Skimming Nedir, Kart Kopyalama Nasıl Yapılır ve Nasıl Önlenir?

Skimming, bir kartın manyetik şerit veya çip verisinin fiziksel bir cihazla kopyalanarak bu bilginin yetkisiz işlemlerde kullanılmasını sağlayan bir kart kopyalama yöntemidir. Dolandırıcı, kart okuyucuya benzeyen küçük bir aparat yerleştirir. Kart bu cihazdan geçtiği anda veri kaydedilir.

Kart kopyalama dolandırıcılığı tek bir noktayla sınırlı değildir. ATM kart girişi, mağazadaki POS cihazı ve online ödeme sayfaları gibi farklı kanallarda ortaya çıkabilir. Kartın fiziksel olarak elde kalması bile kopyalanmadığı anlamına gelmez.

Şüpheli bir işlem fark edildiğinde bankaya yapılan bildirim ve başlatılan itiraz süreci, olası mağduriyeti sınırlayan en kritik adımdır.

Skimming ve Kart Kopyalama Nedir?

Skimming nedir sorusunun cevabı, kart üzerindeki verinin fiziksel bir skimmer cihazı aracılığıyla izinsiz kopyalanmasıdır. Kart kopyalama nedir denildiğinde de aynı süreç kastedilir: kartın manyetik şeridinde veya bazı durumlarda çip okuyucusunda taşınan bilgiler, özel olarak tasarlanmış bir aparatla okunur ve kaydedilir. Kart hamilinin bu sırada herhangi bir şey fark etmesi gerekmez; kart normal şekilde kullanılırken veri arka planda çalınır. Ortaya çıkan sonuç kart bilgisi hırsızlığıdır ve çalınan veriler sahte bir kart üretiminde ya da yetkisiz işlemlerde kullanılabilir.

Skimming ile Phishing Arasındaki Fark

Skimming ile phishing arasındaki temel fark, verinin ele geçirilme yöntemidir. Phishing, kullanıcıyı sahte bir web sitesi, e-posta veya mesaj yoluyla kart bilgilerini kendi eliyle paylaşmaya ikna eden dijital bir dolandırıcılık biçimidir. Skimming ise farklı işler: kullanıcının herhangi bir bilgi girmesine gerek kalmadan, fiziksel bir cihaz kart verisini doğrudan okur. Phishing kurbanın bir hata yapmasına dayanır; skimming ise çoğunlukla kurbanın hiçbir şeyden habersiz olduğu teknik bir müdahaledir.

Kart Kopyalamanın Kapsamı

Kart kopyalamanın kapsamı ATM kart girişini, mağazalardaki POS cihazlarını ve bazı online ödeme ortamlarını içerir. Kart klonlama nedir sorusu da genellikle skimming ile eşanlamlı kullanılır; her iki terim de kopyalanan verinin yeni bir kart üzerinde yeniden üretilmesini tarif eder. Ancak her kart veri sızıntısı skimming kapsamında değerlendirilmez. Bir e-ticaret sitesinin veri tabanının doğrudan hacklenmesi farklı bir güvenlik ihlali türüdür ve fiziksel bir kopyalama cihazı içermez. Skimmer cihazının kartla temas ettiği ya da kart verisinin okuyucudan geçerken yakalandığı senaryolar bu kapsamın merkezinde yer alır. Verinin fiziksel olarak nasıl okunup kopyalandığı ise ayrı bir teknik sürecin konusudur.

Skimming Nasıl Çalışır?

Skimming, kart okuyucudan geçen manyetik şerit verisinin bir skimmer cihazı tarafından anlık olarak kaydedilmesiyle işler. Cihaz, ATM’nin kart girişine ya da POS cihazının okuyucu kısmına orijinal parçaymış gibi yerleştirilir. Kart bu cihazdan geçtiği anda üzerindeki veri okunur. Kısa süre sonra bu veri kopyalanarak boş bir plastik karta aktarılır ve sahte kart üretiminde kullanılır.

