması | 15-120 gün |
| API anahtarı paylaşımı | Bayinin kendi alt sitesini kurması | Tek anahtarda çok sayıda kaynak IP | Süresiz |
Senaryo 3: Kampanyalarını neden kendi bayin sömürüyor?
İlk alışverişe özel indirim, referans bonusu, hoş geldin bakiyesi. Bunların hepsi büyüme aracı ve hepsi aynı zamanda açık bir kasa. Tek bir bayi, farklı isim ve e-posta ile on hesap açıp her birinde hoş geldin avantajını kullanır, sonra o bakiyeleri asıl hesabında toplanan siparişlere dönüştürür. Sen ciroda büyüme görürsün, marjında erime yaşarsın.
Bu senaryonun çözümü kampanyayı kapatmak değil, kimliği hesaba değil kişiye bağlamaktır. Vergi numarası, telefon doğrulaması, ödeme aracı parmak izi ve cihaz imzası birlikte değerlendirildiğinde çoklu hesap açmanın maliyeti kazancının üstüne çıkar. Bir epin yazılım kurulumunda kampanya tanımlarken sormanı istediğim tek soru şudur: bu avantajı aynı kişi ikinci kez nasıl alır? Cevabı bulamıyorsan avantaj değil bütçe sızıntısı tasarlamışsın.
Bayi kaynaklı zararın dağılımı
- Kart itirazı ve ödeme geri çekme 45%
- Sahte ödeme bildirimi 25%
- Çoklu hesap kampanya istismarı 20%
- Paylaşılan API anahtarı 10%
Senaryo 4: Kart itirazı zinciri neden en sessiz zarar?
Dijital ürün satıyorsan kart itirazı senin için normal bir e-ticaret riskinden farklıdır: teslim ettiğin şey geri gelmez. Kötü niyetli bayi, başkasına ait kartla ödeme yapar, kodu teslim alır, kart sahibi kırk gün sonra itiraz açar. Sen ürünü, komisyonu ve itiraz bedelini birlikte kaybedersin. En kötüsü, bunu fark ettiğinde aynı kişi zaten üç ay boyunca aynı döngüyü işletmiştir.
Savunman üç katmanlı olmalı. Birinci katman kimlik: panel sahibinin adı ile ödeme aracının adı eşleşmiyorsa yüksek riskli işaretle. İkinci katman teslim kanıtı: kodun hangi IP'ye, hangi saatte, hangi oturumda gösterildiğini saklayan bir kayıt tut. Üçüncü katman bekleme: yeni hesapların kart ile yaptığı ilk yüklemelerde teslimatı otomatik olarak kısa bir onay penceresine al. Bu üçü birlikte itirazın kendisini engellemez ama kazanma oranını ciddi biçimde değiştirir.
Senaryo 5: API anahtarını verdiğin bayi seni rakibe mi çeviriyor?
Bayilerine entegrasyon açmak ölçeklenmenin en güzel yolu. Aynı zamanda en kolay kontrol kaybı. Tek bir anahtarı alan bayi, onu kendi kurduğu üç ayrı siteye, bir Telegram botuna ve bir arkadaşının paneline bağlar. Senin stok havuzun, senin fiyatınla, senden habersiz beş yerde satılır. Teknik olarak dolandırıcılık gibi görünmez; ticari olarak tam olarak odur.
Doğru kurulumda her anahtar tek bir kaynağa kilitlenir: IP beyaz listesi, isteğe bağlı alan adı doğrulaması, dakikalık istek sınırı ve anahtar başına ayrı stok kotası. Anahtarın hangi uçtan kaç kez çağrıldığını göremeyen bir dijital ürün satış yazılımı ile bu senaryoyu yönetmen imkânsız. Kanıtlayamadığın ihlali konuşamazsın, konuşamadığın ihlali de kapatamazsın.
