Bir e-pin veya dijital ürün sitesi açtığınızda karşılaşacağınız en sinsi risklerden biri, ürünün kendisiyle ilgili değil. Ödemeyle ilgili. Çünkü sattığınız şey fiziksel değil, iade edilemez ve genelde sipariş verildikten saniyeler sonra müşterinin elinde oluyor. Bu üç özellik bir araya geldiğinde, çalıntı kart bilgisiyle işlem yapmak isteyen biri için e-pin siteleri neredeyse ideal bir hedef haline geliyor. Bu yazıda gerçekte nasıl saldırıya uğradığınızı, şüpheli bir siparişi nasıl ayırt edeceğinizi ve Pinova'nın bu riski hangi katmanlarla azalttığını anlatıyoruz.
Neden E-Pin Siteleri Dolandırıcıların İlk Hedefi Oluyor?
Kart hırsızlığı yapan biri için asıl zorluk, çaldığı kart bilgisini nakde veya nakit benzeri bir değere çevirmek. Fiziksel eşya siparişi verirse kargo adresi gerekir, bu da iz bırakır ve teslimat süresi vardır. Oysa bir e-pin veya oyun kodu, hiçbir adres bilgisi istemeden, dakikalar içinde teslim edilir ve ikinci el pazarlarda kolayca paraya çevrilebilir. Bu yüzden e-pin siteleri, dolandırıcılık literatüründe "kart test etme" ve "hızlı nakde çevirme" saldırılarının klasik hedefi sayılır.
- Ürün anlık ve otomatik teslim ediliyor, insan müdahalesi genelde yok
- İade mekanizması neredeyse hiç işlemiyor, kod kullanıldıysa geri alınamıyor
- Kodlar isimsiz satılabiliyor, alıcıyı zorlayan bir kimlik doğrulama gerekmiyor
- Küçük tutarlı denemeler ("kart testi") banka tarafından fark edilene kadar art arda yapılabiliyor
Bu özellikler ürünü değerli kılan şey; aynı zamanda onu kırılgan da yapıyor. Riski sıfırlamak mümkün değil ama doğru sistemle önemli ölçüde küçültülebilir.
Çalıntı Kartla Yapılan Bir Siparişi Nasıl Anlarsınız?
Dolandırıcılık işlemlerinin çoğu, deneyimli bir göz için belli desenler taşır. Tek bir işaret genelde yeterli değildir ama birkaçı üst üste geldiğinde alarm zilleri çalmalı. En sık görülen kırmızı bayraklar şunlar:
- Fatura adresiyle IP'nin işaret ettiği ülke/şehir birbirini tutmuyor
- Aynı IP veya cihazdan kısa sürede farklı kartlarla art arda deneme yapılıyor
- Yeni açılan bir üyelik, ilk işlemde alışılmadık derecede yüksek tutarlı sipariş veriyor
- Sipariş saatinin, ürün türünün veya tutarın geçmiş normal davranıştan belirgin şekilde saptığı görülüyor
- VPN, proxy veya veri merkezi IP'si üzerinden bağlanılıyor
- E-posta adresi rastgele karakterlerden oluşan, yeni açılmış bir hesap gibi görünüyor
Bu sinyallerin tek başına hiçbiri suçlayıcı değildir; gerçek bir müşteri de VPN kullanabilir. Ama sistemin bunları puanlayıp bir araya getirmesi ve şüpheli işlemi otomatik olarak durdurması gerekir. Manuel takip eden site sahipleri genelde işlem gerçekleştikten, yani kod teslim edildikten sonra fark ediyor - o noktada yapılabilecek pek bir şey kalmıyor.
3D Secure Sizi Gerçekten Koruyor mu?
