E-ticaret sektörü büyüdükçe, onu hedef alan dolandırıcılık faaliyetleri de aynı hızla artmaktadır. Dünya genelinde online dolandırıcılık kayıplarının 2025 yılı itibarıyla 48 milyar doları aştığı tahmin edilmektedir. Türkiye özelinde ise her yıl binlerce işletme sahte siparişler, kart dolandırıcılığı ve iade suistimalleri nedeniyle ciddi finansal zarara uğramaktadır. Bu rehberde, e-ticaret işletmenizi fraud saldırılarına karşı nasıl koruyacağınızı tüm boyutlarıyla ele alıyoruz.
Fraud Nedir ve Neden Bu Kadar Yaygın?
Fraud, Türkçesiyle dolandırıcılık, e-ticaret bağlamında üçüncü kişilerin yetkisiz yollarla finansal kazanç sağlamak amacıyla gerçekleştirdiği her türlü hilekar eylemi kapsar. Online alışverişin fiziksel bir kartın sunulamadığı yapısı (Card Not Present — CNP), bu ortamı geleneksel perakendeden çok daha savunmasız kılmaktadır.
Dolandırıcılar her geçen gün daha sofistike yöntemler geliştirmektedir. Sosyal mühendislik, otomatik bot saldırıları ve dark web'de satılan çalıntı kart bilgileri, fraud ekosisteminin temel beslenme kaynaklarıdır. Pandemi sonrasında e-ticarete geçişin hızlanması, bu saldırı yüzeyini dramatik biçimde genişletmiştir.
Başlıca Fraud Tipleri
1. Kart Sahibi Olmayan Kişi Dolandırıcılığı (CNP Fraud)
En yaygın fraud türüdür. Saldırgan, çalıntı veya sahte kart bilgileriyle sipariş oluşturur. Gerçek kart sahibi durumu fark ettiğinde işlemi bankasına bildirip chargeback açar. Bu noktada hem ürün geri alınamaz hem de işletme para iadesini üstlenmek zorunda kalır.
2. Dost Dolandırıcılığı (Friendly Fraud)
Müşteri ürünü teslim almasına karşın bankasına "ürün gelmedi" veya "yetkisiz işlem" iddiasıyla itiraz açar. Araştırmalar, tüm chargebackların yüzde altmışının friendly fraud kaynaklı olduğunu ortaya koymaktadır. Tespit etmesi en güç fraud tipi budur çünkü gerçek bir müşteri tarafından gerçekleştirilmektedir.
3. Hesap Ele Geçirme (Account Takeover — ATO)
Kimlik bilgileri çalınan müşterilerin hesapları ele geçirilir. Kayıtlı ödeme bilgileri kullanılarak alışveriş yapılır. ATO saldırıları genellikle dark web'de toplu satılan kullanıcı adı-parola kombinasyonlarından (credential stuffing) beslenir.
4. Üçgen Dolandırıcılığı (Triangulation Fraud)
Dolandırıcı, Amazon gibi büyük pazar yerlerinde sahte bir mağaza açar. Müşteri sipariş verdiğinde gerçek bir e-ticaret sitesinden çalıntı kart bilgileriyle ürünü satın alır ve müşteriye gönderir. Gerçek kart sahibi itiraz açtığında yasal satıcı zor durumda kalır.
5. İade Suistimali (Return Fraud)
Müşteri ürünü kullandıktan sonra iade eder, hasarlı ürün gönderir ya da ürün hiç ulaşmamış gibi göstererek iade talep eder. Yüksek hacimli mağazalarda önemli bir kayıp kalemi oluşturmaktadır.
6. Bot Saldırıları ve Promosyon Kötüye Kullanımı
Otomatik botlar, tek kullanımlık indirim kodlarını toplu olarak kullanır, stok baskısı oluşturur veya siteyi yavaşlatmak amacıyla gerçek müşteri davranışını taklit eder.
Dolandırıcılık Önleme Araçları ve Stratejileri
Adres Doğrulama Sistemi (AVS)
AVS, ödeme işlemi sırasında müşterinin girdiği fatura adresini kart ihraç eden bankanın kayıtlarıyla karşılaştırır. Uyuşmazlık tespit edildiğinde sistem işlemi otomatik olarak durdurabilir veya manuel incelemeye alabilir. Türkiye'deki bankaların büyük çoğunluğu AVS desteklemektedir.
Kart Doğrulama Değeri (CVV/CVC) Kontrolü
Kart numarası ve son kullanma tarihi çalınmış olsa dahi CVV kodu genellikle ayrı bir kanalda saklanmaktadır. CVV doğrulamasını zorunlu hale getirmek, basit kart bilgisi çalmalarına karşı etkili bir bariyer oluşturur.
3D Secure 2.0 Entegrasyonu
3D Secure, kart sahibinin kimliğini ek bir doğrulama adımıyla teyit eden bir protokoldür. İlk nesil 3D Secure (Verified by Visa, Mastercard SecureCode) yüksek sepet terk oranlarıyla eleştirilse de 2019'da hayata geçen 3D Secure 2.0, risk tabanlı kimlik doğrulama sunmaktadır.
3DS2 ile düşük riskli işlemler sorunsuz geçerken (frictionless flow), yüksek riskli işlemlerde ek doğrulama istenir. Bu sayede dönüşüm oranları korunurken güvenlik seviyesi artırılır. Türkiye'de Mastercard Identity Check ve Visa Secure olarak bilinen bu sistem, büyük bankalarca desteklenmektedir.
