Category: E-Ticaret Güvenliği

Friendly fraud, e-ticaret dünyasının en sinsi ve en hızlı büyüyen tehditlerinden biridir. Adında “friendly” (dostça) kelimesi geçse de, bu dolandırıcılık türü işletmeler için hiç de dostane sonuçlar doğurmaz. Geleneksel dolandırıcılıktan farklı olarak, friendly fraud’da işlemi gerçekleştiren kişi kartın gerçek sahibidir — yani tanıdığınız, güvendiğiniz ve hizmet verdiğiniz müşteridir. Peki bu durum nasıl bir dolandırıcılık olabilir? Bu kapsamlı rehberde, friendly fraud’un ne olduğunu, türlerini, tespit yöntemlerini ve korunma stratejilerini detaylıca ele alacağız.

Friendly Fraud Nedir?

Friendly fraud, diğer adıyla birinci taraf dolandırıcılığı (first-party fraud), bir müşterinin kendi kredi kartı veya banka kartıyla meşru bir alışveriş yapmasının ardından, aldığı ürün veya hizmeti teslim almış olmasına rağmen bankasına başvurarak chargeback (ödeme iadesi) talep etmesidir. Müşteri genellikle işlemi tanımadığını, ürünün ulaşmadığını veya ürünün beklentileri karşılamadığını iddia eder.

Bu dolandırıcılık türü, klasik kart hırsızlığı veya kimlik avı (phishing) gibi yöntemlerden temelden farklıdır. Çünkü burada çalıntı bir kart veya sahte bir kimlik söz konusu değildir. İşlemi yapan kişi meşru müşteridir ve bu durum, tespiti son derece zorlaştırır.

Friendly fraud, küresel ölçekte e-ticaret chargeback’lerinin yüzde 60 ila 80’ini oluşturduğu tahmin edilmektedir. Bu oran, sorunun büyüklüğünü açıkça ortaya koymaktadır.

Friendly Fraud ile Gerçek Fraud Arasındaki Fark

Friendly fraud ile geleneksel (gerçek) dolandırıcılığı birbirinden ayırmak, etkili bir koruma stratejisi geliştirmek için kritik öneme sahiptir. İşte iki dolandırıcılık türü arasındaki temel farklar:

• Gerçek fraud: Üçüncü bir kişi, çalıntı kart bilgileriyle yetkisiz bir işlem gerçekleştirir. Kart sahibi bu işlemden habersizdir ve mağdurdur.
• Friendly fraud: Kart sahibinin kendisi işlemi yapar, ürünü veya hizmeti alır, ancak sonradan işlemi reddeder veya tanımaz.

Gerçek fraud vakalarında, banka ve işletme genellikle aynı taraftadır — her ikisi de dolandırıcıya karşı hareket eder. Ancak friendly fraud’da işletme, kendi müşterisiyle karşı karşıya kalır. Banka, müşterisinin beyanına güvenme eğilimindedir ve bu durum, işletmenin aleyhine işler.

Bir diğer önemli fark ise niyet meselesidir. Gerçek fraud her zaman kasıtlıdır. Friendly fraud ise bazen kasıtlı, bazen kasıtsız, bazen de fırsatçı bir şekilde gerçekleşir. Bu nüans, konuyu daha da karmaşık hale getirir.

Friendly Fraud Türleri

Friendly fraud tek bir kalıba sığmaz. Farklı motivasyonlar ve senaryolar, farklı türlerde friendly fraud’a yol açar. İşte en yaygın üç türü:

Kasıtlı Friendly Fraud (Cyber Shoplifting)

Bu tür, adından da anlaşılacağı gibi tamamen bilinçli ve planlı bir şekilde gerçekleştirilir. Müşteri, bir ürünü sipariş eder, teslim alır ve ardından bankasına başvurarak ürünün ulaşmadığını veya işlemi tanımadığını iddia eder. Amaç, hem ürünü elinde tutmak hem de parasını geri almaktır.

Cyber shoplifting olarak da bilinen bu davranış, dijital mağaza hırsızlığının modern karşılığıdır. Bu tür dolandırıcılar genellikle sistematik hareket eder ve birden fazla işletmeyi hedef alır. Bazıları bu yöntemi bir “yaşam tarzı” haline getirmiştir ve düzenli olarak chargeback talep ederek bedava ürün elde etmeye çalışır.

Kasıtlı friendly fraud, özellikle dijital ürünlerde (yazılım lisansları, dijital içerik, online kurslar) son derece yaygındır. Çünkü dijital ürünlerde fiziksel bir teslimat kanıtı sunmak daha zordur.

Kasıtsız Friendly Fraud

Her friendly fraud vakası kötü niyetli değildir. Kasıtsız friendly fraud, müşterinin gerçekten işlemi hatırlamaması veya farkında olmadan chargeback sürecini başlatması durumunda ortaya çıkar. Yaygın senaryolar şunlardır:

• Aile içi alışveriş: Ebeveynin bilgisi dışında çocuğun veya bir aile üyesinin kartla alışveriş yapması. Kart sahibi ekstreyi incelediğinde tanımadığı bir işlem görür ve chargeback talep eder.
• Unutulan abonelikler: Müşterinin daha önce abone olduğu bir hizmeti unutması ve otomatik yenileme ücretini “yetkisiz işlem” olarak bildirmesi.
• Tanınmayan fatura tanımlayıcısı: İşletmenin banka ekstrelerinde farklı bir isimle görünmesi nedeniyle müşterinin işlemi tanıyamaması.
• Alıcının pişmanlığı: Müşterinin aldığı üründen memnun kalmaması, ancak iade sürecini zahmetli bularak doğrudan bankaya başvurması.

Kasıtsız friendly fraud, toplam friendly fraud vakalarının önemli bir kısmını oluşturur. Bu durum, birçok vakanın aslında daha iyi müşteri iletişimi ve net politikalarla önlenebileceğini göstermektedir.

Fırsatçı Friendly Fraud

Fırsatçı friendly fraud, kasıtlı ve kasıtsız türlerin arasında yer alan gri bir bölgedir. Bu senaryoda müşteri, başlangıçta dolandırıcılık niyetiyle hareket etmez. Ancak bir fırsat gördüğünde — örneğin teslimat sürecinde bir aksaklık yaşandığında veya ürünle ilgili küçük bir sorun olduğunda — durumu abartarak chargeback talep eder.

Tipik bir örnek şöyle işler: Müşteri, siparişini birkaç gün gecikmeli olarak teslim alır. Ürün sorunsuz çalışmaktadır, ancak teslimat gecikmesini bahane ederek bankaya “ürün teslim edilmedi” şeklinde bildirimde bulunur. Fırsatçı friendly fraud, ekonomik belirsizlik dönemlerinde ve tüketici haklarının güçlü olduğu pazarlarda belirgin şekilde artar.

Friendly Fraud’un Artış Nedenleri

Friendly fraud, son yıllarda dünya genelinde hızla artmaktadır. Bu artışın ardında birden fazla faktör bulunur:

• E-ticaretin büyümesi: Online alışverişin yaygınlaşmasıyla birlikte, chargeback mekanizmasını kötüye kullanan müşteri sayısı da orantılı olarak artmıştır.
• Chargeback sürecinin kolaylığı: Bankalar, müşteri memnuniyetini ön planda tutarak chargeback taleplerini hızlı ve kolay bir şekilde işleme almaktadır. Müşterinin bir telefon araması veya birkaç tıklama ile chargeback başlatabilmesi, süreci cazip kılmaktadır.
• Düşük risk algısı: Birçok tüketici, friendly fraud’un bir suç olduğunun farkında değildir veya yakalanma ihtimalini düşük görmektedir. “Bir tane chargeback’ten bir şey olmaz” düşüncesi yaygındır.
• Ekonomik baskılar: Enflasyon ve artan yaşam maliyetleri, bazı tüketicileri chargeback yoluyla harcamalarını “telafi etmeye” yönlendirmektedir.
• Pandemi etkisi: COVID-19 döneminde online alışverişin patlaması, friendly fraud vakalarında belirgin bir artışa yol açmıştır. Bu trend, pandemi sonrasında da devam etmektedir.
• Bilgi paylaşımı: Sosyal medya ve online forumlar aracılığıyla chargeback sürecinin nasıl kötüye kullanılabileceğine dair bilgiler kolayca paylaşılmaktadır.

E-Ticaret İşletmelerine Maliyeti

Friendly fraud, e-ticaret işletmeleri için yalnızca bir ürün kaybı değildir. Gerçek maliyet, ürün bedelinin çok ötesine geçer. İşte friendly fraud’un işletmelere olan finansal etkisi:

• Ürün veya hizmet kaybı: Müşteri ürünü elinde tutar, ancak ödeme iade edilir.
• Chargeback ücretleri: Her chargeback işlemi için bankalar ve ödeme işlemcileri ek ücret keser. Bu ücretler genellikle işlem başına 15-100 dolar arasında değişir.
• Operasyonel maliyetler: Chargeback’lerle mücadele etmek, delil toplamak ve itiraz sürecini yönetmek ciddi zaman ve insan kaynağı gerektirir.
• Kargo ve lojistik maliyetleri: Gönderilmiş ürünün kargo bedeli geri alınamaz.
• Artan işlem ücretleri: Yüksek chargeback oranlarına sahip işletmeler, ödeme işlemcileri tarafından “yüksek riskli” kategorisine alınır ve daha yüksek komisyon oranları uygulanır.
• Hesap kapatma riski: Chargeback oranı belirli eşikleri aştığında, ödeme işlemcileri işletmenin hesabını tamamen kapatabilir. Bu durum, online satış yapma yeteneğinin tamamen kaybolması anlamına gelir.

Araştırmalara göre, her 1 birimlik chargeback kaybı, işletmeye toplamda 2 ila 3 birim maliyete neden olmaktadır. Küresel ölçekte friendly fraud’un yıllık maliyetinin milyarlarca doları aştığı tahmin edilmektedir.

Friendly Fraud Tespiti

Friendly fraud’u tespit etmek, diğer dolandırıcılık türlerine kıyasla çok daha zordur. Çünkü işlemi gerçekleştiren kişi meşru bir müşteridir ve standart dolandırıcılık filtreleri bu tür vakaları yakalayamaz. Ancak belirli yöntemler ve veri analizi teknikleri, şüpheli kalıpları ortaya çıkarabilir.

Müşteri Geçmişi Analizi

Bir müşterinin geçmiş alışveriş ve chargeback davranışları, gelecekteki friendly fraud riskini değerlendirmek için en güçlü göstergelerden biridir. Dikkat edilmesi gereken sinyaller şunlardır:

• Daha önce bir veya daha fazla chargeback talebi olan müşteriler
• Yüksek tutarlı siparişlerin ardından düzenli olarak iade veya itiraz başvurusunda bulunan müşteriler
• Hesap oluşturma tarihi ile ilk büyük sipariş arasındaki sürenin çok kısa olması
• Farklı ödeme yöntemleriyle tekrarlayan benzer kalıplar

Müşteri geçmişi analizi, risk puanlama sistemleri ile otomatikleştirilebilir. Her müşteriye geçmiş davranışlarına göre bir risk puanı atanır ve yüksek puanlı müşterilerin işlemleri daha dikkatli incelenir.