3D Secure (kart sahibinin bankasından SMS/uygulama onayı istenmesi), kart dolandırıcılığına karşı en güçlü savunma katmanlarından biri. Doğru kullanıldığında, sorumluluğu bankaya devrederek satıcıyı chargeback riskinden büyük ölçüde korur. Ama tek başına yeterli değil, çünkü:
- Bazı yurt dışı kartlar veya sanal kartlar 3D Secure'u desteklemiyor
- Bazı ödeme akışlarında "non-3D" işleme izin verilmesi gerekiyor (özellikle uluslararası müşteri tabanı olan siteler için), bu da riski satıcının üstüne yıkıyor
- 3D Secure ekranı geçildiğinde bile, kartın çalıntı olup olmadığını değil, sadece "bu işlemi banka onayladı mı" sorusunu cevaplıyor - sosyal mühendislikle alınmış OTP kodları bu katmanı da aşabiliyor
Kısacası 3D Secure gerekli ama tek başına yeterli bir çözüm değil. Asıl güvenlik, 3D Secure'un yanına eklenen davranışsal kontrollerle sağlanıyor.
Yeni üyelerin ilk siparişine düşük bir tutar tavanı koyun (ör. 500-1000₺) ve bu tavanı sadece geçmiş başarılı işlem sayısı arttıkça yükseltin. Dolandırıcıların çoğu, bu tek kural yüzünden hedef değiştirir; çünkü asıl istedikleri tek seferde yüksek tutarı boşaltmaktır.
Otomatik Teslimat, Dolandırıcının İşini mi Kolaylaştırıyor?
Otomatik teslimat, e-pin işinin en değerli özelliği - müşteri bekletmiyor, insan gücü harcamıyor, 7/24 çalışıyor. Ama aynı hız, kontrolsüz bırakılırsa dolandırıcının da işine yarıyor: sipariş oluşur oluşmaz kod ekrana düşer, henüz kimse şüpheli bir şey fark etmeden kod başka bir hesaba veya ikinci el pazara aktarılmış olur. Buradaki fark, otomasyonun "körü körüne" mi yoksa "risk puanına göre" mi çalıştığında yatıyor. Riskli görülen bir sipariş otomatik teslim yerine kısa süreliğine incelemeye alınabiliyorsa, hız avantajından ödün vermeden asıl riskli işlemler filtrelenmiş oluyor.
| Kontrol Noktası | Manuel / Elle | Pinova ile |
|---|---|---|
| Şüpheli IP - fatura adresi uyuşmazlığı | Fark edilmesi genelde şikayet geldikten sonra | Sipariş anında otomatik işaretlenir |
| Kısa sürede çoklu kart denemesi | Log dosyalarını tek tek taramak gerekir | Hız (velocity) kuralıyla anında engellenir |
| Yeni üyenin ilk yüksek tutarlı siparişi | Site sahibinin dikkatine ve tecrübesine bağlı | Tanımlı tutar limitiyle otomatik tutulur |
| Riskli siparişte teslimatı durdurma | Kod zaten gönderildiyse geri alınamaz | Yüksek risk skorunda teslimat otomatik bekletilir |
| Kara liste / beyaz liste yönetimi | Excel veya not defterinde elle tutulur | Panelden IP, e-posta ve kart bazlı liste yönetimi |
Chargeback Geldiğinde Sitenizi Ne Bekliyor?
Diyelim ki dolandırıcılık önlenemedi ve kart gerçek sahibi işlemi fark edip bankasına itiraz etti. Bu noktada "chargeback" (ters ibraz) süreci başlar ve site sahibi için asıl maliyet burada ortaya çıkar:
- Ürün bedeli müşteriden geri alınır, çünkü kod zaten kullanılmış veya satılmıştır - o para telafi edilemez
- Ödeme kuruluşu (PayTR, Shopier vb.) genelde ayrıca sabit bir ceza ücreti keser
- Chargeback oranı belirli bir eşiği (genelde %1'i) aşan hesaplar, ödeme sağlayıcısı tarafından incelemeye alınır veya askıya alınır
- Tekrarlayan vakalarda, sitenin ödeme altyapısı tamamen kesilebilir - bu da işin durmasıyla eşdeğerdir
Yani tek bir dolandırıcılık vakası "bir sipariş kaybı" gibi görünse de, birikince ödeme altyapısının tamamını tehdit eden bir risk haline geliyor. Bu yüzden chargeback oranını düşük tutmak, sadece o siparişi kurtarmaktan daha büyük bir hedef.