Manyetik Şerit ve Çip Teknolojisi Arasındaki Fark

Manyetik şerit, her işlemde aynı sabit veriyi tekrar gönderdiği için çip teknolojisine göre kopyalanmaya çok daha açıktır. Çip teknolojisi (EMV) her işlem için farklı bir doğrulama kodu ürettiğinden, bir kez kopyalanan çip verisi ikinci bir işlemde geçerli olmaz. Bu özellik, çip içindeki bilgilerin ele geçirilmesini manyetik şeride kıyasla ciddi ölçüde zorlaştırır. Kredi kartı skimming vakalarının çoğu bu yüzden hâlâ manyetik şerit üzerinden gerçekleşir; çipli kartların yaygın olduğu ülkelerde sahte kart kullanımı görece daha sınırlı kalır.

Skimmer Cihazının Veri Kopyalama Süreci

Skimmer cihazının çalışma mantığı belirli bir sıra izler: önce cihaz kart okuyucuya yerleştirilir, kart üzerinden geçtiğinde manyetik şeritteki veri okunur, bu veri cihaz belleğinde kopyalanır ve son adımda sahte bir kartla yetkisiz işlem denenir. PIN bilgisi ayrı bir katmanla ele geçirilir. Klavye üzerine yerleştirilen sahte bir tuş takımı veya gözden kaçan küçük bir kamera bu amaçla kullanılabilir. Kart verisi ile PIN aynı anda ele geçirildiğinde sahte kartla ATM üzerinden para çekmek de mümkün hale gelir.

Shimming ile Çipli Kartlara Yönelik Saldırılar

Shimming, çipli kartları hedef alan daha gelişmiş bir kopyalama tekniğidir. Kart okuyucu ile kartın çipi arasına yerleştirilen kâğıt inceliğindeki bir devre, çip ile terminal arasındaki veri alışverişini yakalamaya çalışır. Çip teknolojisinin ürettiği tek kullanımlık doğrulama kodu nedeniyle shimming yoluyla elde edilen veri, klasik manyetik şerit kopyalamasına göre çok daha sınırlı bir kullanım alanına sahiptir. Bu yüzden saldırganlar sıklıkla manyetik şeridi hedef almayı tercih eder. Verinin nasıl ele geçirildiği netleştiğinde, bu yöntemin hangi cihaz ve ortamlarda uygulandığına bakmak gerekir.

Skimming Türleri Nelerdir?

Skimming türleri, saldırganın veriyi hangi cihazdan ve ortamdan ele geçirdiğine göre dörde ayrılır: atm skimming, pos cihazı skimming, nfc kart kopyalama ve dijital skimming. Her tür farklı bir müdahale noktasını hedef alır. Ama amaç aynıdır: kart verisini kullanıcının bilgisi dışında ele geçirmek.

ATM Skimming

ATM skimming, ATM’nin kart giriş yuvasına yerleştirilen küçük bir cihazla manyetik şerit verisinin okunup kaydedilmesidir. Bu cihaz Türkiye’de sıklıkla “papağan” olarak adlandırılır ve kartın manyetik şeridinde bulunan Track1, Track2 gibi verileri kopyalar. PIN kodunu ele geçirmek için klavye üzerine sahte bir tuş takımı yerleştirilebilir ya da klavyeyi gören gizli bir kamera saklanabilir. Bazı ATM’lerde bulunan kart titretme mekanizması, kopyalama cihazının veriyi sağlıklı biçimde okumasını zorlaştırmak amacıyla eklenmiştir.

POS Cihazı Skimming

POS cihazı skimming, ödeme terminaline fiziksel müdahale edilerek işlem sırasında kart verisinin okunmasıdır. Mağaza veya restoranda görevli kötü niyetli bir kişi, kartı ödeme için aldığında kartı ikinci bir cihazdan geçirip veriyi kopyalayabilir. Kartın müşterinin gözünden uzakta okutulduğu durumlar bu tür saldırılar açısından özellikle risklidir. Bu nedenle işletmelerin POS cihazlarını düzenli kontrol etmesi önem taşır.