Sipariş ve Teslimat Verisi Karşılaştırma

Sipariş bilgileri ile teslimat verileri arasındaki tutarsızlıklar, friendly fraud’un erken uyarı işaretleri olabilir. Etkili bir karşılaştırma sistemi şunları içermelidir:

• Teslimat onay kayıtları: GPS verileri, imza onayları ve fotoğraflı teslimat kanıtları
• IP adresi ve konum analizi: Siparişin verildiği konum ile teslimat adresinin tutarlılığı
• Cihaz parmak izi: Siparişin verildiği cihaz ile daha sonra “tanımıyorum” şikâyetinin yapıldığı cihazın aynı olup olmadığı
• Zaman çizelgesi analizi: Ürünün teslim edilmesi ile chargeback talebi arasındaki süre

Chargeback Pattern (Kalıp) Analizi

Chargeback verilerinin sistematik analizi, friendly fraud kalıplarını ortaya çıkarabilir. Bu analiz şunları kapsar:

• Mevsimsel eğilimler: Belirli dönemlerde (tatil sezonları, büyük indirim dönemleri) chargeback oranlarındaki artışlar
• Ürün kategorisi analizi: Hangi ürün gruplarının daha fazla chargeback’e maruz kaldığı
• Chargeback neden kodları: Hangi neden kodlarının daha sık kullanıldığı ve bunlar arasındaki tutarsızlıklar
• Coğrafi dağılım: Belirli bölgelerden gelen siparişlerde chargeback oranının dikkat çekici derecede yüksek olması

Bu kalıplar, makine öğrenimi algoritmaları ile analiz edilerek gelecekteki friendly fraud riskini tahmin eden prediktif modeller oluşturulabilir.

Davranış Analizi

Müşterinin site üzerindeki davranışları, friendly fraud niyetine dair ipuçları verebilir. Gelişmiş davranış analizi şunları izler:

• Ürün sayfalarında geçirilen süre ve inceleme derinliği
• İade politikası sayfasının sipariş öncesinde detaylıca incelenmesi
• Chargeback sürecini araştıran arama geçmişi
• Hızlı ve düşünmeden yapılan yüksek tutarlı alışverişler
• Siparişin hemen ardından iletişim bilgilerinin değiştirilmesi

Friendly Fraud Önleme Stratejileri

Friendly fraud’u tamamen ortadan kaldırmak mümkün olmasa da, etkili stratejilerle oranı önemli ölçüde azaltmak mümkündür. İşte uygulanabilir önleme yöntemleri:

Net ve Şeffaf İade Politikaları

Birçok friendly fraud vakası, müşterinin iade sürecini zahmetli veya belirsiz bulmasından kaynaklanır. Müşteri, mağazayla uğraşmak yerine doğrudan bankaya başvurmayı tercih eder. Bu durumu önlemek için:

• İade politikasını web sitesinde kolay erişilebilir ve anlaşılır bir dilde sunun
• İade sürecini mümkün olduğunca basit ve hızlı hale getirin
• Sipariş onay e-postalarında iade koşullarını açıkça belirtin
• Müşteriye self-servis iade portalı sunarak süreci kolaylaştırın

Kolay iade süreci, paradoks gibi görünse de aslında chargeback oranını düşürür. Müşteri, sorununu doğrudan işletmeyle çözebildiğinde bankaya başvurma ihtiyacı duymaz.

Teslimat Onay Mekanizmaları

Güçlü teslimat kanıtları, “ürün ulaşmadı” iddialarına karşı en etkili savunmadır. Uygulanması gereken mekanizmalar:

• İmzalı teslimat: Özellikle yüksek tutarlı siparişlerde alıcı imzası zorunlu kılınmalıdır
• Fotoğraflı teslimat kanıtı: Kargo firmasının teslimat anında fotoğraf çekmesi sağlanmalıdır
• Gerçek zamanlı takip: Müşteriye kargonun her aşamasında bilgilendirme gönderilmelidir
• Teslimat sonrası onay e-postası: Ürün teslim edildikten sonra müşteriye otomatik bir onay e-postası gönderilerek ürünün ulaşıp ulaşmadığı sorulmalıdır

Fatura Tanımlayıcı (Descriptor) Netliği

Kasıtsız friendly fraud’un en yaygın nedenlerinden biri, müşterinin banka ekstresinde gördüğü işletme adını tanıyamamasıdır. Birçok işletme, ödeme işlemcisi üzerinden farklı bir ticari unvanla görünür. Bu durum, müşterinin işlemi “yetkisiz” olarak bildirmesine yol açar.

• Banka ekstresinde görünen tanımlayıcının, müşterinin bildiği marka adıyla uyumlu olmasını sağlayın
• Tanımlayıcıya iletişim numarası veya web sitesi adresi ekleyin
• Sipariş onay e-postasında, banka ekstresinde nasıl görüneceğini açıkça belirtin
• Farklı satış kanallarında tutarlı tanımlayıcılar kullanın

Güçlü Müşteri İletişim Kanalları

Müşterinin işletmeye kolayca ulaşabilmesi, chargeback’e başvurma ihtimalini önemli ölçüde azaltır. Etkili iletişim altyapısı şunları içermelidir:

• Çoklu iletişim kanalları: Canlı sohbet, e-posta, telefon ve sosyal medya desteği
• Hızlı yanıt süreleri: Müşteri şikâyetlerine 24 saat içinde yanıt verilmesi
• Proaktif iletişim: Sipariş durumu, kargo gecikmeleri ve potansiyel sorunlar hakkında müşteriyi önceden bilgilendirme
• Sorun çözme odaklı yaklaşım: Müşteri şikâyetlerini empatiyle dinleyerek karşılıklı memnuniyet sağlayan çözümler sunma

Chargeback Representment Süreci

Friendly fraud kaynaklı bir chargeback aldığınızda, bunu kabul etmek zorunda değilsiniz. Representment (yeniden sunma) süreci, işletmelerin haksız chargeback’lere itiraz etme hakkıdır. Bu süreç şu adımlardan oluşur:

• Adım 1 — Değerlendirme: Chargeback’in gerçekten friendly fraud olup olmadığını belirleyin. Meşru müşteri şikâyetlerine itiraz etmek, müşteri ilişkilerine zarar verir.
• Adım 2 — Delil toplama: İşlem kaydı, teslimat onayı, müşteri iletişim geçmişi, IP adresi bilgileri ve diğer ilgili belgeleri derleyin.
• Adım 3 — İtiraz dosyası hazırlama: Toplanan delilleri, chargeback neden koduna uygun şekilde düzenleyin ve tutarlı bir anlatım oluşturun.
• Adım 4 — Sunma: İtiraz dosyasını belirlenen süre içinde (genellikle 30-45 gün) ödeme işlemcisine iletin.
• Adım 5 — Sonuç takibi: Kararı bekleyin ve sonucu kaydedin. Reddedilen itirazlardan ders çıkararak gelecekteki dosyalarınızı güçlendirin.

Başarılı bir representment süreci için güçlü dokümantasyon en kritik faktördür. Her işlem için teslimat kanıtı, müşteri onayı ve iletişim kayıtlarını düzenli olarak saklayın. Representment başarı oranı, iyi hazırlanmış dosyalarda yüzde 60-70’e kadar çıkabilir.

Friendly Fraud ve Hukuki Boyut: Türkiye Perspektifi

Türkiye’de friendly fraud, yasal olarak gri bir alanda yer alır. Ancak bilinçli ve kasıtlı olarak gerçekleştirilen friendly fraud, hukuki sonuçlar doğurabilir.

Türk Ceza Kanunu kapsamında, kasıtlı friendly fraud aşağıdaki suç tanımlarıyla ilişkilendirilebilir:

• Dolandırıcılık (TCK Madde 157-158): Hileli davranışlarla bir kimseyi aldatarak yarar sağlama suçu. Kasıtlı friendly fraud, bu tanıma girebilir.
• Bilişim suçları (TCK Madde 243-245): Bilişim sistemleri aracılığıyla işlenen dolandırıcılık eylemleri, ağırlaştırılmış cezai yaptırımlar gerektirebilir.

Ayrıca 6502 sayılı Tüketicinin Korunması Hakkında Kanun, tüketici haklarını geniş bir şekilde korurken, bu hakların kötüye kullanılmasını da sınırlamaktadır. Tüketicinin, ürünü teslim aldığı halde almadığını iddia etmesi, hakkın kötüye kullanılması olarak değerlendirilebilir.

E-ticaret işletmeleri için önemli hukuki adımlar şunlardır:

• Kullanım koşulları ve satış sözleşmelerinde chargeback dolandırıcılığına ilişkin açık hükümler bulundurun
• Delil koruma: Tüm işlem kayıtlarını, teslimat belgelerini ve müşteri yazışmalarını en az üç yıl süreyle muhafaza edin
• Hukuki danışmanlık: Yüksek tutarlı ve sistematik friendly fraud vakalarında hukuki süreç başlatmayı değerlendirin
• Sektörel işbirliği: Diğer işletmeler ve sektör kuruluşlarıyla bilgi paylaşımı yaparak ortak savunma mekanizmaları geliştirin

Türkiye’de henüz friendly fraud’a özgü bir düzenleme bulunmamakla birlikte, mevcut yasal çerçeve bilinçli olarak yapılan friendly fraud vakalarında işletmelere hukuki koruma sağlamaktadır. Bununla birlikte, ispat yükünün genellikle işletme üzerinde olduğunu unutmamak gerekir.

Sonuç: Proaktif Yaklaşım Şart

Friendly fraud, e-ticaret ekosisteminin karanlık yüzüdür. Tanıdığınız, güvendiğiniz müşterilerden gelebilecek bu tehdit, işletmeleri hem finansal hem de operasyonel açıdan ciddi şekilde etkileyebilir. Ancak doğru stratejiler, güçlü teknolojik altyapı ve proaktif bir yaklaşımla bu riski önemli ölçüde azaltmak mümkündür.

Etkili bir friendly fraud yönetimi için şu üç temel prensip her zaman aklınızda olmalıdır:

• Önleme: Net politikalar, güçlü iletişim ve şeffaf süreçlerle friendly fraud fırsatlarını en aza indirin.
• Tespit: Veri analizi, müşteri geçmişi izleme ve davranış analiziyle şüpheli kalıpları erken aşamada fark edin.
• Müdahale: Güçlü dokümantasyon ve etkili representment süreçleriyle haksız chargeback’lere karşı haklarınızı koruyun.

Unutmayın: Friendly fraud’la mücadele, yalnızca bireysel işletmelerin değil, tüm e-ticaret ekosisteminin sağlığı için kritik bir gerekliliktir. Her işletmenin bu alanda bilinçlenmesi ve gerekli önlemleri alması, daha güvenli ve sürdürülebilir bir dijital ticaret ortamı yaratacaktır.