Hangi Önlemler Gerçekten Fark Yaratıyor?
Tek bir "sihirli" önlem yok; asıl işe yarayan, birkaç katmanın üst üste binmesi. Sahada gerçekten sonuç veren yaklaşımlar şöyle sıralanabilir:
- Hız (velocity) kuralları: Aynı IP, cihaz veya kart numarasından kısa sürede tekrarlanan denemeleri otomatik durdurmak
- Risk skorlama: IP-ülke uyuşmazlığı, yeni hesap, yüksek tutar gibi sinyalleri toplayıp eşik üstünde siparişi otomatik incelemeye almak
- Cüzdan / bakiye modeli: Müşteriyi doğrudan kartla ürün almak yerine önce siteye bakiye yüklemeye yönlendirmek, tek işlemde büyük tutarı riske atmayı zorlaştırır
- Manuel inceleme kuyruğu: Riskli bulunan siparişlerin otomatik teslim edilmeden önce kısa bir insan onayından geçmesi
- 3D Secure zorunluluğu: Mümkün olduğunca non-3D işlemlerden kaçınmak, sorumluluğu bankayla paylaşmak
- Kara liste altyapısı: Bir kez dolandırıcılık tespit edilen IP, e-posta veya kartın otomatik olarak bir daha sipariş verememesi
Pinova bu katmanların büyük kısmını kurulum anında hazır getiriyor; site sahibi sıfırdan bir dolandırıcılık motoru yazmak zorunda kalmıyor. Tedarikçi API entegrasyonu (Turkpin/Pinabi), bakiye sistemi ve çok seviyeli bayi yapısı da zaten bu güvenlik mantığının üzerine oturuyor.
Bu Riski Sıfıra İndirmenin Bir Yolu Var mı?
Tam sıfıra indirmek mümkün değil ama Pinova'nın hazır risk kontrolleri, hız kuralları ve bakiye sistemiyle e-pin sitenizdeki dolandırıcılık ve chargeback oranını gözle görülür şekilde düşürebilirsiniz.
E-pin sitesinde chargeback ücretini kim öder?
Ürün bedeli ve ödeme sağlayıcının kestiği ceza ücreti site sahibine yansır, çünkü dijital ürün teslim edildikten sonra geri alınamaz. Bu yüzden önlem, olaydan sonraki telafiden çok daha değerlidir.
3D Secure olmayan tüm kartları reddetmeli miyim?
Gerekli değil ama non-3D işlemlerde tutar limiti düşük tutmak, ek risk kontrolü uygulamak veya bu tür siparişleri manuel incelemeye almak makul bir orta yoldur.
Pinova'nın dolandırıcılık koruması tam olarak neyi kontrol ediyor?
IP-fatura tutarsızlığı, kısa sürede tekrarlanan denemeler, yeni hesapta yüksek tutarlı ilk sipariş gibi sinyalleri değerlendirip riskli işlemleri otomatik teslimattan önce durdurabilen kural tabanlı bir yapı sunar; ayrıca IP/e-posta/kart bazlı kara liste yönetimi içerir.
Küçük ölçekli bir site için bu önlemler gerçekten gerekli mi?
Evet, hatta daha da kritik olabilir - küçük sitelerin chargeback eşiğini aşması, işlem hacmi az olduğu için çok daha kolay gerçekleşir ve ödeme altyapısının kesilmesi riski büyük sitelere göre orantısız şekilde daha hızlı ortaya çıkar.