NFC ve Temassız Kart Kopyalama

NFC kart kopyalama, temassız ödeme sırasında kart ile terminal arasında iletilen sinyalin yakın mesafeden bir okuyucuyla yakalanmaya çalışılmasına dayanır. Temassız kart kopyalama girişimleri teorik olarak mümkün görünse de her işlem için ayrı doğrulama kodu üretilmesi ve sinyalin çok kısa mesafede geçerli olması bu riski önemli ölçüde sınırlar. Bu nedenle nfc kart kopyalama, manyetik şerit üzerinden yapılan klasik skimming yöntemleri kadar yaygın bir tehdit olarak öne çıkmaz.

Dijital Skimming

Dijital skimming, fiziksel bir cihaz kullanmak yerine online ödeme sayfalarına yerleştirilen kötü amaçlı kodlarla kart verisinin çalınmasıdır. Kullanıcı ödeme formuna kart bilgilerini girdiği anda bu bilgiler saldırganın kendi sunucusuna da iletilir. Bu yönüyle dijital skimming, atm skimming ve pos cihazı skimming yöntemlerinden ayrılır. Çünkü kartın herhangi bir fiziksel cihazdan geçmesine gerek kalmaz; saldırı doğrudan e-ticaret altyapısı üzerinden yürütülür.

Kart Kopyalandığı Nasıl Anlaşılır?

Kart kopyalama belirtileri üç ana alanda kendini gösterir: cihazın fiziksel görünümü, hesap hareketleri ve kartın kendi yüzeyi. Bu üç noktayı birlikte takip etmek, skimmer cihazı yerleştirilmiş bir ATM veya POS terminalini işlem yapmadan önce fark etme şansını artırır.

ATM ve POS Cihazında Şüpheli Görünim

ATM veya POS cihazında kart girişinde oynama izi, gevşek durma veya orijinal parçaya eklenmiş ek bir görünüm varsa bu skimmer cihazı işareti olabilir. Klavye üzerinde fazladan bir kaplama bulunması, aynı şekilde PIN’in gizlice kaydedilmesi amacıyla yerleştirilmiş bir düzeneğe işaret edebilir. Kart girişine dokunarak parçanın sabit olup olmadığını kontrol etmek, skimmer cihazı tanımanın en basit yollarından biridir. Kart yuvası elle hafifçe çekildiğinde oynuyorsa ya da normalden kalın duruyorsa işlem yapmadan önce durmak gerekir.

Hesap Hareketlerinde Anormal İşlemler

Hesap hareketlerinde bilinmeyen lokasyonlarda gerçekleşen küçük tutarlı deneme işlemleri, bir anormal işlem sinyalidir. Dolandırıcılar kopyaladıkları kart bilgisinin çalışıp çalışmadığını anlamak için önce düşük tutarlı denemeler yapar, ardından art arda gelen işlemlerle tutarı yükseltir. Kart hâlâ cüzdanda dururken hesapta tanımadık bir işlem görülmesi, kredi kartı kopyalama şüphesini güçlendiren en net göstergelerden biridir.

Kartın Fiziksel Görünümündeki Değişiklikler

Kartın kendi yüzeyinde çizik, kabarma veya manyetik şeritte gözle görülür bir bozulma varsa bu durum skimming girişimine işaret edebilir. Böyle bir değişiklik genellikle kartın bir cihazdan zorlanarak geçirildiğini veya üzerine ek bir okuyucunun temas ettiğini gösterir. Kartın hologramında, üzerindeki baskıda ya da manyetik şeridin renginde fark edilen bir farklılık da aynı şekilde dikkate alınmalıdır.

Bu belirtileri tanımak tek başına yeterli değildir. Birçok kullanıcı gündelik alışkanlıkları yüzünden bu işaretleri gözden kaçırır.