3DS2'nin sağladığı avantajlar:- Chargeback sorumluluğunun büyük ölçüde kart ihraç eden bankaya geçmesi
- Daha az sürtüşmeyle daha yüksek onay oranları
- Gerçek zamanlı risk skoru hesaplaması
Yapay Zeka Destekli Fraud Tespiti
Modern fraud önleme sistemleri, yüzlerce değişkeni milisaniyeler içinde analiz eden makine öğrenimi modelleri kullanmaktadır. Bu sistemlerin incelediği başlıca sinyaller şunlardır:
- Cihaz parmak izi: Kullanıcının tarayıcısı, işletim sistemi, ekran çözünürlüğü ve diğer teknik özellikler
- Davranışsal biyometri: Fare hareketleri, tuş vuruş ritmi, sayfa kaydırma hızı
- Coğrafi tutarsızlıklar: IP adresi ile fatura/teslimat adresi arasındaki mesafe
- Hız kontrolleri: Aynı kart veya cihazdan kısa sürede çok sayıda işlem denenmesi
- E-posta ve telefon doğrulama: Yeni oluşturulmuş e-posta adresleri veya VoIP numaraları yüksek risk göstergesidir
Stripe Radar, Signifyd, Kount ve yerli çözüm sağlayıcılar bu alanda öne çıkan platformlar arasındadır.
Kural Tabanlı Filtreler
Yapay zekaya ek olarak, işletmeye özgü kurallar tanımlamak önemlidir. Örneğin:
- Yüksek riskli ülkelere yapılan teslimat taleplerini durdur
- İlk siparişte belirli bir tutarın üzerindeki işlemleri manuel incelemeye al
- Aynı adrese kısa sürede çok sayıda sipariş geldiğinde uyarı tetikle
- Posta kodu ile IP adresi arasında belirli bir kilometre uyuşmazlığı varsa işlemi beklet
Chargeback Yönetimi
Chargeback, müşterinin bankasına yaptığı itiraz sonucunda ödeme tutarının zorla geri alınmasıdır. Chargeback oranı kart ağının belirlediği eşiği (genellikle yüzde bir) aşarsa işletme, ağır finansal cezalar ve hatta ödeme kabul etme hakkını kaybetme riskiyle karşılaşır.
Chargeback'lere Karşı Koyma (Representment)
Her chargeback itiraza konu edilebilir. Etkili bir representment süreci için gerekli belgeler:
- Teslimat kanıtı (kargo takip bilgisi, imza)
- Sipariş onay e-postası ve iletişim kayıtları
- Müşterinin siteyi kullandığını gösteren oturum açma kayıtları
- 3DS2 doğrulama belgesi (liability shift kanıtı)
- Ürün/hizmet açıklaması ve iade politikası
Proaktif Chargeback Önleme
Verifi (Visa) ve Ethoca (Mastercard) gibi programlar, müşteri bankasıyla doğrudan iletişim kurarak uyuşmazlıkları chargeback aşamasına ulaşmadan çözmenize olanak tanır. Bu programlara katılmak, chargeback oranınızı önemli ölçüde düşürebilir.
Sahte Sipariş Tespitinde İnsan Faktörü
Otomatik sistemler ne kadar gelişmiş olursa olsun, insan gözü hâlâ vazgeçilmez bir rol oynamaktadır. Risk yönetimi ekibi aşağıdaki durumlarda devreye girmelidir:
- Alışılmadık ürün kombinasyonları veya miktarları
- Müşteri hizmetleri notlarında yer alan şüpheli talepler
- Son dakika teslimat adresi değişiklikleri
- Yüksek değerli ürünlerin yeni açılmış hesaplara gönderimi
Türkiye'ye Özgü Fraud Dinamikleri
Türkiye'de fraud ekosistemi, bazı kendine has özellikler taşımaktadır. Taksitli ödeme kültürü, dolandırıcılara birden fazla vade döneminde tespit edilmeme fırsatı sunmaktadır. Öte yandan kapıda ödeme seçeneği, kart fraudunu azaltırken iade suistimalini artırmaktadır.
BKM (Bankalararası Kart Merkezi) ve Türkiye'nin önde gelen bankaları, ortak fraud önleme veritabanları oluşturmaktadır. Bu ekosisteme entegre olmak, özellikle küçük ve orta ölçekli işletmeler için önemli bir avantaj sağlamaktadır.
Fraud Önleme Maliyeti ile Sepet Terki Dengesi
Güvenlik önlemlerini artırırken dönüşüm oranlarını korumak büyük bir dengeleme eylemidir. Aşırı katı kurallar, meşru müşterilerin siparişlerini engelleyebilir ve bu da yanlış pozitif maliyetine yol açar. İdeal yaklaşım, risk skoru düşük işlemlere minimum sürtüşme uygularken yüksek riskli işlemlerde ek doğrulama istemektir.
Düzenli olarak şu metrikleri izleyin:
- Fraud oranı (toplam işlemlere oranla onaylanan fraud)
- Yanlış pozitif oranı (engellenen meşru işlemler)
- Chargeback oranı
- Otomatik onay oranı
Sonuç: Katmanlı Bir Güvenlik Mimarisi
E-ticarette fraud önleme, tek bir araçla çözülecek bir sorun değildir. Etkili bir strateji, birbiriyle entegre çalışan birden fazla katmandan oluşmalıdır: 3DS2 gibi ödeme protokolleri, yapay zeka tabanlı risk skorlama, kural motorları, insan incelemesi ve proaktif chargeback yönetimi. Bu katmanları birlikte uygulayan işletmeler, hem güvenliklerini güçlendirir hem de müşteri deneyiminden ödün vermez.
Sonuçta en iyi fraud önleme stratejisi, dolandırıcıları hedef almak yerine meşru müşterilere mükemmel bir deneyim sunmakla başlar. Sistemlerin birbiriyle tutarlı çalışması, şüpheli aktiviteleri kolayca öne çıkarırken güvenilir müşterilerin yolculuğunu pürüzsüz kılar.