Kara Liste Nedir ve Fraud Önlemedeki Rolü

E-ticaret dünyasında dolandırıcılık girişimleri her geçen gün daha sofistike hale gelmektedir. Bu tehditlere karşı en etkili savunma araçlarından biri de kara liste yönetimi (blacklist management) sistemleridir. Kara liste, daha önce dolandırıcılık faaliyetine karışmış veya şüpheli bulunan varlıkların — IP adresleri, kredi kartı numaraları, e-posta adresleri, teslimat adresleri ve cihaz parmak izleri gibi — kayıt altına alınarak gelecekteki işlemlerde otomatik olarak engellenmesini sağlayan bir güvenlik mekanizmasıdır.

Kara liste yönetiminin temel amacı, bilinen tehditleri hızlı bir şekilde tanımlayıp engellemektir. Bir dolandırıcı daha önce tespit edildiyse, aynı kimlik bilgileriyle tekrar işlem yapması önlenebilir. Bu sayede hem mali kayıplar azaltılır hem de meşru müşterilerin deneyimi korunur. Ancak kara liste yönetimi tek başına yeterli değildir; kapsamlı bir fraud önleme stratejisinin önemli ama tamamlayıcı bir parçası olarak değerlendirilmelidir.

Etkili bir kara liste sistemi, fraud analiz ekiplerinin iş yükünü önemli ölçüde hafifletir. Manuel inceleme gerektiren işlem sayısını azaltarak operasyonel verimliliği artırır. Aynı zamanda, geçmiş dolandırıcılık verilerinden öğrenme imkânı sunarak proaktif bir güvenlik yaklaşımı oluşturulmasına katkıda bulunur.

Kara Liste Türleri

Fraud önlemede kullanılan kara listeler, engellenen varlığın türüne göre çeşitli kategorilere ayrılır. Her bir kara liste türü farklı bir dolandırıcılık vektörüne karşı koruma sağlar ve birlikte kullanıldıklarında çok katmanlı bir savunma hattı oluştururlar.

IP Adresi Kara Listesi

IP adresi kara listeleri, dolandırıcılık faaliyetleriyle ilişkilendirilen IP adreslerini veya IP aralıklarını engellemek için kullanılır. Bu yöntem özellikle aşağıdaki senaryolarda etkilidir:

• Bilinen dolandırıcılık kaynaklarının engellenmesi: Daha önce fraud girişiminde bulunan IP adresleri listeye eklenir.
• Proxy ve VPN tespiti: Anonim proxy sunucuları veya bilinen VPN çıkış noktaları kara listeye alınarak kimlik gizleme girişimleri önlenir.
• Coğrafi IP filtreleme: Belirli bölgelerden gelen yüksek riskli IP aralıkları engellenir.
• Botnet IP’leri: Otomatik saldırı araçlarının kullandığı bilinen botnet IP adresleri bloke edilir.

Ancak IP kara listelerinin önemli bir sınırlaması vardır: Dinamik IP adresleri sürekli değişebilir ve aynı IP farklı zamanlarda farklı kullanıcılara atanabilir. Bu nedenle IP bazlı engelleme tek başına yeterli olmayıp diğer yöntemlerle desteklenmelidir.

Kart Numarası ve BIN Kara Listesi

Kart bazlı kara listeler, dolandırıcılık amacıyla kullanılan ödeme araçlarını hedef alır. İki temel alt kategoride incelenir:

• Tam kart numarası kara listesi: Daha önce chargeback veya dolandırıcılık ile ilişkilendirilmiş belirli kart numaraları engellenir. Bu, en doğrudan ve etkili engelleme yöntemidir.
• BIN (Bank Identification Number) kara listesi: Kartın ilk altı hanesini oluşturan BIN numarası, kartı çıkaran bankayı ve ülkeyi tanımlar. Yüksek fraud oranına sahip belirli BIN aralıkları kara listeye alınabilir.
• Çalıntı kart tespiti: Dark web veya veri ihlallerinden elde edilen çalıntı kart listelerinin sisteme entegre edilmesiyle proaktif koruma sağlanır.

Kart kara listelerinde dikkat edilmesi gereken en önemli nokta, PCI DSS uyumluluğudur. Kart numaralarının saklanması ve işlenmesi sıkı güvenlik standartlarına tabidir ve bu verilerin güvenli bir şekilde şifrelenerek tutulması zorunludur.

E-posta Adresi Kara Listesi

E-posta adresleri, dolandırıcıların en sık kullandığı ve en kolay değiştirebildiği kimlik bilgilerinden biridir. Buna rağmen, e-posta bazlı kara listeler önemli bir filtreleme katmanı sağlar:

• Tek kullanımlık e-posta servisleri: Geçici e-posta adresi sağlayan servislerin alan adları toplu olarak engellenebilir.
• Bilinen dolandırıcı e-postaları: Önceki fraud vakalarından elde edilen e-posta adresleri listeye eklenir.
• Şüpheli e-posta desenleri: Rastgele karakter dizilerinden oluşan veya belirli kalıplara uyan e-posta adresleri tespit edilir.
• Alan adı bazlı filtreleme: Yüksek riskli e-posta sağlayıcılarının alan adları izlenir ve gerektiğinde kısıtlanır.

Teslimat Adresi Kara Listesi

Fiziksel teslimat adresleri, özellikle kargo dolandırıcılığı ve triangulation fraud vakalarında kritik bir gösterge olabilir. Teslimat adresi kara listeleri şu unsurları içerir:

• Bilinen drop-ship adresleri: Dolandırıcıların ürünleri teslim aldığı bilinen adresler engellenir.
• Kargo aktarma merkezleri: Ürünlerin yurt dışına yönlendirildiği paket yönlendirme servisleri izlenir.
• Boş arsa ve terk edilmiş bina adresleri: Gerçek bir alıcının bulunmadığı adresler tespit edilir.
• Adres normalleştirme: Aynı adresin farklı yazım şekillerini (kısaltmalar, yazım hataları) yakalayacak şekilde adresler standartlaştırılır.

Adres kara listelerinin etkinliği, güçlü bir adres doğrulama ve normalleştirme sistemiyle doğrudan ilişkilidir. Dolandırıcılar adreslerde küçük değişiklikler yaparak kara listeyi atlatmaya çalışabilirler.

Cihaz Parmak İzi Kara Listesi

Cihaz parmak izi (device fingerprinting), bir kullanıcının cihazına ait benzersiz özelliklerin — tarayıcı türü, ekran çözünürlüğü, yüklü eklentiler, işletim sistemi sürümü gibi — bir araya getirilerek oluşturulan tanımlayıcıdır. Bu teknik, dolandırıcıların IP adreslerini veya e-posta adreslerini değiştirmelerine rağmen aynı cihazı kullanmaya devam etmeleri durumunda tespit edilmelerini sağlar.

• Tarayıcı parmak izi: JavaScript tabanlı yöntemlerle tarayıcı ve sistem özelliklerinin kombinasyonu kaydedilir.
• Donanım kimliği: Canvas fingerprinting, WebGL fingerprinting gibi tekniklerle cihazın donanımsal özellikleri belirlenir.
• Davranışsal parmak izi: Fare hareketleri, klavye kullanım hızı ve dokunmatik ekran etkileşim kalıpları analiz edilir.

Cihaz parmak izi kara listeleri, diğer tüm kimlik bilgilerini değiştiren sofistike dolandırıcılara karşı son savunma hattı olarak son derece değerlidir.

Ülke Bazlı Kara Listeler

Bazı durumlarda, belirli ülke veya bölgelerden gelen işlemler toplu olarak kısıtlanabilir. Bu karar genellikle şu verilere dayanır:

• Fraud oranı analizleri: Belirli ülkelerden gelen işlemlerde orantısız yüksek dolandırıcılık oranı gözlemlenmesi.
• İş modeli gereksinimleri: Yalnızca belirli pazarlara hizmet veren işletmelerin diğer bölgeleri kısıtlaması.
• Yasal ve düzenleyici zorunluluklar: Uluslararası yaptırım listeleri veya düzenleyici kısıtlamalar nedeniyle belirli ülkelerle işlem yapılamaması.

Ülke bazlı kara listelerin kullanımında dikkatli olunmalıdır. Tüm bir ülkeden gelen trafiği engellemek, meşru müşterilerin büyük bir kısmını da kaybetmek anlamına gelebilir. Bu nedenle ülke bazlı filtreleme genellikle tek başına değil, risk skorlama sisteminin bir parçası olarak uygulanır.

Beyaz Liste (Whitelist) ile Birlikte Kullanım

Kara liste stratejisinin etkinliğini artırmanın en önemli yollarından biri, beyaz liste (whitelist) mekanizmasıyla birlikte çalışmasını sağlamaktır. Beyaz liste, güvenilirliği kanıtlanmış müşterilerin, IP adreslerinin veya diğer varlıkların yer aldığı ve bu varlıkların ek güvenlik kontrollerinden muaf tutulduğu bir listedir.

• VIP müşteri koruması: Sık alışveriş yapan, geçmişi temiz ve sadık müşteriler beyaz listeye eklenerek gereksiz sürtünmeden korunur.
• Kurumsal hesaplar: B2B müşteriler veya kurumsal alıcılar, doğrulama sonrası beyaz listeye alınabilir.
• İç IP adresleri: Şirket içi test ve operasyon IP’leri beyaz listeye eklenerek yanlış alarm oluşması önlenir.
• Güvenilir ödeme yöntemleri: Belirli doğrulama seviyesinden geçmiş ödeme araçları öncelikli işleme alınır.

Beyaz liste ve kara liste birlikte kullanıldığında, sistem hem bilinen tehditleri hızla engelleyebilir hem de güvenilir müşterilere sorunsuz bir deneyim sunabilir. Ancak beyaz listelerin de düzenli olarak gözden geçirilmesi gerekir; çünkü daha önce güvenilir olan bir hesap zamanla ele geçirilebilir.

Kara Liste Yönetiminde Dikkat Edilmesi Gerekenler

Etkili bir kara liste yönetimi sistemi kurmak, yalnızca bir listeye kayıt eklemekten çok daha fazlasını gerektirir. Başarılı bir uygulama için aşağıdaki unsurlara dikkat edilmelidir:

• Veri doğruluğu ve kalitesi: Kara listeye eklenen her kaydın doğruluğu teyit edilmelidir. Yanlış veya eksik veriler hem güvenlik açıklarına hem de gereksiz müşteri engellemelerine yol açar.
• Düzenli bakım ve güncelleme: Kara listeler zamanla büyür ve güncelliğini yitirebilir. Eski ve artık geçerli olmayan kayıtların periyodik olarak temizlenmesi gerekir.
• Performans optimizasyonu: Büyük kara listeler sorgu performansını olumsuz etkileyebilir. Veritabanı indeksleme, önbellek mekanizmaları ve hızlı arama algoritmaları kullanılmalıdır.
• Denetim izleri (audit trail): Her kara liste ekleme ve çıkarma işlemi; kim tarafından, ne zaman ve neden yapıldığı bilgisiyle birlikte kayıt altına alınmalıdır.
• Eskalasyon prosedürleri: Yanlışlıkla kara listeye alınan müşterilerin durumunun hızla çözülebilmesi için net bir süreç tanımlanmalıdır.

