E-Pin Dolandırıcılığının Tipik Senaryoları: Bayilerin Aynı Tuzağa Defalarca Düşmesini Sağlayan 6 Oyun ve Bunu Kapatan E-Pin Scriptinin Sessiz Savunması

Çoğu bayi dolandırıcılığı bir yetenek işi sanır. Karşı tarafın çok zeki, çok teknik, çok hazırlıklı olduğunu düşünür. Gerçek çok daha rahatsız edici: dolandırıcılığın neredeyse tamamı aynı altı senaryonun tekrarı ve hepsi tek bir zaafı hedefler. O zaaf teknik bilgi eksikliği değil, teslimatın ödemeden önce yapılabilmesidir. Bir sistemde kod, para kesinleşmeden çıkabiliyorsa, o sistemin ne kadar modern göründüğü hiç önemli değildir.

İkinci rahatsız edici gerçek de şu: dolandırıcı senin kasanı değil, senin aceleni hedefler. Cuma akşamı, kampanya günü, siparişlerin üst üste bindiği an. "Havale gitti, ekran görüntüsü de burada, oyun başlıyor abi" cümlesi tam o anda gelir. Aşağıda bu altı senaryoyu tek tek, hangi anda hangi kaydın eksikliğinden beslendiğini göstererek açıyorum. Her birinin sonunda aynı sonuca varacaksın: savunma bir dikkat meselesi değil, akış tasarımı meselesi.

Sahte ödeme bildirimi neden hâlâ bu kadar işe yarıyor?

Çünkü karşı taraf sana yalan söylemiyor, sana ikna edici bir görüntü gösteriyor. Banka uygulamasının dekont ekranı taklit edilmesi en kolay şeydir; yazı tipi, tutar, referans numarası hepsi düzenlenebilir. Bayi ekran görüntüsünü görüp kodu teslim eder, para asla hesaba düşmez. Buradaki hata görüntüye inanmak değil, görüntünün karar verici olabildiği bir akış kurmuş olmaktır. Doğru kurgu tek cümledir: ödeme durumunu müşterinin gönderdiği hiçbir veri değiştirmez. Sadece banka hareketi ya da ödeme sağlayıcının kendi bildirimi değiştirir. İyi bir e-pin scripti havale/EFT akışında bile siparişi "ödeme bekleniyor" durumunda kilitler ve teslim düğmesini o durumda çalıştırmaz. Kilit yazılımda olmalı; personelin kararında olduğu sürece her yoğun gün bir kumardır.

Chargeback oyunu tam olarak nasıl kurulur?

Bu senaryo en sabırlı olanıdır. Müşteri kartla öder, kodu alır, kullanır; haftalar sonra kart sahibi olarak bankasına "bu işlemi ben yapmadım" ya da "ürünü almadım" diye başvurur. Banka sana döner ve tek şey ister: teslimin gerçekleştiğine dair kanıt. Fiziksel üründe bu kargo imzasıdır. Dijitalde ise elinde ne var? İşte bu soru, bir dijital ürün satış yazılımı seçerken sorulması gereken en pahalı sorudur. Sağlam bir kanıt paketi şunlardan oluşur: sipariş anındaki IP ve cihaz bilgisi, ödeme sağlayıcı işlem kimliği, kodun hesaba düştüğü an, kodun ilk görüntülendiği an ve müşteriye gönderilen bildirimlerin kayıtları. Bu beş kalem eksiksizse itirazların önemli kısmını kazanırsın. Bir tanesi bile yoksa, çoğunlukla peşin kaybetmiş olursun; çünkü itiraz sürecinde ispat yükü satıcıdadır.

Çalıntı kartla seri alım neden tek sipariş gibi görünmez?

