Bakiyen Gece Üçte Nasıl Eriyor? Epin Script Sahiplerinin Yaşadığı Cüzdan Dolandırıcılığı Senaryoları ve Kimsenin Konuşmadığı Açıklar

Çoğu işletme sahibi dolandırıcılığı kartla yapılan sahte ödeme sanır. Oysa e-pin ve dijital ürün satan bir sistemde paranın kaybedildiği yer genellikle ödeme ekranı değil, cüzdandır. Çünkü cüzdan, dolandırıcı için nakde en yakın duraktır: bakiyeyi bir kez içeri sokan kişi, ürünü saniyeler içinde alır, kodu anında kullanır ve geri dönüş imkânı kalmaz. Fiziksel ürünle çalışan bir satıcı kargoyu durdurabilir; sen tek kullanımlık bir kodu geri alamazsın.

Bu yazıda sahada gerçekten yaşanan cüzdan saldırılarını tek tek açıyorum: itiraz zinciri, eşzamanlı istekle bakiye çoğaltma, hesap devralma, bonus istismarı ve en az konuşulanı, iç tehdit. Her senaryonun yanında hangi ayarın o kapıyı kapattığını yazdım. Amacım seni korkutmak değil; bir e-pin scripti kurarken hangi frenlerin standart olması gerektiğini net göstermek. Pinova bu noktada e-pin satan taraf değil, e-pin satanın kasasını koruyan dijital ürün satış yazılımı olarak çalışır.

İtiraz zinciri: parayı ödedin, ürünü verdin, ikisini de kaybettin

Senaryo şöyle işler: çalıntı kart bilgisiyle cüzdana bakiye yüklenir, bakiye anında yüksek talep gören bir ürüne dönüştürülür, kod teslim alınır ve haftalar sonra kart sahibi işlemi reddeder. Ödeme sağlayıcı tutarı senden geri çeker. Elinde kalan: teslim edilmiş bir kod, eksi bir bakiye ve itiraz bedeli. Bu zincirin kırılma noktası teslimat anıdır. Uygulaması kolay ama çoğu sistemde kapalı olan üç fren var: yeni hesabın ilk yüklemesinde bekleme süresi, belirli tutarın üstünde manuel onay ve riskli ödeme yöntemiyle yüklenen bakiyenin yüksek riskli ürün kategorilerinde harcanamaması. İyi bir epin yazılım kurgusunda bu üç kural ayrı ayrı açılıp kapatılabilir.

Aynı anda iki sekme: bakiye nasıl çoğaltılır?

En teknik ama en yaygın açık budur. Kullanıcı, bakiyesi 100 TL iken aynı anda beş sipariş isteği gönderir. Sistem bakiyeyi okuyup kontrol ettikten sonra düşüyorsa, beş istek de kontrolü geçip beş ürün teslim edilebilir. Sonuç: 100 TL karşılığında 500 TL'lik mal. Bu bir dolandırıcılık yöntemi olduğu kadar bir yazılım kusurudur ve kimse sana açıkça söylemez, çünkü test ortamında hiç görünmez. Savunma tek: bakiye okuma, kontrol ve düşüm işlemi tek atomik işlem içinde, satır kilidiyle yapılmalı. Ayrıca kullanıcı başına saniyedeki istek sayısı sınırlanmalı. Bir e-pin satış scripti incelerken tedarikçiye sormanı önerdiğim soru şudur: aynı kullanıcıdan gelen paralel siparişlerde bakiye nasıl kilitleniyor?

Hesap devralma: senin müşterinin bakiyesi, başkasının elinde

Kullanıcılar şifrelerini başka sitelerle paylaşır. O sitelerden biri sızdığında, listeler otomatik araçlarla senin giriş ekranında denenir. Başarılı olan hesabın cüzdanında bakiye varsa, saldırgan onu hemen ürüne çevirir. Burada mağdur senin müşterindir ama faturayı sen ödersin: bakiyeyi büyük olasılıkla yeniden yüklemek zorunda kalırsın. Savunma paketi nettir: başarısız giriş denemelerinde artan gecikme, yeni cihazdan girişte e-posta veya SMS doğrulaması, şifre değişiminden sonra bakiye harcamasına kısa bir soğuma süresi ve kullanıcının kendi giriş geçmişini görebildiği bir ekran. Bu son madde küçük görünür ama şüpheli erişimi en hızlı senin müşterin fark eder.

Bonus istismarı: küçük tutar, büyük toplam

Hoş geldin bakiyesi, ilk yükleme bonusu ve arkadaş davet ödülü dönüşüm için harikadır; korumasız bırakıldığında ise otomatik hesap fabrikalarının yemi olur. Tek bir kişi yüzlerce hesap açıp her birinden küçük bonusları toplayabilir. Tek tek bakınca zararsız görünen tutarlar, ay sonunda kampanya bütçesini ikiye katlar. Savunma tarafında işe yarayan üç kural var: bonus bakiyesinin doğrudan harcanamayıp belirli bir gerçek yükleme çevrimi gerektirmesi, aynı cihaz ve ödeme aracının tekrarını yakalayan bir eşleştirme ve bonusun para çekme tarafına hiç geçemeyeceği bir hareket türüyle tutulması. Bonusu ayrı bir bakiye türü olarak tutmayan sistemler bu savaşı baştan kaybeder.

En az konuşulan risk: içeriden gelen

Manuel bakiye yükleme yetkisi olan bir personel, teoride para basabilir. Kendi hesabına ya da anlaştığı bir hesaba bakiye tanımlar, ürün alınır, kayıt gürültünün içinde kaybolur. Bu riski sıfırlamanın yolu güvenmemek değil, tek kişinin tek başına para yaratamadığı bir yapı kurmaktır. Belirli tutarın üzerindeki manuel yüklemeler ikinci bir onay ister, her düzeltme sebep alanı zorunlu olur, kayıtlar silinemez yalnızca ters kayıtla dengelenir ve mesai dışı yapılan işlemler ayrı bir rapora düşer. Bu dört kural işletmede güven ortamını bozmaz; tersine dürüst personeli şüphe altında kalmaktan korur. Aşağıdaki kontrol listesi, bir e-pin satış yazılımı canlıya çıkmadan önce doğrulaman gereken maddeleri sıralıyor.

Canlıya çıkmadan önce doğrulama listesi

Aşağıdaki maddeleri test hesabıyla bizzat denemeden sistemi yayına alma. Özellikle eşzamanlı sipariş testini iki tarayıcı sekmesiyle elle yapman, onlarca sayfa dokümandan daha çok şey öğretir.

Cüzdan güvenliği tek bir özellikle değil, birbirini destekleyen küçük frenlerle sağlanır: atomik düşüm, cihaz doğrulama, bonusun ayrı tutulması, çift onay ve silinemeyen kayıt. Bu frenlerin hiçbiri tek başına kahraman değildir, hepsi birlikte saldırıyı ekonomik olarak anlamsız kılar. Bu kuralların gerçek bir panelde nasıl davrandığını, bir işlemi durdurduğunda ekranda ne göründüğünü ve log kaydının neye benzediğini görmek istersen canlı demo üzerinden iki sekme açıp eşzamanlı sipariş denemesi yap; savunmanın çalıştığını en çabuk böyle anlarsın.