False Positive Riski ve Dengeleme

Kara liste yönetiminin en büyük zorluklarından biri false positive (yanlış pozitif) riskidir. False positive, meşru bir müşterinin veya işlemin yanlışlıkla dolandırıcı olarak işaretlenip engellenmesi durumudur. Bu durum hem gelir kaybına hem de müşteri memnuniyetsizliğine neden olur.

False positive riskini minimize etmek için uygulanabilecek stratejiler şunlardır:

• Çok katmanlı doğrulama: Bir işlemi yalnızca tek bir kara liste eşleşmesine dayanarak engellemek yerine, birden fazla risk sinyalinin bir arada değerlendirilmesi tercih edilmelidir.
• Yumuşak engelleme (soft block): Doğrudan reddetmek yerine, ek doğrulama adımları (SMS doğrulama, kimlik belgesi talebi gibi) uygulanabilir.
• Risk skoru entegrasyonu: Kara liste eşleşmesi, kesin bir engelleme yerine risk skoruna katkıda bulunan bir faktör olarak kullanılabilir.
• Düzenli false positive analizi: Engellenen işlemler periyodik olarak incelenerek yanlış engelleme oranı ölçülmeli ve kara liste kuralları buna göre ayarlanmalıdır.
• Müşteri itiraz mekanizması: Engellenen müşterilere durumlarını itiraz edebilecekleri kolay ve erişilebilir bir kanal sunulmalıdır.

İdeal bir denge noktası bulmak, her işletmenin risk toleransına ve iş modeline göre farklılık gösterir. Genel kural olarak, fraud önleme ile müşteri deneyimi arasında sürekli bir denge arayışı içinde olunmalıdır.

Otomatik ve Manuel Kara Liste Ekleme

Kara listeye kayıt ekleme işlemi hem otomatik hem de manuel yöntemlerle gerçekleştirilebilir. Her iki yaklaşımın da kendine özgü avantajları ve riskleri vardır.

Otomatik Kara Liste Ekleme

Otomatik ekleme, belirli koşullar sağlandığında sistemin insan müdahalesi olmadan kara listeye kayıt eklemesidir. Yaygın tetikleyiciler şunlardır:

• Onaylanmış bir chargeback bildiriminin alınması üzerine ilgili kart numarasının otomatik eklenmesi
• Belirli bir süre içinde çok sayıda başarısız ödeme denemesi yapan IP adresinin geçici olarak engellenmesi
• Fraud tespit sisteminin yüksek güvenle dolandırıcı olarak işaretlediği varlıkların otomatik listelenmesi
• Üçüncü taraf tehdit istihbaratı kaynaklarından gelen verilerin otomatik entegrasyonu

Otomatik ekleme hız ve ölçeklenebilirlik sağlar, ancak yanlış pozitif riskini de beraberinde getirir. Bu nedenle otomatik kuralların dikkatli bir şekilde yapılandırılması ve düzenli olarak gözden geçirilmesi şarttır.

Manuel Kara Liste Ekleme

Manuel ekleme, fraud analiz uzmanlarının inceleme sonucunda bilinçli bir karar vererek kayıt eklemesidir. Bu yöntem genellikle şu durumlarda tercih edilir:

• Karmaşık dolandırıcılık vakalarının detaylı incelenmesinin ardından
• Kolluk kuvvetlerinden veya sektör ortaklarından gelen özel bildirimler üzerine
• Otomatik sistemlerin yakalayamadığı ancak insan sezgisiyle fark edilen şüpheli kalıpların tespiti sonrası

En etkili yaklaşım, otomatik ve manuel yöntemlerin birlikte kullanılmasıdır. Otomatik sistem hızlı tepki verirken, manuel inceleme derinlemesine analiz ve bağlam değerlendirmesi sağlar.

Toplu (Bulk) Kara Liste İşlemleri

Büyük ölçekli fraud olayları veya veri ihlalleri durumunda, tek tek kayıt ekleme yerine toplu kara liste işlemleri gerekebilir. Bu tür senaryolarda dikkat edilmesi gereken noktalar şunlardır:

• Veri doğrulama: Toplu ekleme öncesinde veri formatı, tutarlılık ve doğruluk kontrolleri mutlaka yapılmalıdır. Bir hatalı toplu ekleme binlerce meşru müşteriyi etkileyebilir.
• Aşamalı uygulama: Çok büyük veri setleri tek seferde değil, aşamalı olarak uygulanmalı ve her aşamada etkileri izlenmelidir.
• Geri alma yeteneği (rollback): Toplu işlemlerde her zaman hızlı bir geri alma mekanizması hazır bulundurulmalıdır. Hatalı bir toplu eklemenin etkilerini derhal geri alabilmek kritik önem taşır.
• Performans etkisi: Büyük toplu işlemler sistem performansını geçici olarak etkileyebilir. Bu nedenle düşük trafik saatlerinde gerçekleştirilmesi önerilir.
• Bildirim ve raporlama: Toplu işlemler sonrasında etkilenen kayıt sayısı, işlem süresi ve olası yan etkiler raporlanmalıdır.

Dinamik Kara Listeler: Zaman Bazlı ve Koşullu Engelleme

Geleneksel kara listeler statik yapıdadır; bir kayıt eklenir ve manuel olarak kaldırılana kadar aktif kalır. Ancak modern fraud önleme sistemleri dinamik kara listeler kullanarak çok daha esnek bir yaklaşım sunar.

Zaman Bazlı Kara Listeler

Zaman bazlı kara listelerde, bir kayıt belirli bir süre için geçici olarak engellenir ve süre dolduğunda otomatik olarak listeden çıkarılır. Bu yaklaşımın avantajları şunlardır:

• Brute-force saldırılarına karşı koruma: Çok sayıda başarısız deneme yapan bir IP adresi 24 saat süreyle geçici olarak engellenir.
• Soğuma periyodu: Şüpheli görülen ancak kesin dolandırıcı olarak nitelendirilemeyen hesaplara belirli bir bekleme süresi uygulanır.
• Otomatik liste bakımı: Geçici engeller kendiliğinden sona erdiği için kara listenin gereksiz yere büyümesi önlenir.

Koşullu Kara Listeler

Koşullu kara listelerde, engelleme belirli koşulların bir araya gelmesine bağlıdır. Örneğin:

• Bir IP adresi yalnızca belirli bir ödeme yöntemiyle birlikte kullanıldığında engellenir.
• Bir e-posta adresi yalnızca belirli bir tutarın üzerindeki işlemlerde tetiklenir.
• Bir cihaz parmak izi yalnızca yeni hesap oluşturma girişimlerinde aktif olur, mevcut hesap işlemlerinde ise devre dışı kalır.

Dinamik kara listeler, statik listelerin katılığını ortadan kaldırarak daha hassas ve bağlam duyarlı bir engelleme mekanizması sunar.

Kara Liste Paylaşımı ve Sektörel İşbirliği

Dolandırıcılar genellikle birden fazla işletmeyi hedef alır. Bu nedenle kara liste paylaşımı ve sektörel işbirliği, fraud önlemenin en güçlü silahlarından biridir. Bir işletmenin tespit ettiği dolandırıcı bilgisi, paylaşım ağındaki diğer işletmeleri de korur.

• Konsorsiyum veri tabanları: Birden fazla işletmenin fraud verilerini anonim olarak paylaştığı ortak veri tabanları, bireysel çabaların çok ötesinde bir koruma sağlar.
• Sektörel bilgi paylaşım platformları: Finans, e-ticaret ve seyahat gibi sektörlerde kurulan bilgi paylaşım ağları, güncel tehdit istihbaratının hızla yayılmasını sağlar.
• Gerçek zamanlı tehdit istihbaratı: Üçüncü taraf tehdit istihbaratı sağlayıcılarının sunduğu güncel kara listeler, kendi verilerinizi tamamlayıcı nitelikte kullanılabilir.

Kara liste paylaşımında veri gizliliği ve yasal uyumluluk büyük önem taşır. Paylaşılan verilerin anonimleştirilmesi, KVKK ve GDPR gibi düzenlemelere uygunluğun sağlanması ve paylaşım protokollerinin net bir şekilde tanımlanması gereklidir. Kişisel verilerin hukuka aykırı paylaşımı ciddi yaptırımlara yol açabilir.

Best Practice’ler ve Yaygın Hatalar

Kara liste yönetiminde başarıya ulaşmak için sektörün en iyi uygulamalarını benimsemek ve yaygın hatalardan kaçınmak büyük önem taşır.

En İyi Uygulamalar

• Katmanlı savunma stratejisi: Kara listeyi tek savunma hattınız olarak değil, çok katmanlı güvenlik mimarisinin bir bileşeni olarak konumlandırın. Risk skorlama, makine öğrenimi ve davranış analizi gibi yöntemlerle destekleyin.
• Düzenli gözden geçirme: Kara listelerinizi en az ayda bir kez gözden geçirin. Eski, güncelliğini yitirmiş veya artık gerekli olmayan kayıtları temizleyin.
• Kapsamlı loglama: Her kara liste işlemini detaylı şekilde kayıt altına alın. Kim, ne zaman, neden ekledi veya çıkardı soruları her zaman cevaplanabilir olmalıdır.
• Test ortamı kullanımı: Yeni kara liste kurallarını üretim ortamına almadan önce test ortamında doğrulayın ve olası etkilerini analiz edin.
• KPI takibi: Kara listelerin etkinliğini ölçmek için engellenen işlem sayısı, false positive oranı, fraud yakalama oranı gibi metrikleri düzenli olarak izleyin.
• Dokümantasyon: Kara liste politikalarınızı, ekleme-çıkarma kriterlerini ve eskalasyon prosedürlerinizi yazılı olarak belgelendirin.
• Çapraz kontrol: Kara listeye eklenmeden önce kaydın beyaz listede olup olmadığı kontrol edilmeli, çakışmalar için net bir öncelik sırası belirlenmelidir.

Yaygın Hatalar

• Aşırı agresif engelleme: Çok düşük eşik değerleriyle otomatik kara listeye alma, yüksek false positive oranına ve müşteri kaybına yol açar. Engelleme kriterlerinizi veriye dayalı olarak belirleyin.
• Bakımsız listeler: Kara listelerin güncellenmemesi veya temizlenmemesi, zamanla listeyi verimsiz ve şişkin hale getirir. Bu da hem performans sorunlarına hem de gereksiz engellemelere neden olur.
• Tek boyutlu yaklaşım: Yalnızca bir tür kara listeye (örneğin sadece IP) güvenmek, diğer vektörlerden gelen saldırılara karşı savunmasız bırakır.
• Geri alma planının olmaması: Toplu bir hatalı ekleme durumunda hızlı geri alma mekanizmasının bulunmaması, uzun süreli müşteri etkisine yol açar.
• Veri gizliliğini göz ardı etmek: Kara liste verilerinin yetersiz korunması veya yasal gerekliliklere uyulmaması ciddi hukuki sonuçlar doğurabilir.
• İletişim eksikliği: Fraud ekibi, müşteri hizmetleri ve teknik ekip arasında kara liste kararlarıyla ilgili yeterli bilgi akışının sağlanmaması, tutarsız müşteri deneyimine neden olur.
• Yalnızca reaktif yaklaşım: Sadece gerçekleşmiş dolandırıcılık olaylarına tepki vererek kara listeye ekleme yapmak, proaktif tehdit istihbaratından yararlanma fırsatını kaçırır.

