Ödeme Güvenliği ve Dolandırıcılık Önleme

Neden Ödeme Güvenliği Kritiktir?

Online ödeme güvenliği, hem işletmeler hem de tüketiciler için son derece önemlidir. Türkiye'de online dolandırıcılık vakaları her yıl artmaktadır. Kart bilgisi hırsızlığı, kimlik sahteciliği ve sahte işlemler; hem maddi kayıplara hem de müşteri güveninin sarsılmasına yol açar.

Güvenli bir ödeme altyapısı kurmak yalnızca yasal bir zorunluluk değil, aynı zamanda marka itibarını ve müşteri sadakatini korumanın temel yollarından biridir. Ödeme mevzuatı, PCI DSS standartları ve Visa/Mastercard kuralları, Türkiye'de faaliyet gösteren her işletmenin uyması gereken asgari güvenlik standartlarını belirlemektedir.

3D Secure (3DS)

3D Secure, kart sahibinin kimliğini doğrulayan ek güvenlik katmanıdır. "Verified by Visa", "Mastercard SecureCode" ve "American Express SafeKey" isimleriyle de bilinir. 3DS2 (3D Secure 2.x) sürümü, daha iyi kullanıcı deneyimi ile yüksek güvenlik sunar.

• 3DS1 (eski): Müşteri, her işlemde kart şifresi girmek zorundadır; sürtünme yaratır.
• 3DS2 (yeni): Risk tabanlı kimlik doğrulama; düşük riskli işlemlerde şifre istenmez, yüksek riskli işlemlerde ek doğrulama (OTP, biyometrik) devreye girer.

Türkiye'de Türkiye'de kart ödemelerinde belirli işlem türleri ve eşikler için güçlü kimlik doğrulama (3DS) uygulanmaktadır. 3DS2'ye geçiş hem dönüşüm oranını artırır hem de güvenliği güçlendirir.

PCI DSS (Payment Card Industry Data Security Standard)

PCI DSS, Visa, Mastercard, American Express ve diğer kart kuruluşları tarafından oluşturulmuş global güvenlik standardıdır. Kart verisi işleyen tüm kuruluşların uyması zorunludur.

PCI DSS uyumluluk seviyeleri:

• Level 1: Yılda 6 milyonun üzerinde işlem yapanlar — Qualified Security Assessor (QSA) tarafından yıllık denetim
• Level 2-3: Orta hacimli işletmeler — Yıllık SAQ (Self-Assessment Questionnaire)
• Level 4: Yılda 20.000'den az işlem — SAQ ve üç aylık ağ taraması

İşletmeniz kart verilerini doğrudan işlemiyorsa (yönlendirilen ödeme sayfası kullanıyorsanız), SAQ-A formuyla uyumluluk sağlanabilir ve bu süreç çok daha basittir.

Tokenizasyon

Tokenizasyon, gerçek kart numarasının yerine geçen rastgele bir "token" oluşturma işlemidir. Token, kart numarasını temsil eder ancak kart ağları veya ödeme kuruluşu dışında kullanılamaz.

• Kart numarası işletmenin sunucularında saklanmaz
• Veri ihlallerinde token değersizdir; kart bilgisi açığa çıkmaz
• Abonelik ödemelerinde tekrarlayan işlemler için güvenle kullanılabilir
• Apple Pay, Google Pay gibi dijital cüzdanlar tokenizasyona dayanır

Fraud (Dolandırıcılık) Yönetimi

Fraud yönetimi, sahte işlemleri tespit etmeye ve engellemeye yönelik sistemlerin bütünüdür. Türkiye'de yaygın fraud türleri:

• Card Not Present (CNP) fraud: Çalınan kart bilgileriyle online alışveriş
• Friendly fraud: Gerçek kart sahibinin meşru işlemi iade talebiyle geri çekmesi
• Account takeover: Müşteri hesabının ele geçirilmesi
• Test card attacks: Kart geçerliliğini test etmek için bot saldırıları

Fraud Skorlama Sistemi

Modern ödeme platformları, her işlem için fraud risk skoru hesaplar. Bu skorlama şu verilere dayanır:

• IP adresi ve coğrafi konum
• Cihaz parmak izi (device fingerprint)
• İşlem hızı (velocity check)
• Teslimat adresi ile fatura adresi tutarlılığı
• Müşterinin geçmiş işlem davranışı
• CVV ve AVS (Address Verification Service) doğrulaması

En İyi Güvenlik Uygulamaları