E-ticarette Fraud (Dolandırıcılık) Nedir ve Neden Önemlidir?

E-ticarette ‘fraud’, yani ‘dolandırıcılık’, çevrimiçi alışveriş süreçlerinde hileli yöntemlerle haksız kazanç elde etmeye yönelik tüm kötü niyetli faaliyetleri ifade eder. Söz konusu faaliyetler kapsamında kart sahtekarlığı, kimlik hırsızlığı, sahte ödeme, hesap ele geçirme, sahte sipariş, iade suistimali, kullanıcı bilgilerinin çalınması gibi davranışlar sayılabilir. Fraud, işletmeleri ve tüketicileri maddi, manevi zarara uğratma, işletmelerin gelirini, itibarını ve müşteri güvenini tehdit etme gibi ciddi riskleri beraberinde getirir. Peki, e-ticarette dolandırıcılık neden bu kadar önemli?

Çünkü fraud; chargeback ücretlerine, kayıp ürünlere, müşteri kaybına sebep olarak maddi kayıplara yol açar. Müşteri memnuniyeti penceresinden bakıldığında; marka itibarı zedelenebilirken, dolandırıcılık yaşayan bir e-ticaret platformuna güven duymak zorlaşır. Dolandırıcılığın tespit edilememesiyle gelen yasal sorumluluklar, riskli işletme kategorisine alınma, güvenlik maliyetlerinin artması gibi sorunların doğması da cabası. Tüm bu riskler sebebiyle; güçlü doğrulama, yapay zeka destekli fraud tespit sistemleri, güvenli ödeme altyapıları gibi önlemler almak işletmeler için oldukça önemlidir.

Sanal POS Sistemlerinde Hangi Güvenlik Katmanları Bulunur?

Sanal POS (Virtual POS) sistemlerinin çok katmanlı koruma mekanizmaları; kart bilgilerinin korunmasını ve sahte işlemlerin engellenmesini sağlar. Sanal POS sistemlerinde kullanılan başlıca güvenlik katmanlarını listeleyelim ve her bir öğeyi detaylandıralım:

• SSL/TLS Şifreleme: Müşterinin kart bilgileri iletilirken üçüncü şahıslar tarafından okunmasını engelleyen en yaygın veri şifreleme teknolojileri arasındadır. Bu aksiyonda, ödeme sayfası mutlaka https:// ile başlar ve iletişim şifreli yapılır.
• 3D Secure Doğrulama: 3D güvenlik, dolandırıcılık riskini önemli ölçüde azaltır. Kullanıcının bankasına özel doğrulama (tek kullanımlık şifre, SMS, mobil onay) isteyen bir sanal pos güvenliği adımıdır.
• Tokenization: Token, dijital dünyada bir veriyi, nesneyi veya kimliği temsil eden özel bir değerdir. Gerçek bilgiyi doğrudan göstermeden onu ifade eden güvenli bir eşdeğer veri olarak tanımlanabilir. 
• PCI DSS Uyumluluğu: Uluslararası Payment Card Industry Data Security Standard gerekliliklerine uyum anlamına gelir. Şifreleme, erişim yönetimi, ağ güvenliği, kart verisi koruması gibi kuralları içerir.
• Fraud Tespit ve Önleme Katmanları: IP kontrolü, lokasyon uyumsuzluğu, kart sahibinin davranış analizi, kısa sürede çok işlem denemesi anlamına gelen ‘velocity check’, kara liste – beyaz liste ve risk skorlaması bu katmanlar kapsamına girer.
• CVV / CVC Doğrulaması: Güvenli online alışveriş için kartın arka yüzünde yazan güvenlik kodunun girilmesini zorunlu kılar.

3D Secure ve Diğer Kimlik Doğrulama Yöntemleri Nasıl Çalışır?