Sonuç

Kara liste yönetimi, e-ticaret güvenliğinin ve fraud önleme stratejisinin vazgeçilmez bir unsurudur. IP adresleri, kart numaraları, e-posta adresleri, teslimat adresleri ve cihaz parmak izleri gibi çeşitli varlık türlerini kapsayan çok katmanlı bir kara liste yapısı, dolandırıcılara karşı güçlü bir savunma hattı oluşturur.

Ancak unutulmamalıdır ki en etkili kara liste bile tek başına yeterli değildir. Beyaz liste mekanizmalarıyla dengelenmeli, dinamik ve koşullu kurallarla zenginleştirilmeli, düzenli bakım ve gözden geçirme süreçleriyle güncel tutulmalıdır. False positive riskinin sürekli izlenmesi, otomatik ve manuel süreçlerin dengeli bir şekilde birlikte çalışması ve sektörel işbirliği ile kara liste yönetimi gerçek potansiyeline ulaşabilir.

Başarılı bir kara liste yönetimi, nihayetinde doğru veriyi, doğru zamanda, doğru şekilde kullanma sanatıdır. Bu dengeyi yakalayan işletmeler, hem dolandırıcılığa karşı güçlü bir kalkan oluşturabilir hem de meşru müşterilerine sorunsuz bir alışveriş deneyimi sunabilir.

Online Ödeme Sahteciliğinin Küresel Boyutu

Dijital ticaretin hızla büyümesiyle birlikte, ödeme sahteciliği küresel ölçekte ciddi bir tehdit haline gelmiştir. Uluslararası araştırmalara göre, online ödeme dolandırıcılığından kaynaklanan kayıplar yılda milyarlarca doları aşmakta ve bu rakam her geçen yıl artış göstermektedir. Özellikle pandemi sonrası dönemde e-ticarete yönelen tüketici sayısındaki patlama, dolandırıcılar için de yeni fırsat kapıları açmıştır.

Türkiye özelinde bakıldığında, e-ticaret hacminin yıldan yıla çift haneli büyüme gösterdiği bir pazarda ödeme sahteciliği vakaları da paralel bir artış sergilemektedir. Bankacılık Düzenleme ve Denetleme Kurumu (BDDK) verilerine göre, kartlı ödeme sistemlerinde tespit edilen sahtecilik girişimlerinin sayısı endişe verici seviyelere ulaşmıştır. Bu durum, hem tüketiciler hem de işletmeler açısından büyük maddi ve manevi kayıplara yol açmaktadır.

Küresel ödeme sahteciliği ekosisteminde dikkat çeken bazı veriler şunlardır:

• Kartlı işlemlerde sahtecilik oranları, özellikle kartsız (card-not-present) işlemlerde fiziksel işlemlere kıyasla çok daha yüksek seyretmektedir.
• Mobil ödeme kanalları, artan kullanım oranlarıyla birlikte dolandırıcıların yeni hedefi haline gelmiştir.
• Sınır ötesi işlemler, yerel işlemlere göre çok daha yüksek sahtecilik riski taşımaktadır.
• Küçük ve orta ölçekli işletmeler, sınırlı güvenlik altyapıları nedeniyle en savunmasız hedefler arasındadır.

Ödeme Sahteciliği Türleri

Online ödeme sahteciliği, tek bir yöntemle sınırlı değildir. Dolandırıcılar sürekli olarak yeni teknikler geliştirmekte ve mevcut güvenlik önlemlerini aşmanın yollarını aramaktadır. İşletmelerin kendilerini koruyabilmesi için öncelikle bu sahtecilik türlerini tanıması gerekmektedir.

Çalıntı Kart Kullanımı

En yaygın ödeme sahteciliği türlerinden biri, çalıntı veya ele geçirilmiş kart bilgilerinin kullanılmasıdır. Dolandırıcılar, veri ihlalleri, phishing saldırıları, kart kopyalama (skimming) cihazları veya karanlık web üzerinden satın aldıkları kart bilgileriyle online alışveriş yapar. Kart sahibi işlemi fark edip itiraz ettiğinde, ödeme iade edilir (chargeback) ve satıcı hem ürünü hem de parayı kaybeder.

Bu tür sahteciliğin belirtileri arasında şunlar yer alır:

• Kısa sürede birden fazla farklı kartla deneme yapılması
• Fatura adresi ile teslimat adresinin farklı olması
• Olağandışı yüksek tutarlı siparişler verilmesi
• Hızlı kargo seçeneğinin tercih edilmesi
• Aynı IP adresinden farklı kart bilgileriyle işlem yapılması

Account Takeover – Hesap Ele Geçirme

Account takeover yani hesap ele geçirme, dolandırıcıların meşru kullanıcıların hesaplarına yetkisiz erişim sağlamasıdır. Bu yöntemde saldırganlar; çalıntı kimlik bilgileri, sosyal mühendislik teknikleri, brute force saldırıları veya credential stuffing (farklı platformlardan sızan kullanıcı adı ve şifre kombinasyonlarının denenmesi) yöntemlerini kullanır.

Hesap ele geçirildikten sonra dolandırıcı; kayıtlı ödeme yöntemleriyle alışveriş yapabilir, hesaptaki bakiye veya puanları kullanabilir, kişisel bilgileri değiştirebilir ve hatta hesabı başka dolandırıcılara satabilir. Bu tür sahtecilik, hem müşteri güvenini sarsar hem de işletmenin itibarına ciddi zarar verir.

Triangulation Fraud – Üçgen Dolandırıcılık

Triangulation fraud, sofistike bir ödeme sahteciliği yöntemidir ve tespit edilmesi oldukça güçtür. Bu yöntemde dolandırıcı üç aşamalı bir süreç izler:

• Birinci adım: Dolandırıcı, popüler bir pazar yerinde veya sahte bir web sitesinde ürünleri piyasa değerinin çok altında fiyatlarla listeler.
• İkinci adım: Gerçek bir müşteri bu cazip fiyatlı ürünü satın alır ve ödeme bilgilerini girer.
• Üçüncü adım: Dolandırıcı, müşterinin ödeme bilgilerini kullanarak ürünü meşru bir mağazadan satın alır ve doğrudan müşteriye gönderilmesini sağlar.

Sonuç olarak müşteri ürününü alır ve bir sorun olmadığını düşünür, ancak kart bilgileri ele geçirilmiştir. Meşru mağaza ise daha sonra chargeback talebiyle karşılaşır.

Refund Fraud – İade Dolandırıcılığı

İade dolandırıcılığı, meşru iade süreçlerinin kötüye kullanılmasıdır. Dolandırıcılar ürünü aldıktan sonra hiç teslim almadıklarını iddia edebilir, kutu içine farklı veya hasarlı bir ürün koyarak iade edebilir ya da aynı işlem için birden fazla iade talebinde bulunabilir.

Bu sahtecilik türü, friendly fraud (dostça dolandırıcılık) olarak da adlandırılır çünkü genellikle gerçek müşteriler tarafından gerçekleştirilir. İşletmeler için tespit edilmesi zor olmakla birlikte, müşteri iade geçmişinin takibi ve detaylı iade prosedürleri ile önlenebilir.

Gift Card Fraud – Hediye Kartı Dolandırıcılığı

Hediye kartı dolandırıcılığı, son yıllarda hızla artan bir ödeme sahteciliği türüdür. Dolandırıcılar; çalıntı kart bilgileriyle hediye kartı satın alabilir, hediye kartlarının PIN numaralarını fiziksel mağazalarda görüntüleyip not edebilir veya sosyal mühendislik yoluyla kurbanları hediye kartı satın almaya ikna edebilir.

Hediye kartları dolandırıcılar için cazip bir araçtır çünkü takibi zordur, kolayca nakde çevrilebilir ve uluslararası işlemlerde kullanılabilir. İşletmelerin hediye kartı satış ve kullanım süreçlerinde ek güvenlik önlemleri alması büyük önem taşımaktadır.

3D Secure ve Güçlü Müşteri Doğrulama (SCA)

3D Secure, online kart ödemelerinde ek bir güvenlik katmanı sağlayan bir kimlik doğrulama protokolüdür. İlk versiyonu kullanıcı deneyimini olumsuz etkilerken, güncellenmiş versiyonları çok daha akıcı bir doğrulama süreci sunmaktadır. Güçlü Müşteri Doğrulama (Strong Customer Authentication – SCA) ise Avrupa Birliği düzenlemelerinden doğan ve online ödemelerde çok faktörlü kimlik doğrulamayı zorunlu kılan bir gereksinimdir.

SCA, ödeme doğrulama için aşağıdaki üç kategoriden en az ikisinin kullanılmasını gerektirir:

• Bilgi (Something you know): Şifre, PIN kodu veya güvenlik sorusu
• Sahiplik (Something you have): Cep telefonu, akıllı kart veya token cihazı
• Biyometri (Something you are): Parmak izi, yüz tanıma veya ses tanıma

3D Secure uygulaması, ödeme sahteciliği oranlarını önemli ölçüde azaltmakta ve chargeback riskini büyük oranda düşürmektedir. Türkiye’de faaliyet gösteren e-ticaret işletmelerinin 3D Secure altyapısını mutlaka kullanması tavsiye edilmektedir.

Ödeme Sahteciliği Göstergeleri: Kırmızı Bayraklar

Deneyimli dolandırıcılar tespit edilmekten kaçınmak için sürekli taktik değiştirseler de bazı ortak göstergeler dikkatli işletmeler tarafından fark edilebilir. İşte bir işlemin sahte olabileceğine işaret eden başlıca red flag‘ler:

• Coğrafi uyumsuzluklar: IP adresi, fatura adresi ve teslimat adresinin farklı ülkelerde veya bölgelerde olması
• Olağandışı sipariş kalıpları: Normalde düşük tutarlı alışveriş yapan bir hesabın aniden çok yüksek tutarlı sipariş vermesi
• Çoklu başarısız ödeme denemeleri: Kısa sürede birden fazla farklı kartla ödeme denemesi yapılması
• Tek kullanımlık e-posta adresleri: Geçici e-posta servisleri kullanılarak oluşturulan hesaplar
• VPN veya proxy kullanımı: Gerçek konumunu gizlemek için anonim bağlantı araçlarının kullanılması
• Hızlı kargo ısrarı: En pahalı ve en hızlı kargo seçeneğinin tercih edilmesi
• Toplu alım: Aynı üründen çok sayıda sipariş verilmesi, özellikle yeniden satılabilir elektronik ürünlerde
• İletişim bilgilerindeki tutarsızlıklar: Telefon numarası ile bölge kodu uyumsuzluğu, anlamsız isim veya adres bilgileri

Bu göstergelerden bir veya birkaçının aynı anda bulunması, işlemin daha dikkatli incelenmesi gerektiğine işaret eder. Ancak meşru müşterilerin de zaman zaman bu kalıplarla eşleşebileceği unutulmamalıdır; bu nedenle tek bir göstergeye dayanarak işlem reddetmek doğru bir yaklaşım değildir.