Çünkü gelmez tek tek; dalga halinde gelir. Aynı IP'den, benzer e-posta kalıplarıyla, birbirine yakın tutarlarla, kısa aralıklarla onlarca sipariş açılır. Her biri ayrı ayrı normaldir; toplu olarak bakıldığında ise apaçık bir örüntüdür. Sorun şu ki bayilerin çoğu siparişleri tek tek görür, örüntü olarak görmez. Bu yüzden savunmanın adı "dikkatli bak" değil, hız limiti olmalıdır: aynı kart parmak izinden saatte kaç sipariş, aynı IP'den günde kaç yeni hesap, aynı cihazdan kaç farklı kart. Bu eşikleri tanımlayan bir e-pin satış scripti dalgayı ilk beş siparişte durdurur; tanımlamayan sistem seni iki gün sonra gelen 40 iadeyle tanıştırır. Eşikler yüksek olabilir, önemli olan var olmalarıdır.

"Kod çalışmadı" ısrarı nerede dolandırıcılığa dönüşüyor?

Bu senaryonun kötü tarafı, dürüst müşteriyle dolandırıcının aynı cümleyi kurmasıdır. Gerçekten bozuk kod da olur, gerçekten kullanıp yeni kod isteyen de olur. Ayrımı yapabilen tek şey kayıttır. Kodun ilk kez ne zaman ve hangi oturumda açıldığını biliyorsan tartışma otuz saniyede biter. Bilmiyorsan, kararı hissine göre verirsin ve hissin uzun vadede hep pahalı çıkar. Burada kritik nokta şudur: müşteriye "seni suçluyorum" demene gerek yok. Sadece kaydı paylaş. Kayıt tartışmaz, kayıt gösterir. Bu yüzden görüntüleme damgası bir güvenlik özelliği olduğu kadar bir müşteri ilişkileri özelliğidir; dürüst müşteriyi de şüpheden kurtarır.

Panel sosyal mühendisliği: dolandırıcı neden müşteri gibi değil personel gibi davranır?

Çünkü tek bir sipariş çalmak yerine sistemin tamamına erişmek çok daha verimlidir. Tipik akış şöyledir: kendini yeni bir tedarikçi ya da ödeme sağlayıcı temsilcisi olarak tanıtır, aciliyet üretir, "doğrulama için" tek kullanımlık kodu ister ya da personeli bir giriş sayfasına yönlendirir. Bu saldırı yazılımın açığını değil insanın nezaketini kullanır. Buna karşı tek gerçek savunma yetki daraltmaktır: destek personeli siparişi görebilir ama stoğu dışa aktaramaz; kimse tek başına toplu kod indirmesi yapamaz; her yönetici işlemi ayrı bir iz bırakır. Pinova'nın bu konudaki duruşu şudur: yetki bir güven ifadesi değil, bir hasar sınırıdır. Personeline güvenmemek değil, kötü bir günün zararını sınırlamak için yapılır.

Savunmayı kurarken hangi kontrol listesini işaretlemelisin?

Aşağıdaki liste altı senaryonun her birini karşılayan asgari önlem setidir. Hepsini bir günde kurmak zorunda değilsin ama hepsinin kimde olduğunu bilmek zorundasın. Bir önlem "personel dikkat ediyor" diye işaretlendiyse, o önlem yok demektir. Sistemde olan önlem yorulmaz, izne çıkmaz, cuma akşamı acele etmez.

Bu tabloya baktığında fark edeceğin şey, önlemlerin hiçbirinin egzotik olmadığıdır. Hepsi bilinen, ucuz ve kurulabilir önlemler. Buna rağmen çoğu bayide eksik olmasının sebebi, kullanılan altyapının bunları zorunlu kılmaması. Özellik sayfasında arayacağın şey uzun bir liste değil, bu yedi satırın panel içindeki karşılığıdır; fiyat tarafında ise güvenlik katmanının temel pakete dahil olup olmadığına bak.

Dolandırıcılık senaryoları yıllardır değişmiyor; değişen tek şey kimin hazırlıklı olduğu. Elindeki akışı bu altı senaryoya karşı test etmek istiyorsan, ödeme kilidinin siparişi nasıl tuttuğunu, teslim kanıtının hangi ekranda toplandığını ve yetki ayrımının nasıl tanımlandığını canlı demo içinde bizzat dene; savunmanı bir sonraki kötü günü beklemeden kur.