3D Secure, online kart ödemelerinde kimlik doğrulama işleminin gerçekleşmesini sağlayan ek bir güvenlik protokolüdür. 3D Secure’ün çalışma adımlarını teknik detaylarıyla şöyle listeleyebiliriz:

• Müşteri ödeme sayfasına kart üzerinde yazan hesap bilgilerini girer.
• Bankanın 3D Secure sistemi otomatik olarak devreye girer.
• Kimlik doğrulama aşaması açılır. Banka, genellikle tek kullanımlık şifre içeren SMS gönderimi ile müşteriye doğrulama seçeneği sunar.
• Müşteri doğrulamayı tamamlar.
• Banka işlemi onaylar ve ödeme gerçekleşir.

3D secure haricindeki diğer doğrulama yöntemlerine göz atalım:

• OTP (One-Time Password/Tek Kullanımlık Şifre): Her işlem için tek kullanımlık şifre verilir.
• Biyometrik doğrulama: Kullanıcının parmak izi, yüz, retina gibi fiziki özellikleriyle doğrulama yapılır.
• Mobil Onay (Push Notification): Banka uygulamasının telefona gönderdiği ‘Bu işlemi siz mi yapıyorsunuz?’ onayına gelen yanıttan sonra işlem tamamlanır.
• Password / PIN Doğrulama: Kullanıcının şifre girerek gerçekleştirdiği en eski doğrulama sistemlerinden birisidir.
• CVC / CVV Doğrulaması: Kredi kartı veya banka hesap kartının arka yüzündeki 3 haneli güvenlik kodunun girilmesi istenir.
• Risk Bazlı (Pasif) Kimlik Doğrulama: 3DS 2.0 ile gelen gelişmiş bir yöntemdir. Yapılan kontroller neticesinde güvenlik açısından risk söz konusuysa kullanıcıya doğrulama ekranı gösterilmez.

Sanal POS’ta Risk Skorlama ve Fraud Tespiti Nasıl Yapılır? 

Sanal POS sistemlerinde risk skorlama ve fraud tespiti, ödeme işlemlerinin otomatik olarak analiz edilmesi ve riskli davranışların belirlenmesi üzerine kuruludur. Amaç; gerçek müşteriyi sorunsuz geçirmek, sahte işlemleri ise gerçekleşmeden durdurmaktır. Her bir ödeme işlemi çeşitli kriterlere göre değerlendirilir ve otomatik olarak sistem tarafından bir risk puanı verilir. Skor yükseldikçe risk artışına bağlı işlem engellenir, manuel incelemeye tabi tutulur veya ek doğrulama istenir. Peki Fraud tespiti nasıl yapılır? Antifraud sistemleri işlemi birkaç yönden inceler:

• Velocity Check (Hız Kontrolü): Kısa sürede çok fazla işlem denemesi yapılıp yapılmadığı kontrol edilir. Eğer normalden fazla sayıda ödeme denemesi tespit edilirse, bot veya çalıntı kart ihtimali gündeme gelir.
• IP ve lokasyon Kontrolü: Sistem, kullanıcının IP adresini, ükesini, şehrini, Proxy veya VPN kullanıp kullanmadığını kontrol eder. Türkiye kartı ile başka bir ülke IP’sinden ödeme yapılması yüksek risk demektir.
• Kart davranış analizi: Kartın harcama tutar ortalaması, işlem saatleri, bir günde yapılan ödeme sayısı gibi kullanım alışkanlıkları incelenir. Örneğin; eğer bir kart ile normalde günlük 200 TL harcanırken bir anda 15.000 TL’lik ödeme denemesi yapıldığı tespit edilirse, şüpheli işlem ihtimali gündeme gelir.
• 3D Secure zorunluluğu: Riskin yüksek olduğu aksiyonlarda sistem müşteriyi 3D Secure uygulamasına yönlendirir, ki buna ‘adaptive authentication’ denir. Risk düşükse, 3D’ye gerek kalmadan işlem sorunsuz tamamlanır, ki buna da ‘frictionless flow’ denir.
• PayTR gibi gelişmiş POS sağlayıcıları, fraud tespitini yapay zeka ile güçlendirmek için binlerce geçmiş işlem, gerçek fraud girişimleri, kullanıcı davranışları ve global risk verilerini baz alır.