Çok Katmanlı Güvenlik Yaklaşımı

Tek bir güvenlik önlemi, tüm ödeme sahteciliği türlerine karşı yeterli koruma sağlayamaz. Bu nedenle e-ticaret işletmelerinin çok katmanlı bir güvenlik stratejisi benimsemesi gerekmektedir. Etkili bir çok katmanlı güvenlik yaklaşımı şu bileşenleri içermelidir:

• Ön kontrol katmanı: Adres doğrulama (AVS), kart doğrulama kodu (CVV) kontrolü ve cihaz parmak izi analizi
• İşlem anı katmanı: Gerçek zamanlı risk puanlama, hız kuralları ve 3D Secure doğrulama
• İşlem sonrası katmanı: Sipariş inceleme süreçleri, müşteri doğrulama aramaları ve teslimat takibi
• Veri analizi katmanı: Makine öğrenmesi tabanlı desen analizi, geçmiş işlem verileriyle karşılaştırma ve anomali tespiti

Bu katmanların her biri farklı sahtecilik türlerine karşı koruma sağlar ve birlikte çalıştıklarında kapsamlı bir güvenlik kalkanı oluşturur. Önemli olan, güvenlik önlemlerinin müşteri deneyimini olumsuz etkilemeden uygulanmasıdır.

Ödeme Sağlayıcı Seçiminde Dikkat Edilecekler

Doğru ödeme sağlayıcı seçimi, ödeme sahteciliği ile mücadelede kritik bir faktördür. İşletmelerin ödeme sağlayıcı seçerken değerlendirmesi gereken başlıca kriterler şunlardır:

• Fraud önleme araçları: Sağlayıcının sunduğu yerleşik dolandırıcılık tespit ve önleme araçlarının kapsamı ve etkinliği
• PCI DSS uyumluluğu: Sağlayıcının uluslararası ödeme kartı güvenlik standartlarına uygunluğu
• 3D Secure desteği: Güncel 3D Secure protokollerinin desteklenmesi
• Raporlama ve analitik: Detaylı işlem raporları, sahtecilik istatistikleri ve analiz araçları sunulması
• Chargeback yönetimi: İtiraz süreçlerinde işletmeye sağlanan destek ve otomasyon imkanları
• Tokenizasyon: Hassas kart verilerinin güvenli tokenlerle değiştirilmesi desteği
• Entegrasyon kolaylığı: Mevcut altyapıyla uyumlu ve kolay entegre edilebilir API’ler
• Yerel mevzuat uyumu: Türkiye’deki ödeme mevzuatına uygunluk ve BDDK lisansı

Ödeme sağlayıcınızın sahtecilik önleme konusundaki yaklaşımını ve geçmiş performansını mutlaka araştırın. Düşük komisyon oranları cazip görünebilir, ancak yetersiz güvenlik altyapısı uzun vadede çok daha yüksek maliyetlere yol açabilir.

PCI DSS Uyumluluğunun Önemi

PCI DSS (Payment Card Industry Data Security Standard), ödeme kartı verilerini işleyen, saklayan veya ileten tüm kuruluşların uyması gereken uluslararası güvenlik standartlarıdır. Bu standart, kart sahiplerinin verilerini korumak ve ödeme sahteciliği riskini minimize etmek amacıyla oluşturulmuştur.

PCI DSS uyumluluğu kapsamında işletmelerin yerine getirmesi gereken temel gereksinimler:

• Güvenli bir ağ altyapısı kurulması ve sürdürülmesi
• Kart sahibi verilerinin korunması ve şifrelenmesi
• Güvenlik açığı yönetim programının uygulanması
• Güçlü erişim kontrol mekanizmalarının devreye alınması
• Ağ altyapısının düzenli olarak izlenmesi ve test edilmesi
• Bilgi güvenliği politikasının oluşturulması ve uygulanması

PCI DSS uyumsuzluğu durumunda işletmeler; ağır para cezaları, kart işleme yetkisinin kaybedilmesi, veri ihlali durumunda artan sorumluluk ve müşteri güveninin sarsılması gibi ciddi sonuçlarla karşılaşabilir. Türkiye’deki e-ticaret işletmelerinin önemli bir kısmının bu konuda yeterli bilince sahip olmadığı gözlemlenmekte olup, farkındalığın artırılması büyük önem taşımaktadır.

Tokenizasyon ve Veri Güvenliği

Tokenizasyon, hassas ödeme verilerinin güvenli ve anlamı olmayan tokenlerle değiştirilmesi sürecidir. Bu yöntem, ödeme sahteciliği riskini önemli ölçüde azaltır çünkü sistemde gerçek kart numaraları yerine token değerleri saklanır. Bir veri ihlali yaşanması durumunda bile ele geçirilen tokenler dolandırıcılar için kullanışsızdır.

Tokenizasyonun işletmelere sağladığı başlıca avantajlar şunlardır:

• Veri güvenliğinin artması: Gerçek kart verileri sistemde saklanmadığı için veri ihlali riski minimize edilir
• PCI DSS uyum kolaylığı: Token kullanan sistemlerin PCI DSS denetim kapsamı daralır ve uyum maliyetleri düşer
• Tekrarlayan ödeme kolaylığı: Müşterilerin kart bilgilerini tekrar girmesine gerek kalmadan güvenli ödeme yapması sağlanır
• Çok kanallı kullanım: Aynı token, farklı satış kanallarında güvenle kullanılabilir

Tokenizasyon, şifreleme ile karıştırılmamalıdır. Şifreleme, veriyi bir anahtar ile geri dönüştürülebilir biçimde kodlarken; tokenizasyon, orijinal veri ile token arasında matematiksel bir ilişki olmaksızın tamamen rastgele bir değer atar. Bu özellik, tokenizasyonu veri güvenliği açısından güçlü bir araç haline getirmektedir.

Gerçek Zamanlı İşlem İzleme ve Puanlama

Gerçek zamanlı işlem izleme, her ödeme işlemini gerçekleştiği anda analiz ederek ödeme sahteciliği girişimlerini tespit etmeyi amaçlayan bir güvenlik mekanizmasıdır. Modern fraud önleme sistemleri, her işleme bir risk puanı atayarak otomatik karar alma sürecini destekler.

Etkili bir gerçek zamanlı izleme sistemi şu parametreleri değerlendirir:

• İşlem hızı ve sıklığı: Belirli bir süre içinde aynı kart veya hesaptan yapılan işlem sayısı
• Coğrafi konum analizi: İşlemin yapıldığı konum ile müşterinin bilinen konumu arasındaki uyum
• Cihaz bilgileri: İşlemde kullanılan cihazın türü, tarayıcısı ve daha önce kullanılıp kullanılmadığı
• Davranışsal analiz: Müşterinin site üzerindeki gezinme kalıpları, fare hareketleri ve tıklama davranışları
• Geçmiş verilerle karşılaştırma: Müşterinin önceki alışveriş alışkanlıklarıyla tutarlılık kontrolü

Risk puanlama sistemleri, her işlem için düşük, orta ve yüksek risk seviyelerinden birini belirler. Düşük riskli işlemler otomatik olarak onaylanırken, yüksek riskli işlemler reddedilir veya manuel incelemeye yönlendirilir. Orta riskli işlemler ise ek doğrulama adımlarına tabi tutulabilir. Bu yaklaşım, sahte işlemleri engellerken meşru müşterilerin alışveriş deneyimini olumsuz etkilemeyi en aza indirir.

Türkiye’de Ödeme Güvenliği Mevzuatı

Türkiye’de ödeme güvenliği, çeşitli yasal düzenlemeler ve kurumsal denetim mekanizmalarıyla sağlanmaktadır. Bu mevzuatın temelini BDDK (Bankacılık Düzenleme ve Denetleme Kurumu) düzenlemeleri ve 6493 sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkında Kanun oluşturmaktadır.

6493 Sayılı Kanun ve Kapsamı

6493 sayılı kanun, Türkiye’de ödeme hizmetleri sektörünün düzenlenmesi ve denetlenmesine ilişkin temel yasal çerçeveyi belirler. Bu kanun kapsamında:

• Ödeme kuruluşları ve elektronik para kuruluşlarının faaliyet izni ve lisanslama süreçleri düzenlenmektedir
• Ödeme hizmeti sağlayıcılarının uyması gereken güvenlik standartları belirlenmektedir
• Müşteri fonlarının korunmasına ilişkin kurallar ortaya konmaktadır
• Yetkisiz ödeme işlemlerinde sorumluluk dağılımı net biçimde tanımlanmaktadır
• Şikayet ve itiraz mekanizmaları düzenlenmektedir

BDDK’nın Rolü

BDDK, ödeme güvenliği alanında düzenleyici ve denetleyici otorite olarak kritik bir rol üstlenmektedir. Kurum; ödeme kuruluşlarına faaliyet izni verir, düzenli denetimler gerçekleştirir, güvenlik standartlarını belirler ve ihlal durumunda yaptırım uygular. BDDK ayrıca bilgi teknolojileri ve güvenlik standartlarına ilişkin tebliğler yayınlayarak sektörün güvenlik seviyesini sürekli yükseltmeyi hedeflemektedir.

İşletmelerin Yasal Yükümlülükleri

Türkiye’de online ödeme kabul eden işletmelerin yerine getirmesi gereken başlıca yasal yükümlülükler arasında şunlar yer almaktadır:

• Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında müşteri verilerinin güvenli işlenmesi ve saklanması
• BDDK düzenlemelerine uygun ödeme altyapısının kullanılması
• Elektronik ticaret mevzuatı kapsamında bilgilendirme ve şeffaflık yükümlülüklerinin yerine getirilmesi
• Şüpheli işlemlerin ilgili makamlara bildirilmesi
• Müşteri kimlik doğrulama süreçlerinin mevzuata uygun şekilde uygulanması

Sonuç: Proaktif Yaklaşım Şart

Ödeme sahteciliği, e-ticaret ekosisteminin karşı karşıya olduğu en ciddi tehditlerden biridir ve bu tehditle mücadele reaktif değil proaktif bir yaklaşım gerektirir. Dolandırıcılık yöntemleri sürekli evrim geçirirken, işletmelerin de güvenlik stratejilerini düzenli olarak gözden geçirmesi ve güncellemesi zorunludur.