Kart Güvenliğinde Sık Yapılan Hatalar

Kart kopyalama vakalarının çoğu, kullanıcının fark etmediği küçük alışkanlık hatalarından beslenir. Skimmer cihazı ne kadar sofistike olursa olsun, doğru pin güvenliği ve atm kontrolü alışkanlıkları riski büyük ölçüde azaltır. Aşağıdaki üç davranış, dolandırıcılık vakalarında tekrar eden ortak noktalar arasındadır.

PIN’i Gizlemeden Girmek

PIN’i gizlemeden girmek, çevredeki bir kamera veya kişi tarafından kodun kaydedilmesine yol açar. Skimmer cihazına ek olarak yerleştirilen gizli kameralar veya sahte tuş takımı kaplamaları, tam bu anı hedef alır. Doğrusu, tuşlara basarken diğer eli veya kartı tutan eli kullanarak klavyeyi elle örtmektir. Bu basit hareket, kart verisi kopyalanmış olsa bile PIN bilgisinin ele geçirilmesini engeller.

Bilinmeyen ATM ve POS Cihazlarını Kontrol Etmemek

Bilinmeyen ATM ve POS cihazlarını kontrol etmemek, skimmer cihazının fark edilmesini engeller. Kart girişinde oynama izi, gevşek parça veya klavye üzerinde fazladan bir kaplama olup olmadığı çoğu zaman tek bakışta anlaşılmaz. Doğrusu, işlem öncesi kart girişini elle kontrol etmek ve şüpheli bir direnç veya hareket hissedilirse işlemi başka bir cihazda tamamlamaktır. Özellikle az kullanılan veya bakımsız görünen ATM’lerde bu kontrol daha büyük önem taşır.

Hesap Hareketlerini Düzenli Takip Etmemek

Hesap hareketlerini düzenli takip etmemek, anormal işlemlerin geç fark edilmesine neden olur. Kart fiziksel olarak cüzdanda dururken bile kopyalanan veriyle uzak bir lokasyonda işlem yapılabilir; bu işlemler ancak hesap takibi yapıldığında ortaya çıkar. Doğrusu, hesap hareketlerini sık aralıklarla incelemek ve küçük tutarlı, tanımadık işlemleri dahi ciddiye almaktır. Bu tür küçük tutarlar genellikle kartın geçerli olup olmadığını test etmek amacıyla yapılır ve büyük tutarlı işlemlerin habercisi olabilir.

Bu alışkanlıkları tersine çevirmek, kartı skimming saldırılarına karşı korumanın somut adımlarını oluşturur.

Kartını Skimmingden Nasıl Korursun?

Kart kopyalama nasıl önlenir sorusunun cevabı, işlem öncesi cihaz kontrolünden hesap takibine kadar uzanan birkaç somut alışkanlıkta gizlidir. Skimming nasıl önlenir sorusunun da yanıtı aynı köke dayanır: kartın verisini kopyalayabilecek bir aracıya fırsat vermemek. Aşağıdaki dört adım, bir önceki bölümde sayılan hataların doğrudan tersine çevrilmiş halidir.

ATM ve POS Cihazını Kontrol Etmek

İşlem öncesi kart girişini ve klavyeyi elle kontrol etmek, skimmer cihazının fark edilmesini sağlayan ilk adımdır. Kart yuvasında oynayan, gevşek duran veya orijinalinden farklı görünen bir parça varsa işlem yapılmamalıdır. Klavye üzerindeki ek bir kaplama da aynı şekilde şüpheyle karşılanmalıdır. Bazı ATM cihazlarında bulunan kart titretme özelliği, kopyalama aparatlarının manyetik şerit verisini sağlıklı biçimde okumasını zorlaştırmak için geliştirilmiştir.

İşlem Sırasında PIN’i Gizlemek

PIN girişini elle örtmek, skimming nasıl önlenir sorusunun en temel adımlarından biridir. Diğer eldeki serbest parmaklarla tuş takımını kapatmak, hem gizli bir kamera hem de çevredeki bir gözlemci için PIN’i görünmez hale getirir. Bu davranış, kartın verisi bir şekilde kopyalanmış olsa bile PIN olmadan yapılabilecek işlemleri sınırlar.

