E-Pin Sitelerinde Kimlik Avı (Phishing) Saldırılarına Karşı Korunma

Bir müşteriniz e-pin siparişi vermek için giriş yaptığını sanıyor ama aslında saldırganın kopyaladığı sahte bir sayfaya şifresini yazıyor. Ya da bayi panelinizdeki bakiye bir gecede sıfırlanıyor, çünkü kimse tek bir oltalama e-postasına tıklamanın bu kadar pahalıya patlayacağını düşünmemişti. E-pin ve dijital ürün siteleri, saniyeler içinde nakde çevrilebilen kodlar sattığı için kimlik avı (phishing) saldırganlarının en sevdiği hedeflerden biri haline geldi; bu yazıda saldırıların nasıl işlediğini ve Pinova ile bir e-pin sitesinin kendini nasıl koruyabileceğini adım adım anlatıyoruz.

E-Pin Siteleri Neden Dolandırıcıların Birinci Hedefi Haline Geldi?

Bir bankacılık sitesinden çalınan bilgiyle para çekmek günler sürebilir; SMS onayı, hesap doğrulama, transfer limiti gibi engeller vardır. Oysa bir e-pin sitesinden ele geçirilen bakiye veya hesap, saniyeler içinde oyun kodu, dijital ürün ya da bayi bakiyesi olarak tüketilebilir ve iz sürülmesi çok daha zordur. Saldırganlar için bu, "hızlı ve temiz" bir hedef anlamına gelir.

Bu sektörü özellikle cazip kılan birkaç faktör var:

• İşlemler anlık gerçekleşiyor; para iade süreci genelde yok ya da çok kısıtlı.
• Kullanıcı kitlesi genç ve hızlı hareket eden bir kitle; şüphe duyup durup düşünme alışkanlığı daha az.
• Bayi/reseller sistemleri yüzünden tek bir hesap ele geçirildiğinde büyük bakiyelere erişilebiliyor.
• Site sayısı çok fazla, güvenlik olgunluğu ise sitelerin çoğunda düşük; saldırgan için "kolay hedef" bulmak zor değil.

Bu tabloyu bilmek, savunmayı nereye kuracağınızı da belirliyor: asıl risk tek bir güvenlik açığından çok, hız ve güven üzerine kurulu bir iş modelinin doğal zafiyeti.

Sektörün bir diğer özelliği de saldırganların "toplu deneme" mantığıyla çalışabilmesi. Başka sitelerden sızan e-posta/şifre kombinasyonlarını otomatik botlarla binlerce e-pin sitesinde sırayla denemek (credential stuffing), aynı şifreyi birden fazla yerde kullanan kullanıcılar sayesinde şaşırtıcı derecede yüksek başarı oranına ulaşır. Bir saldırganın tek tek sizi hedef alması gerekmez; sizi otomatik taramanın bir durağı haline getiren, sadece zayıf giriş denemesi limitidir.

Sahte Giriş Sayfaları Müşterilerinizi Nasıl Kandırıyor?

Klasik senaryo şudur: saldırgan sitenizin giriş sayfasını piksel piksel kopyalar, siteniz.com yerine site-nlz.com, sitenizgiris.com ya da Cyrillic karakterlerle görsel olarak aynı görünen bir punycode alan adı kaydeder. Ardından bu sahte sayfaya trafik çekmek için genelde üç yol kullanılır: sahte "siparişiniz onaylandı, giriş yapıp kontrol edin" e-postaları, sosyal medyada paylaşılan "kampanya" linkleri veya arama motorlarına verilen ücretli reklamlar.

Kullanıcı şifresini bu sahte sayfaya yazdığı an, saldırgan aynı bilgilerle gerçek sitenize giriş yapar. Eğer hesapta bakiye veya kayıtlı bir ödeme yöntemi varsa, saniyeler içinde tüketilir. Kötüsü, mağdur genelde kendi sitenizin "hacklendiğini" düşünür ve güvenini kaybeder — oysa açık sizin altyapınızda değil, taklit edilen bir kopyada olmuştur.

Bu saldırı türüne karşı en etkili savunma, kullanıcıyı e-posta linkine değil kendi girdiği adrese yönlendirmektir. Sipariş bildirimlerinde "tıkla ve giriş yap" bağlantısı yerine "panelinize giriş yaparak kontrol edin" ifadesi kullanmak, kullanıcıyı linke tıklama alışkanlığından uzaklaştırır ve oltalama e-postalarının etkisini önemli ölçüde azaltır.