Başarılı bir fraud önleme stratejisinin temel bileşenleri şunlardır:

• Çok katmanlı güvenlik altyapısının kurulması ve sürekli güncellenmesi
• Gerçek zamanlı işlem izleme ve risk puanlama sistemlerinin etkin kullanımı
• PCI DSS ve yerel mevzuata tam uyumun sağlanması
• Çalışanların ödeme güvenliği konusunda düzenli eğitilmesi
• Tokenizasyon ve şifreleme gibi veri güvenliği teknolojilerinin benimsenmesi
• Güvenilir ve güçlü altyapıya sahip ödeme sağlayıcılarla çalışılması
• Müşterilerin ödeme güvenliği konusunda bilinçlendirilmesi

Unutulmamalıdır ki ödeme sahteciliği ile mücadele, bir kerelik bir proje değil sürekli devam eden bir süreçtir. Güvenlik yatırımları kısa vadede maliyet gibi görünse de, sahtecilik kaynaklı kayıpların önlenmesi, müşteri güveninin korunması ve işletmenin sürdürülebilir büyümesi açısından vazgeçilmez bir gerekliliktir.

E-Ticarette Sahte Sipariş Sorunu: Büyüyen Bir Tehdit

Dijital ticaretin hızla büyümesiyle birlikte, sahte sipariş tespiti e-ticaret işletmeleri için en kritik güvenlik önceliklerinden biri haline geldi. Küresel ölçekte her yıl milyarlarca dolarlık kayba neden olan sahte siparişler, yalnızca finansal zarar değil; operasyonel yük, müşteri güven kaybı ve marka itibarı açısından da ciddi tehditler oluşturuyor.

Araştırmalar, online işlemlerin yaklaşık yüzde 1 ila 3’ünün sahte olduğunu gösteriyor. Bu oran küçük görünse de yüksek hacimli bir e-ticaret sitesi için yılda yüz binlerce, hatta milyonlarca liralık kayıp anlamına gelebilir. Üstelik her başarılı sahte sipariş, yalnızca ürün kaybı değil; kargo maliyeti, iade süreci, chargeback cezaları ve müşteri hizmetleri yükü gibi zincirleme maliyetler doğurur.

Peki e-ticaret işletmeleri bu tehdide karşı nasıl korunabilir? İşte sahte siparişleri tespit etmenin 7 etkili yolu ve her birinin pratikte nasıl işlediğine dair detaylar.

1. Risk Skorlama ve İşlem Puanlama

Nedir ve Nasıl Çalışır?

Risk skorlama, bir siparişin sahte olma olasılığını sayısal bir puan ile ifade eden sistemdir. Her işlem, onlarca hatta yüzlerce farklı parametre üzerinden değerlendirilerek 0 ile 100 arasında bir risk skoru alır. Skor ne kadar yüksekse, işlemin sahte olma ihtimali o kadar fazladır.

Bu puanlama sürecinde genellikle şu faktörler dikkate alınır:

• Sipariş tutarı: Ortalama sipariş değerinin çok üzerindeki işlemler daha yüksek risk taşır.
• Ürün kategorisi: Elektronik, hediye kartı gibi kolay nakde çevrilebilir ürünler daha risklidir.
• Müşteri geçmişi: İlk kez alışveriş yapan kullanıcılar ile sadık müşteriler farklı değerlendirilir.
• Coğrafi tutarsızlıklar: IP adresi ile teslimat adresinin farklı ülkelerde olması risk artırır.
• Zaman faktörü: Gece geç saatlerde yapılan yüksek tutarlı siparişler ek inceleme gerektirebilir.

Gerçek Dünya Örneği

Bir online elektronik mağazası, yeni bir müşteriden gece 03:00’te gelen, ortalama sipariş değerinin 5 katı tutarında, hızlandırılmış kargo seçeneğiyle verilen bir sipariş alır. Risk skorlama sistemi bu siparişe 85/100 gibi yüksek bir risk puanı atar ve sipariş otomatik olarak manuel inceleme kuyruğuna yönlendirilir. İnceleme sonucunda, kullanılan kredi kartının çalıntı olduğu tespit edilir ve sipariş iptal edilerek büyük bir kayıp önlenir.

2. Adres Doğrulama (AVS) ve Adres Tutarsızlıkları

Nedir ve Nasıl Çalışır?

Adres Doğrulama Sistemi (AVS), müşterinin ödeme sırasında girdiği fatura adresini, kredi kartı sahibinin bankada kayıtlı adresiyle karşılaştırır. Eşleşme durumuna göre farklı yanıt kodları üretilir ve bu kodlar sipariş kabul kararında önemli bir rol oynar.

AVS kontrolünün ötesinde, adres tutarsızlıkları analizi de kritik bir tespit yöntemidir:

• Fatura ve teslimat adresi farklılığı: Farklı şehir veya ülkelerde olmaları uyarı sinyalidir.
• Teslimat adresinin kargo depoları veya boş araziler olması: Dolandırıcılar genellikle anonim teslimat noktaları kullanır.
• Aynı adrese farklı kartlardan siparişler: Tek bir adrese çok sayıda farklı kartla sipariş gelmesi şüphelidir.
• Adres formatı anormallikleri: Var olmayan posta kodları, tutarsız il-ilçe kombinasyonları dikkat çekmelidir.

Gerçek Dünya Örneği

Bir giyim e-ticaret sitesine aynı gün içinde 8 farklı kredi kartıyla sipariş gelir ve hepsinin teslimat adresi aynı apartman dairesidir. AVS kontrolünde kartların hiçbirinin fatura adresi bu teslimat adresiyle eşleşmez. Sistem bu tutarsızlığı otomatik olarak algılar, siparişleri bekletmeye alır ve inceleme sonucunda kartların tamamının farklı kişilere ait çalıntı kartlar olduğu ortaya çıkar.

3. Velocity Kontrolleri

Nedir ve Nasıl Çalışır?

Velocity kontrolleri, belirli bir zaman diliminde gerçekleşen işlem sayısını ve sıklığını izleyerek anormal kalıpları tespit eden mekanizmalardır. Normal bir müşterinin alışveriş davranışı belirli bir ritimde ilerlerken, dolandırıcılar genellikle çalıntı bilgileri mümkün olan en kısa sürede kullanmaya çalışır. Bu da belirgin hız anormallikleri yaratır.

Velocity kontrollerinde izlenen temel metrikler şunlardır:

• Aynı IP adresinden kısa sürede çok fazla işlem: Tek bir IP’den 10 dakika içinde 15 farklı sipariş denemesi kuvvetli bir sahtecilik göstergesidir.
• Aynı kartla çok sayıda başarısız deneme: Art arda reddedilen kart işlemleri, çalıntı kart bilgileriyle deneme-yanılma yapıldığına işaret eder.
• Aynı cihazdan farklı kartlarla işlemler: Tek bir cihazda 1 saat içinde 5 farklı kart denenmesi normalin çok dışındadır.
• Yeni hesapla hızlı yüksek tutarlı sipariş: Hesap açtıktan saniyeler içinde büyük tutarlı sipariş vermek dolandırıcılara özgü bir davranıştır.

Gerçek Dünya Örneği

Bir kozmetik e-ticaret sitesinde, aynı IP adresinden 5 dakika içinde 12 farklı hesapla sipariş verilmeye çalışılır. Her siparişte farklı bir kredi kartı kullanılır ve tümü yüksek tutarlıdır. Velocity kontrol sistemi, IP başına dakikada maksimum 2 işlem kuralını devreye sokar ve 3. siparişten itibaren tüm işlemleri otomatik olarak bloklar. Sonradan yapılan analiz, söz konusu IP adresinin bilinen bir VPN çıkış noktası olduğunu ve kartların dark web’den satın alınmış çalıntı kart bilgileri olduğunu ortaya koyar.

4. Cihaz Parmak İzi (Device Fingerprinting) ile Tanıma

Nedir ve Nasıl Çalışır?

Cihaz parmak izi, bir kullanıcının cihazına ait teknik özellikleri toplayarak benzersiz bir kimlik oluşturma yöntemidir. Çerezler silinebilir, IP adresleri VPN ile değiştirilebilir; ancak bir cihazın donanım ve yazılım kombinasyonu büyük ölçüde benzersizdir ve değiştirilmesi çok zordur.

Cihaz parmak izi oluştururken kullanılan bazı parametreler:

• Tarayıcı türü ve versiyonu
• İşletim sistemi ve dil ayarları
• Ekran çözünürlüğü ve renk derinliği
• Yüklü fontlar ve eklentiler
• Zaman dilimi ve saat ayarları
• Donanım özellikleri (işlemci çekirdek sayısı, bellek miktarı)
• WebGL ve Canvas render özellikleri

Bu parametrelerin kombinasyonu, cihazı yüksek doğrulukla tanımlayan bir parmak izi oluşturur. Dolandırıcı farklı hesaplar açsa, farklı e-postalar kullansa, hatta IP adresini değiştirse bile aynı cihazdan geldiği tespit edilebilir.

Gerçek Dünya Örneği

Bir elektronik eşya mağazasında, son 48 saat içinde 20 farklı hesapla sipariş verilir. Hesapların hepsi farklı isim, e-posta ve kredi kartı bilgileri kullanmaktadır. Ancak cihaz parmak izi analizi, tüm bu siparişlerin aynı fiziksel cihazdan geldiğini ortaya koyar. Sistem bu ilişkiyi tespit ederek tüm siparişleri durdurur ve hesapları işaretler. Yapılan incelemede, bir dolandırıcılık çetesinin tek bir bilgisayardan çok sayıda sahte kimlikle sipariş vermeye çalıştığı anlaşılır.

5. E-posta ve Telefon Doğrulama

Nedir ve Nasıl Çalışır?

Dolandırıcılar işlemlerini gizlemek için genellikle tek kullanımlık (disposable) e-posta adresleri ve sanal telefon numaraları kullanır. E-posta ve telefon doğrulama mekanizmaları, bu tür geçici ve sahte iletişim bilgilerini tespit ederek işlem riskini değerlendirir.

E-posta doğrulamada kontrol edilen unsurlar:

• Disposable e-posta servisleri: Tempmail, Guerrillamail gibi tek kullanımlık e-posta sağlayıcılarından gelen adresler yüksek risk taşır.
• E-posta yaşı ve itibarı: Yeni oluşturulmuş, hiçbir dijital izi olmayan e-postalar şüphelidir.
• E-posta formatı: Rastgele karakter dizilerinden oluşan adresler ([email protected] gibi) genellikle otomatik üretilmiştir.
• Domain kontrolü: E-posta domaininin gerçek bir posta sunucusu olup olmadığı doğrulanır.

Telefon doğrulamada ise şunlar kontrol edilir:

• Sanal numara tespiti: VoIP tabanlı geçici numaralar tanımlanır.
• Numara ile ülke eşleşmesi: Sipariş adresindeki ülke ile telefon numarasının ülke kodu karşılaştırılır.
• SMS doğrulama: Gerçek bir telefona erişimi olan kullanıcılar SMS ile doğrulanır.