Bayi riskini tek bir sayıya indirgemek yerine üç bağımsız eşik kullan: hacim sapması, ödeme gecikmesi ve itiraz oranı. Üçünden ikisi aynı hafta içinde kırmızıya dönerse limit otomatik dursun; insan kararı sonra devreye girsin.
Bu beş senaryoyu tek kontrol listesine nasıl indirirsin?
Sahada gördüğüm en işe yarar yaklaşım, karmaşık bir risk motoru kurmak değil; sekiz maddelik bir listeyi istisnasız uygulamak. Aşağıdaki tabloyu panelinin ayar sayfasıyla yan yana açıp tek tek işaretlemeni öneriyorum. İşaretleyemediğin her satır, bir gün mutlaka faturaya dönüşür.
| Kontrol | Neden Gerekli | Doğru Ayar | Durum |
|---|---|---|---|
| Saatlik hacim tavanı | Tek gecede boşaltmayı engeller | Günlük limitin %25'i | Zorunlu |
| Manuel bakiye ikinci onay | Sahte dekont riskini keser | Ayrı yetki + değiştirilemez log | Zorunlu |
| Ödeme adı eşleştirme | Üçüncü kişi kartını yakalar | Uyuşmazlıkta otomatik bekletme | Zorunlu |
| Cihaz ve IP parmak izi | Çoklu hesabı görünür kılar | Kayıt anında kalıcı saklama | Zorunlu |
| API anahtarı IP kilidi | Anahtar paylaşımını bitirir | Anahtar başına beyaz liste | Zorunlu |
| Teslim kanıtı kaydı | İtiraz savunmasını güçlendirir | Oturum, IP, zaman damgası | Önerilir |
| Kampanya kişi bazlı kilit | Bonus sömürüsünü durdurur | Vergi no + telefon doğrulaması | Önerilir |
| Haftalık risk raporu | Sessiz zararı yüzeye çıkarır | Otomatik e-posta özeti | Önerilir |
Risk kontrollerini tek panelde topla
Pinova'nın bayi yönetimi; katmanlı limit, manuel işlem denetimi, cihaz parmak izi ve anahtar bazlı API kilidi ile bu beş senaryoyu kurulum aşamasında kapatır.
Bayi limitini düşürmek satışımı azaltır mı?
Kısa vadede birkaç büyük siparişi yavaşlatır, uzun vadede ciroyu korur. Doğru yol limiti düşürmek değil, limiti saatlik ve günlük dilimlere bölmek. Hacmi hak eden bayi zaten aynı ayda aynı toplamı alır.
Manuel bakiye yüklemeyi tamamen kapatmalı mıyım?
Kapatma, kısıtla. Ayrı yetki, zorunlu gerekçe alanı ve ikinci onay ile bunu istisna yoluna çevir. Amaç personelin iyi niyetle acele karar vermesini imkânsız kılmak.
Kart itirazında hangi kayıtlar işime yarar?
Teslimatın hangi oturumda, hangi IP'den ve hangi saatte görüntülendiğini gösteren kayıt, panel sahibi ile ödeme sahibinin eşleşmesi ve varsa sipariş öncesi yazışma. Bu üçlü savunmanın iskeletidir.
Küçük bir ağ için bu kadar kontrol fazla değil mi?
Tam tersi. On bayili bir ağda tek kötü hesabın etkisi yüzde on demektir. Kontroller ağ küçükken kurulduğunda maliyeti sıfıra yakın olur; büyüdükten sonra kurmak ise operasyonu durdurmakla eş değer.
Bu beş senaryonun hiçbiri yeni değil; hepsi yıllardır aynı sırayla tekrar ediyor. Değişen tek şey, senin bunları fark etme hızın. Panelinde hangi kontrollerin hazır geldiğini ve limit kurallarını kendi ağına göre nasıl kurgulayacağını görmek istiyorsan, canlı demo üzerinden bayi kartını açıp risk alanlarını kendi gözlerinle incele; ardından paket karşılaştırmasına bakıp hangi seviyede başlamak istediğine karar ver.