Ayrıca sayfanın kendisi de ipucu verebilir: sahte sayfalarda genelde SSL sertifikası ya yoktur ya da farklı bir kuruma aittir, sayfa yükleme hızı orijinalden farklıdır ve tarayıcının adres çubuğunda gösterilen domain birebir eşleşmez. Müşterilerinize düzenli olarak "her girişte adres çubuğunu kontrol edin" hatırlatması yapmak basit görünse de, oltalama sayfalarının büyük kısmının bu tek adımda deşifre olduğunu unutmayın.

Bayi Panelleri Neden Saldırganlar İçin Altın Değerinde?

Çok seviyeli bayi sistemi olan e-pin sitelerinde asıl kıymetli hedef sıradan müşteri değil, bayi hesaplarıdır. Bir bayinin panelinde genelde yüksek bakiye, toplu sipariş yetkisi ve bazen alt bayi yönetme hakkı bulunur. Tek bir bayi hesabının ele geçirilmesi, saldırganın binlerce liralık bakiyeye anında erişmesi ve bu bakiyeyi kod çekerek nakde çevirmesi demektir.

Bayi hesaplarının bu kadar değerli olmasının bir başka nedeni de, bayilerin genelde günün her saati farklı cihazlardan giriş yapması ve bu yüzden "olağan dışı giriş" alarmlarının fark edilmesinin zorlaşmasıdır. Saldırgan, gerçek bir bayinin çalışma alışkanlığına benzer bir davranış sergilerse tespit süresi uzar, kayıp da o oranda büyür.

Bu riski azaltmanın yolu, bayi panelini müşteri paneliyle aynı güvenlik seviyesinde bırakmamaktan geçiyor: iki adımlı doğrulama, IP bazlı kısıtlama, yüksek tutarlı işlemlerde ek onay adımı ve şüpheli girişte otomatik oturum sonlandırma gibi katmanlar, bayi panelinde standart, sıradan kullanıcı panelinde ise en azından opsiyonel olmalıdır.

Çok seviyeli bayi yapısında bir başka risk de zincirin kendisidir: üst bayi hesabı ele geçirilirse, saldırgan alt bayilerin bakiyelerine, komisyon oranlarına ve hatta fiyatlandırma ayarlarına erişebilir. Bu yüzden üst seviye bayi/admin yetkisi taşıyan hesaplarda ek doğrulama adımlarını atlanabilir kılmamak, tek bir sızıntının tüm bayi ağına yayılmasını engelleyen en kritik bariyerdir.

E-postalarınız Sizin Adınıza mı Gönderiliyor? SPF/DKIM/DMARC Meselesi

Saldırganların en sık kullandığı yöntemlerden biri, e-pin sitenizin görünen adını taklit eden sahte e-postalar göndermektir. Alıcı, "Gönderen: OyunSepet Destek" yazan bir e-postanın gerçekten sizden geldiğini düşünür; oysa e-posta protokolü, gönderen alan adını doğrulayan kayıtlar (SPF, DKIM, DMARC) doğru yapılandırılmadığı sürece bu sahteciliği engellemez.

DMARC politikası "reject" veya en azından "quarantine" olarak ayarlanmış bir alan adında, sizin adınıza gönderilen sahte e-postaların büyük kısmı alıcının gelen kutusuna hiç düşmez ya da spam olarak işaretlenir. Bu üç kaydın eksik ya da gevşek yapılandırılmış olması, e-posta tabanlı oltalama saldırılarının en büyük açık kapılarından biridir ve çoğu site sahibi bu ayarları hiç kontrol etmemiştir.

Kendi barındırdığınız bir mail sunucusu (self-hosted SMTP) kullanıyorsanız bu üç kaydın doğru kurulması ekstra önem taşır, çünkü paylaşımlı hosting'lerin aksine itibar puanınızı (reputation) tamamen kendiniz oluşturuyorsunuz demektir. Yanlış yapılandırılmış bir DKIM imzası, hem gerçek e-postalarınızın spam'e düşmesine hem de sahte e-postaların daha kolay taklit edilmesine yol açabilir.

Aşağıdaki tablo, tipik bir e-pin sitesinde oltalamaya karşı manuel/elle yürütülen bir sürecin, Pinova gibi hazır bir altyapıda hangi noktalarda farklılaştığını özetliyor:

Ödeme Sayfanız Kopyalanırsa Ne Kaybedersiniz?