Gerçek Dünya Örneği

Bir online market, yüksek tutarlı bir sipariş alır. Müşteri bilgileri ilk bakışta normal görünse de e-posta doğrulama sistemi, kullanılan e-posta adresinin sadece 15 dakika önce oluşturulmuş bir tek kullanımlık e-posta servisi olduğunu tespit eder. Ayrıca verilen telefon numarasının bir VoIP sanal numara olduğu belirlenir. Bu iki bulgu birlikte değerlendirildiğinde sipariş otomatik olarak reddedilir. Daha sonra aynı kredi kartıyla başka sitelerde de sahte sipariş girişimlerinin yapıldığı öğrenilir.

6. Davranış Analizi

Nedir ve Nasıl Çalışır?

Davranış analizi, kullanıcının web sitesindeki etkileşim biçimini inceleyerek gerçek bir müşteri mi yoksa dolandırıcı mı olduğunu anlamaya çalışan ileri düzey bir tespit yöntemidir. Gerçek müşteriler ile dolandırıcılar, site üzerinde temelden farklı davranış kalıpları sergiler. Bu farklar, gelişmiş analiz teknikleriyle tespit edilebilir.

Davranış analizinde izlenen temel metrikler:

• Mouse hareketleri: Gerçek kullanıcılar fareyi organik ve düzensiz hareket ettirir. Bot yazılımları ise doğrusal, mekanik hareketler üretir. Ayrıca dolandırıcılar genellikle ürün sayfalarını hızla geçerek doğrudan ödeme sayfasına yönelir.
• Oturum süresi: Normal bir müşteri ürünleri inceler, karşılaştırır, sepete ekler ve düşünür. Dolandırıcı ise genellikle olağanüstü kısa sürede yüksek tutarlı bir sipariş tamamlar; site içerisinde saniyeler içinde ödeme adımına geçer.
• Sayfa gezinme kalıpları: Meşru alıcılar ürün detaylarını, yorumları ve kargo bilgilerini inceler. Dolandırıcılar çoğunlukla yalnızca ödeme sayfasıyla ilgilenir.
• Form doldurma hızı: Kopyala-yapıştır ile anormal hızda doldurulan formlar, çalıntı bilgilerin kullanıldığına işaret edebilir.
• Klavye dinamikleri: Tuşlara basış hızı ve ritmi kişiye özgüdür. Otomatik araçlarla yapılan girişler farklı bir örüntü üretir.

Gerçek Dünya Örneği

Bir lüks aksesuar e-ticaret sitesinde, bir kullanıcı siteye giriş yapar ve hiçbir ürün sayfasını ziyaret etmeden doğrudan sepet sayfasının URL’sine gider. 4 saniye içinde en pahalı 3 ürünü sepete ekler ve ödeme formunu 8 saniyede tamamlar; tüm bilgiler kopyala-yapıştır ile girilmiştir. Davranış analizi sistemi bu kullanıcının oturum süresinin ortalama müşterinin yüzde 2’si kadar olduğunu, hiçbir ürün sayfasını ziyaret etmediğini ve form doldurma hızının insani sınırların ötesinde olduğunu tespit eder. İşlem otomatik olarak manuel incelemeye yönlendirilir.

7. Graf Analizi ile İlişki Ağı Tespiti

Nedir ve Nasıl Çalışır?

Graf analizi, sahte sipariş tespit yöntemleri arasında en gelişmiş ve en güçlü olanlardan biridir. Bu yöntem, farklı siparişler, hesaplar ve işlemler arasındaki gizli ilişkileri ortaya çıkarmak için veri noktalarını bir ağ (graf) yapısında modelleyerek analiz eder.

Bir e-ticaret ekosisteminde her sipariş, birçok veri noktasıyla ilişkilidir: IP adresi, cihaz parmak izi, teslimat adresi, e-posta, telefon numarası, ödeme yöntemi ve daha fazlası. Graf analizi, bu veri noktalarını düğümler ve ilişkileri de kenarlar olarak modelleyerek normalde fark edilmesi imkânsız bağlantıları görünür kılar.

Graf analizinin tespit edebildiği ilişki kalıpları:

• Aynı cihaz, farklı hesaplar: Tek bir cihaz parmak izinin 50 farklı hesapla ilişkilendirilmesi bir dolandırıcılık ağını işaret eder.
• Aynı IP, farklı kimlikler: Aynı IP adresinden onlarca farklı isim ve kartla yapılan işlemler kümelenir.
• Paylaşılan adresler: Görünürde bağımsız hesapların aslında aynı teslimat adresini kullanması birbirine bağlanır.
• Çapraz referans ilişkileri: A hesabının e-postası B hesabının telefonu ile eşleşiyor, B hesabının adresi C hesabının önceki siparişindeki adresle aynı gibi karmaşık zincirler ortaya çıkarılır.
• Topluluk tespiti: Graf algoritmaları, birbiriyle yoğun bağlantılı düğüm kümeleri olan toplulukları otomatik olarak algılar ve bu topluluklar genellikle organize dolandırıcılık gruplarına karşılık gelir.

Gerçek Dünya Örneği

Bir büyük e-ticaret platformunda, ayrı ayrı bakıldığında normal görünen 150 sipariş, graf analizi ile incelendiğinde hepsinin birbiriyle bağlantılı olduğu ortaya çıkar. Bu siparişler 80 farklı hesap tarafından verilmiştir; ancak graf analizi, tüm bu hesapların yalnızca 3 cihaz, 5 IP adresi ve 7 teslimat adresi etrafında kümelendiğini gösterir. Ayrıca bazı hesapların e-posta adresleri, diğer hesapların iletişim telefon numaralarıyla eşleşmektedir. Tek başına hiçbir kural bu ilişkiyi yakalayamazken, graf analizi tüm ağı bir bütün olarak görür ve organize dolandırıcılık operasyonunu ortaya çıkarır.

Çok Katmanlı Yaklaşımın Önemi

Yukarıda açıklanan 7 yöntemin her biri kendi başına değerli bilgiler sunar; ancak sahte sipariş tespitinde gerçek etkinlik, bu yöntemlerin birlikte ve koordineli bir şekilde kullanılmasıyla elde edilir. Buna çok katmanlı güvenlik yaklaşımı denir ve modern fraud önleme stratejilerinin temelini oluşturur.

Tek bir yönteme güvenmek neden yeterli değildir?

• Dolandırıcılar uyum sağlar: Yalnızca AVS kontrolü uygularsanız, dolandırıcılar kart sahibinin adresini kullanmaya başlar. Yalnızca IP kontrolü yaparsanız, VPN kullanırlar. Tek katmanlı savunma her zaman aşılabilir.
• Yanlış pozitif riski: Tek bir sinyal üzerine karar vermek, meşru müşterileri gereksiz yere engelleyebilir. Örneğin VPN kullanan her müşteri dolandırıcı değildir. Çok katmanlı analiz bu riski minimize eder.
• Bağlamsal değerlendirme: Düşük risk skorlu bir sipariş, tek kullanımlık e-posta ve anormal davranış kalıbıyla birleştiğinde ciddi bir tehdit haline gelebilir. Yöntemler birbirini tamamlar ve bütüncül bir resim oluşturur.

Etkili bir çok katmanlı strateji şu şekilde çalışır: İlk aşamada velocity kontrolleri ve e-posta doğrulama gibi hızlı ve düşük maliyetli kontroller yapılır. İkinci aşamada risk skorlama ve AVS gibi orta seviye analizler devreye girer. Üçüncü aşamada cihaz parmak izi ve davranış analizi ile derinlemesine inceleme gerçekleştirilir. Son aşamada ise graf analizi ile tüm veriler bir araya getirilerek geniş çaplı ilişki ağları ortaya çıkarılır.

İşletmeler İçin Aksiyon Listesi

Sahte sipariş tespit yeteneklerinizi güçlendirmek ve e-ticaret operasyonunuzu koruma altına almak için aşağıdaki adımları değerlendirin:

• Mevcut durumunuzu analiz edin: Şu an hangi tespit yöntemlerini kullanıyorsunuz? Hangi alanlarda boşluk var? Son 6 ayda kaç sahte sipariş tespit edildi ve kaçı kaçırıldı?
• Risk skorlama sistemi kurun: Henüz bir risk skorlama mekanizmanız yoksa, bu en temel ve en etkili ilk adımdır. Sipariş parametrelerini puanlayan basit bir kural seti bile ciddi fark yaratabilir.
• AVS kontrolünü aktifleştirin: Ödeme altyapınızın sunduğu adres doğrulama özelliklerini mutlaka etkinleştirin ve AVS yanıt kodlarına göre otomatik kurallar tanımlayın.
• Velocity limitleri belirleyin: IP başına, cihaz başına ve hesap başına saatlik ve günlük işlem limitleri tanımlayın. Aşım durumunda otomatik bloklama veya inceleme mekanizması oluşturun.
• Disposable e-posta filtreleme ekleyin: Tek kullanımlık e-posta servislerinin güncel listesini kullanarak kayıt ve sipariş aşamasında filtreleme yapın.
• Manuel inceleme sürecinizi optimize edin: Otomatik sistemlerin işaretlediği siparişler için etkili bir manuel inceleme süreci oluşturun. İnceleme ekibinize net kriterler ve yetkilendirmeler tanımlayın.
• Verileri birleştirin: Farklı kaynaklardan gelen sinyalleri tek bir panelde bir araya getirin. İzole veri siloları yerine entegre bir görünüm, çok daha etkili kararlar almanızı sağlar.
• Düzenli olarak kurallarınızı güncelleyin: Dolandırıcılık taktikleri sürekli değişir. Tespit kurallarınızı en az ayda bir gözden geçirin ve yeni tehditlere göre güncelleyin.
• Ekibinizi eğitin: Müşteri hizmetleri, operasyon ve finans ekiplerinize sahte sipariş belirtileri konusunda düzenli eğitimler verin.
• Performansı ölçün: Tespit oranı, yanlış pozitif oranı ve ortalama tespit süresi gibi metrikleri düzenli olarak takip ederek sisteminizin etkinliğini değerlendirin.

Sonuç

E-ticarette sahte sipariş tespiti, tek seferlik bir proje değil; sürekli gelişen ve evrim geçiren bir süreçtir. Dolandırıcılar yöntemlerini sürekli güncelerken, işletmelerin de savunma mekanizmalarını aynı hızla geliştirmesi gerekir.

Risk skorlama, adres doğrulama, velocity kontrolleri, cihaz parmak izi, e-posta ve telefon doğrulama, davranış analizi ve graf analizi; bu 7 yöntem bir arada kullanıldığında güçlü ve kapsamlı bir koruma kalkanı oluşturur. Önemli olan, bu yöntemleri birbirinden bağımsız değil, birbirini destekleyen entegre bir sistem olarak uygulamaktır.

Unutmayın: En iyi fraud önleme stratejisi, müşteri deneyimini bozmadan sahte işlemleri durdurabilen dengeli bir yaklaşımdır. Meşru müşterilerinizi rahatsız etmeden dolandırıcıları etkili bir şekilde engellemek, modern e-ticaretin en kritik başarı faktörlerinden biridir.