E-ticaret İşletmeleri için Dolandırıcılık Önleme Stratejileri Nelerdir? 

E-ticaret işletmelerinde dolandırıcılığı önlemek; gelir kaybını azaltmak ve müşteri güvenini korumak için kritik öneme sahiptir. Aşağıda en etkili fraud önleme stratejilerini kapsamlı şekilde listeledik:

• Çok katmanlı güvenlik yapısı kurmak.
• Risk skorlama ve fraud tespit sistemleri kurmak.
• 3D Secure ve ek doğrulama yöntemleri kullanmak.
• Kara liste ve beyaz liste yönetimi oluşturmak.
• Sipariş doğrulama ve inceleme süreçlerini yönetmek.
• Adres doğrulama ve teslimat kontrollerini yapmak.
• Lojistik ve iade dolandırıcılığına karşı önlemler almak
• Sürekli raporlama yapmak ve analizleri değerlendirmek.
• Fraud test saldırılarına karşı önlem almak.

Mobil Ödeme Sistemlerinde Güvenlik Nasıl Sağlanır? 

Mobil ödeme sistemlerinde güvenlik, hem kullanıcının cihazını hem de ödeme altyapısını korumaya yönelik yaklaşımlarla sağlanır. Bu sistemlerde ilk savunma hattını, biyometrik doğrulama yöntemleri oluşturur. Parmak izi, yüz tanıma, retina tarama gibi yöntemler sayesinde cihaz ele geçirilse bile ödeme işlemi kullanıcı doğrulaması olmadan yapılamaz. Kart bilgilerinin gerçek numaralar yerine token ile işlenmesi, cihazda ve sunucu tarafında hassas verilerin saklanmasını gereksiz hale getirir.

Mobil ödemelerde veri aktarımı tamamen TLS/SSL ile şifrelenir, böylece işlem esnasında verinin ele geçirilmesi engellenir. Yapay zeka ve davranış analizi kullanılarak şüpheli aktiviteler anlık olarak tespit edilir; alışılmadık lokasyonlar, VPN kullanımı, cihaz değişiklikleri veya başarısız işlem denemeleri gibi durumlarda sistem uyarılır. Kullanıcı tarafında ise cihaz kilidi kullanımı, zararlı yazılım koruması, uygulama izinlerinin doğru yönetilmesi güvenliği güçlendiren önemli faktörlerdir. Günün sonunda, mobil ödeme çözümleri kullanıcıların ve işletmelerin güvenliğini sağlayarak dolandırıcılık riskini önemli ölçüde azaltır.

Fraud Önlemede Başarılı Vaka Çalışmaları Nelerdir?

Boyner Group 2023 yılında web sitesi ve mobil uygulamasından elde edilen 90 günlük gerçek sipariş verisini kullanarak farklı makine öğrenimi yöntemlerini test etti. Kullanıcıların sepet oluşturma alışkanlıklarından son 24 saatteki sipariş denemelerine, iadelerden ödeme yöntemine kadar pek çok eylem sürece dahil edildi. Sonuçta; makine öğrenimi modelleri, normal ve şüpheli işlemler arasında yüksek doğrulukla ayrım yapmayı başardı. Çalışma, e-ticarette fraud tespitinin yalnızca basit kurallarla değil; çok boyutlu, veri odaklı, ölçeklenebilir yaklaşımlarla daha güvenilir hâle geldiğini ortaya koymuş oldu. Kısacası Boyner örneği, gerçek sipariş verisi ile makine öğreniminin birleştiğinde fraud önlemede ne kadar güçlü bir araç olduğunu kanıtladı.