Hesap Hareketlerini Düzenli Kontrol Etmek

Hesap hareketlerini düzenli kontrol etmek, anormal işlemlerin erken fark edilmesini sağlar. Küçük tutarlı ve tanımadık her işlem, kart bilgisinin test edildiğine dair bir sinyal olabilir. Bu sinyali erken yakalamak, daha büyük tutarlı sahte işlemler gerçekleşmeden bankayı devreye sokma şansı tanır.

Temassız Ödeme veya Sanal Kart Kullanmak

Temassız ödeme ve sanal kart, fiziksel kart verisinin cihaza doğrudan temas etmediği veya tek kullanımlık olduğu için skimming riskine karşı güvenli bir alternatif oluşturur. Temassız ödemede kart okuyucuya sokulmadığı için manyetik şerit veya çip verisi fiziksel bir aparatla okunamaz. Sanal kart ise her işlem için ayrı ya da sınırlı süreli numara ürettiğinden, bilgisi ele geçirilse bile tekrar kullanılabilir bir veri sunmaz.

Kart Kopyalama Şüphesinde İlk Ne Yapılmalı?

Kart kopyalama şüphesinde ilk adım kartı derhal bankaya bildirip bloke ettirmektir. Bu adım, sahte kartla yapılacak yeni işlemleri anında durdurur ve olası zararı sınırlar. Zaman burada belirleyici bir faktördür; şüpheli işlem fark edildiği andan itibaren geçen her dakika, dolandırıcının kopyalanan veriyle işlem yapma şansını artırır.

Bankaya Nasıl Bildirim Yapılır?

Bankaya bildirim, çağrı merkezi hattı veya mobil bankacılık uygulaması üzerinden yapılabilir. Bildirim sırasında şüpheli işlemin tarihi, tutarı ve varsa işlem yapılan lokasyon bilgisi net biçimde aktarılmalıdır. Bankaya bildirim yapıldıktan sonra yetkisiz işlemler için itiraz süreci başlatılır ve bu süreçte işlem detayları bankaya iletilerek incelemeye alınır. Skimming dolandırıcılığı vakalarında bankanın işlem geçmişini ve terminal kayıtlarını incelemesi, itirazın değerlendirilmesinde temel dayanak oluşturur.

Kart Bloke Süreci Nasıl İşler?

Kart bloke süreci, bildirimin ardından bankanın kartı sistemden anlık olarak devre dışı bırakmasıyla işler. Kart bloke edildikten sonra yeni kart talebinde bulunmak ve hesap hareketlerini baştan sona gözden geçirmek önerilir. Bu gözden geçirme, fark edilmemiş başka bir yetkisiz işlemin olup olmadığını ortaya çıkarabilir.

Süreç kısaca şu sırayla ilerler: şüpheli işlemi fark et, bankayı ara, kartı bloke ettir, itiraz sürecini başlat. Bu sıralamayı takip etmek hem mağduriyetin büyümesini önler hem de banka nezdindeki itirazın hızlı sonuçlanmasına zemin hazırlar. Kartın bloke edilmesi sorunu tek başına çözmez; bundan sonraki adım, kullanıcının bu süreçte hangi yasal haklara sahip olduğunu bilmesidir.

Kart Dolandırıcılığında Yasal Haklar Nelerdir?

Kart dolandırıcılığında yasal haklar, yetkisiz işlemlerde bankanın sorumluluğunu ve müşterinin itiraz hakkını tanımlayan çerçeveden oluşur. Bu çerçeve keyfi değildir. BDDK (Bankacılık Düzenleme ve Denetleme Kurumu) ve TCMB gibi resmi düzenleyici kurumların belirlediği kurallara dayanır. Skimming yoluyla oluşan kart kopyalama dolandırıcılığı vakalarında müşteri ile banka arasındaki yükümlülükler bu çerçeve içinde şekillenir.

Banka Sorumluluğunun Sınırları

Banka sorumluluğunun sınırları sabit bir oran değil, olayın koşullarına bağlı bir değerlendirmedir. Bildirimin ne kadar hızlı yapıldığı bu değerlendirmede belirleyici bir unsurdur; kart kopyalandığı fark edilir edilmez bankaya ulaşmak, sorumluluk paylaşımını doğrudan etkiler. Kullanıcının PIN’ini gizlemesi, kartı düzenli kontrol etmesi gibi makul özeni gösterip göstermediği de aynı değerlendirmenin bir parçasıdır. Kısacası banka sorumluluğu, müşterinin ihmali ile bankanın gözetim yükümlülüğü arasındaki dengeye göre belirlenir.

Yetkisiz İşlemlerde İtiraz Hakkı

Yetkisiz işlemlerde itiraz hakkı, müşterinin kendi onayı olmadan gerçekleşen her işlemi resmi olarak bankaya bildirip incelenmesini talep edebilmesi anlamına gelir. İtiraz başvurusu yapıldığında banka, işlemi araştırıp bir sonuç bildirmekle yükümlüdür; bu yükümlülük itiraz hakkının pratikteki karşılığıdır. İnceleme sırasında işlemin gerçekleşme şekli, kartın o an nerede olduğu ve hesap geçmişi gibi unsurlar dikkate alınır.

Bu alan genel bilgilendirme niteliğindedir. Kart kopyalama dolandırıcılığına ilişkin somut bir uyuşmazlıkta yapılması gereken, doğrudan ilgili banka veya yetkili düzenleyici kurumla iletişime geçmektir; çünkü her vakanın sonucu kendi özel koşullarına göre şekillenir. İtiraz sürecinin başlatılmasından sonra asıl merak edilen nokta, bu sürecin ne zaman bir sonuca bağlanacağıdır.

Bildirim Sonrası Sonuç Ne Zaman Alınır?

İtiraz sürecinin sonucu, bankanın yaptığı incelemenin tamamlanmasıyla ortaya çıkar; bu incelemenin ne kadar süreceği tek bir kurala bağlı değildir. Sonuç süresi öncelikle itiraz edilen işlemin niteliğine göre değişir. Tek bir şüpheli işlem söz konusuysa değerlendirme görece kısa sürede tamamlanabilirken, birden fazla işlemi kapsayan veya farklı lokasyonlarda gerçekleşmiş bir dizi hareketi içeren durumlarda inceleme daha uzun bir zaman alabilir.

Bankanın işlemi hangi kanaldan aldığı da sonuç süresini etkileyen bir başka unsurdur. ATM veya POS cihazı üzerinden gerçekleşen bir işlemin kayıtlarına ulaşmak, dijital ortamda yapılan bir işleme kıyasla farklı bir inceleme akışı gerektirebilir. Kartın o anda kullanıcının elinde olup olmadığı, işlem anındaki konum bilgisi ve önceki hesap hareketleriyle tutarlılığı gibi noktalar, incelemenin derinliğini belirleyen kriterler arasındadır.

İtiraz süreci başladıktan sonra kullanıcının elinde olan tek değişken, bankayla iletişimi kesintisiz sürdürmektir. Talep edilen ek bilgi veya belgelerin zamanında iletilmesi, incelemenin gecikmeden ilerlemesine katkı sağlar. Buna karşılık eksik bilgiyle bekleyen bir dosya, sonuç süresinin uzamasına yol açabilir.

Sonucun kendisi genellikle iki şekilde ortaya çıkar: itiraz edilen işlemin yetkisiz olduğu doğrulanır ve hesap durumu buna göre düzeltilir, ya da inceleme işlemin kart sahibi tarafından gerçekleştirildiğini gösterir. Her iki durumda da banka, vardığı sonucu kullanıcıya bildirmekle yükümlüdür. Bu bildirim gelene kadar hesap hareketlerinin düzenli izlenmesi, olası yeni bir şüpheli işlemin gecikmeden fark edilmesini sağlar ve sürecin takibini kolaylaştırır.