Sahte giriş sayfası kadar tehlikeli, bazen daha da maliyetli olan bir başka senaryo da ödeme sayfasının taklit edilmesidir. Saldırgan, sitenizin ödeme akışını birebir kopyalayıp kendi sunucusunda barındırır ve müşteriyi buraya yönlendirir. Kullanıcı kart bilgisini girer, "işlem başarısız" mesajı görür ve gerçek siteye geri yönlendirilir — hiçbir şey fark etmeden. Kart bilgisi ise doğrudan saldırganın elindedir.

Bu riski en aza indirmenin yolu, ödeme işlemini kendi sunucunuzda tutmak yerine PayTR veya Shopier gibi lisanslı, PCI-DSS uyumlu sağlayıcıların resmi entegrasyon akışına bırakmaktır. Bu şekilde kart bilgisi hiçbir zaman sizin sunucunuzdan geçmez, dolayısıyla sizin sitenizin ele geçirilmesi bile kart verisinin çalınması anlamına gelmez. Pinova'nın ödeme altyapısı bu mantıkla kuruludur: PayTR, Shopier ve havale seçenekleri resmi entegrasyon üzerinden çalışır, kart bilgisi sitenin veritabanına hiç düşmez.

Buna ek olarak, ödeme sayfasına giden yönlendirmelerin her zaman HTTPS üzerinden ve doğrulanmış domain'den yapıldığından emin olun; ödeme formunu iframe içine gömerken bile kaynak domain kontrolü yapılmalı, aksi halde saldırgan kendi iframe'ini sizin sayfanıza enjekte edebilir.

Sık göz ardı edilen bir diğer nokta da typosquatting'dir: alan adınızın yazım hatalı, benzer uzantılı (.com yerine .com.tr yerine .net gibi) ya da tire eklenmiş varyasyonlarını rakip veya saldırganlar önceden kaydedebilir. Bu alan adları doğrudan sizi taklit etmek için kullanılmasa bile, arama motorunda karışıklık yaratıp trafiğinizi bölebilir ve kimlik avı için bir sıçrama tahtası haline gelebilir. Markanıza yakın varyasyonları önceden kontrol edip mümkün olanları kendi adınıza almak, uzun vadede ucuz bir sigorta gibi çalışır.

Bir Sızıntı Sonrası İlk 24 Saatte Ne Yapmalısınız?

En iyi savunma bile bazen delinir; önemli olan saldırıyı sıfıra indirmek değil, tespit ve müdahale süresini kısaltmaktır. Bir kimlik avı saldırısından şüphelendiğinizde atmanız gereken adımlar şu sırayla ilerlemeli:

• Etkilenen hesapların (ve varsa ilişkili bayi alt hesaplarının) tüm aktif oturumlarını anında sonlandırın.
• Şifre sıfırlamayı zorunlu kılın; sadece etkilenen hesap değil, aynı IP aralığından giriş yapan tüm hesapları gözden geçirin.
• Sunucu ve panel loglarını saldırı zaman aralığına göre filtreleyip hangi işlemlerin (kod çekme, bakiye transferi) yapıldığını çıkarın.
• Etkilenen müşteri/bayilere şeffaf bir bildirim gönderin — sessiz kalmak güveni saldırının kendisinden daha çok zedeler.
• Sahte alan adını barındıran sağlayıcıya (hosting/registrar) ve varsa ilgili tarayıcıların "phishing bildirimi" kanallarına şikayet iletin.

Bu süreci elle yürütmek saatler alabilir; oturum yönetimi ve loglama panelden merkezi olarak yapılabildiğinde, müdahale süresi dakikalara iner. Pinova'nın admin panelinde oturum ve işlem geçmişinin tek yerden görülebilmesi, tam olarak bu senaryoda zaman kazandırmak için tasarlandı.

Olay sonrası bir de "kayıt tutma" alışkanlığı kazanmakta fayda var: hangi saatte hangi hesaplar etkilendi, hangi kodlar çekildi, hangi tedarikçiye (Turkpin/Pinabi gibi) hangi işlem gitti — bu bilgiler hem tedarikçiyle olası bir itiraz sürecinde hem de tekrarlayan saldırılarda örüntü çıkarmak için değerlidir. Loglama alışkanlığı olmayan bir site, aynı saldırıyı ikinci kez yaşadığında bile fark etmeyebilir.