Amazon’un yayımladığı yıllık Brand Protection Report ise, e-ticaret dünyasındaki dolandırıcılık vakalarının çeşitliliğine vurgu yapacak türden sonuçlarıyla dikkat çekti. 2023 yılında platformda tam 700 milyonun üzerinde sahte ürün listelemesi engellendi. Şirket, sahte satıcıları daha ilk adımda tespit edebilmek için yapay zeka destekli satıcı doğrulama sistemlerini devreye aldı. Görüntü analitiği, belge inceleme teknolojileri ve davranışsal sinyaller sürece dahil edildi. Gelişmiş doğrulama mekanizması sayesinde sahte hesap açma girişimleri %30’dan fazla azaldı. Amazon’un yaklaşımı, e-ticarette fraud ile mücadelede sadece ödeme adımına odaklanmanın yeterli olmadığını gösterdi. Gerçek başarının; hesap, satıcı, ürün, iade ve hatta kullanıcı yorumları gibi tüm alanları kapsayan uçtan uca bir koruma stratejisi ile mümkün olacağının altını çizmiş oldu.

Sıkça Sorulan Sorular 

Sanal POS sisteminde en sık karşılaşılan dolandırıcılık türleri nelerdir?

Çalıntı veya sahte kartla ödeme denemeleri, kart test saldırıları, hesap ele geçirme girişimleri ve sahte iade suistimalleri, sanal POS sistemlerinde en çok karşılaşılan dolandırıcılık türleridir.

Küçük bir e-ticaret işletmesi olarak uygun maliyetli fraud önleme yöntemleri nelerdir?

3D Secure kullanımı, IP ve lokasyon kontrolleri, temel velocity filtreleri, yeni hesapları izlemek, yüksek tutarlı siparişleri kontrolle doğrulamak ve düzenli raporlama yapmak düşük maliyetle yüksek koruma sağlar.

3D Secure ve 3D Secure 2.0 arasındaki farklar nelerdir?

3D Secure 1.0, kullanıcıyı çoğunlukla SMS veya şifreyle doğrulayan bir yapıya sahipken, 3D Secure 2.0 daha hızlı ve sorunsuz bir deneyim için biyometrik onay, uygulama içi doğrulama gibi gelişmiş yöntemler sunar. 3DS 2.0, çok daha kapsamlı veri analizleriyle fraud tespitini güçlendirir.

Sanal POS entegrasyonunda dikkat edilmesi gereken güvenlik önlemleri nelerdir?

Sanal POS entegrasyonunda güvenliği sağlamak için API anahtarlarının gizli tutulması, SSL/TLS ile şifreli bağlantı kullanılması, kart bilgilerinin sunucuda saklanmaması, PCI DSS uyumluluğuna dikkat etmek, 3D Secure’i devreye almak ve düzenli güvenlik testleri yapmak kritik önem taşır.

Dolandırıcılık şüphesi olan bir işlem tespit edildiğinde nasıl bir yol izlenmelidir?

Böyle bir durumda işlem hemen durdurulmalı, ek doğrulama adımları uygulanmalı, gerekirse doğrulama için müşteriyle iletişime geçilmelidir. Risk devam ediyorsa sipariş manuel incelemeye alınmalı ve ödeme sağlayıcısına bildirilerek olası kayıpların önüne geçilmelidir.

Yapay zeka destekli fraud önleme sistemleri nasıl çalışır?

AI destekli fraud önleme sistemleri kullanıcı davranışlarını, işlem alışkanlıklarını, cihaz bilgilerini ve risk unsurlarını analiz ederek şüpheli aktiviteleri tespit eder. Analiz sonucunda her işleme bir risk skoru atanır ve yüksek riskli işlemler otomatik olarak engellenir, ek doğrulamaya yönlendirilir veya manuel incelemeye düşürülür.

PCI DSS uyumluluğu neden önemlidir ve nasıl sağlanır?

PCI DSS uyumluluğu, kredi kartı bilgilerinin güvenliğini sağlayarak veri ihlallerini önlemek ve müşterilerin güvenini korumak için çok önemlidir. Uyumluluk, güvenli ağ altyapısı, kart verilerinin şifrelenmesi, erişim kontrolleri ve düzenli güvenlik testleri gibi standartların uygulanmasıyla sağlanır.

Kaynaklar: