Bir e-pin sitesi işletmek, klasik bir e-ticaretten çok daha kırılgan bir denge üzerine kuruludur: ürün dijitaldir, teslimat anındadır ve bir kez gönderilen kod geri alınamaz. Tam da bu üç özellik, dolandırıcılar için e-pin sektörünü diğer e-ticaret dallarına göre çok daha cazip bir hedef haline getirir. Bu yazıda, gerçek mağaza sahiplerinin en sık karşılaştığı beş dolandırıcılık yöntemini ve bunlara karşı hangi önlemlerin işe yaradığını anlatıyoruz.
Neden e-pin siteleri dolandırıcıların gözdesi haline geldi?
Fiziksel bir ürün gönderdiğinizde kargo takip numarası, teslimat imzası ve iade süreci gibi kanıtlarınız vardır. E-pin satışında ise elinizde sadece bir log kaydı ve bir kod string'i kalır. Dolandırıcılar bu asimetriyi çok iyi bilir ve tam olarak bu yüzden dijital kod satan siteleri hedef alır.
- Teslimat saniyeler içinde gerçekleşir, düşünme veya doğrulama payı bırakmaz.
- Kod bir kez kullanıldığında (bakiye yüklendiğinde) işlem geri döndürülemez.
- Küçük tutarlı işlemler bankaların dolandırıcılık algoritmalarının radarına daha az takılır.
- Birçok site hâlâ manuel onay ve WhatsApp üzerinden kod gönderimi yapıyor; bu da insan hatasına açık bir alan yaratıyor.
Sonuç olarak, bir e-pin sitesi sahibinin karşılaştığı risk sadece "kötü müşteri" değil, organize ve tekrarlayan saldırı kalıplarıdır.
"Kod gelmedi" şikayetleri gerçekten dolandırıcılık mı?
Bu, en yaygın şikayet türüdür ve çoğu zaman gerçekten teknik bir aksaklıktan kaynaklanır: SMTP gecikmesi, tedarikçi API'sinin geç yanıt vermesi, ya da müşterinin spam klasörüne düşen bir e-posta. Ancak aynı cümle, kasıtlı bir dolandırıcılık senaryosunun da açılış repliği olabilir.
- Gerçek senaryo: Kod gönderilmiş, e-posta ulaşmamış veya panelde görünmüyor; log kayıtlarıyla kolayca doğrulanabilir.
- Kötü niyetli senaryo: Kod gönderilmiş ve kullanılmıştır, ancak müşteri "gelmedi" diyerek ikinci bir kod veya iade talep eder.
- Manuel sistemlerde bu ikisini ayırt etmek, ekran görüntüsü isteme ve panelden elle kontrol etme gibi zaman alan adımlar gerektirir.
- Otomatik sistemlerde ise her kodun hangi sipariş numarasıyla, hangi IP'den, hangi saatte teslim edildiği tek tıkla görülür — tartışma dakikalar içinde kapanır.
Chargeback tuzağı: Parayı hem alıp hem geri mi alıyorlar?
Chargeback (ters ibraz), kredi kartı sahibinin bankasına başvurup ödemeyi anlaşmazlı olarak geri aldırmasıdır. E-pin sektöründe bu yöntem özellikle acımasızdır, çünkü ürün dijitaldir ve "iade edilecek eşya" diye bir şey yoktur — kod çoktan kullanılmış, bakiye çoktan harcanmıştır.
- Dolandırıcı, çalıntı veya kendi kartıyla ödeme yapar, kodu hemen kullanır.
- 7-30 gün sonra bankaya "bu işlemi ben yapmadım" veya "ürünü almadım" diyerek itiraz eder.
- Site sahibi parayı geri öder (chargeback ücreti dahil), ama kod ve verilen bakiye geri gelmez.
- Aynı kart veya aynı IP'den tekrarlayan chargeback'ler, ödeme sağlayıcının hesabı riskli görüp komisyonu artırmasına hatta hesabı dondurmasına yol açabilir.
Bu noktada asıl korunma, chargeback'i önlemek değil (bu genelde mümkün değildir), riskli işlemi gerçekleşmeden önce tespit etmektir: 3D Secure zorunluluğu, tekrarlayan kart/IP eşleşmesi takibi ve şüpheli siparişlerde otomatik teslimatı geciktiren kurallar.
| Dolandırıcılık Riski | Manuel / Elle | Pinova ile |
|---|---|---|
| Chargeback / ters ibraz | Fark edilmesi günler sürer, kanıt toplamak elle | 3D Secure zorunlu ödeme + otomatik işlem log'u |
| Aynı kart/IP'den tekrar deneme | Excel veya hafızayla takip | Otomatik IP/kart eşleştirme ve şüpheli sipariş uyarısı |
| "Kod gelmedi" itirazı | Ekran görüntüsü isteyip panelden arama | Sipariş no + teslimat zaman damgası tek ekranda |
| Bot ile stok deneme/tarama | Sunucu logu elle incelenir, geç fark edilir | Rate-limit + captcha + anlık stok uyarısı |
| Sahte/kara borsa kod satın alma | Tedarikçi güveni kişisel ilişkiye dayalı | Doğrudan Turkpin/Pinabi API entegrasyonu, kayıtlı tedarikçi |
Çalıntı kartla alım: Fark etmeden suça ortak olabilir misiniz?
Çalıntı kredi kartı bilgileriyle yapılan alışverişler, dolandırıcılar için "carding" olarak bilinen bir test sürecinin parçasıdır. E-pin siteleri, küçük tutarlı ve anında sonuç veren yapısı yüzünden bu testler için ideal bir zemin sunar.
- Dolandırıcı, çalıntı kart bilgisinin hâlâ geçerli olup olmadığını anlamak için önce küçük tutarda bir e-pin satın alır ("kart testi").
- İşlem onaylanırsa, aynı kartla daha yüksek tutarlı alışverişlere geçilir.
- Site sahibi bu aşamada bir şey fark etmez; sorun genelde kartın gerçek sahibi bankaya itiraz ettiğinde, haftalar sonra ortaya çıkar.
- Kısa sürede aynı IP'den, farklı kart numaralarıyla art arda küçük denemeler görülüyorsa bu, kart testi belirtisidir.
Site sahibinin kasıtlı bir suç işlemesi söz konusu değildir, ama denetimsiz bir ödeme altyapısı, istemeden kart testi merkezine dönüşebilir — bu da ödeme sağlayıcıyla ilişkinizi doğrudan riske atar.
Aynı IP adresinden kısa aralıklarla farklı kartlarla yapılan küçük tutarlı denemeleri gördüğünüzde, o IP'yi geçici olarak sınırlayın veya manuel onaya alın. Bu tek kural, çoğu kart testi girişimini daha ilk adımda durdurur.
Sahte bayi tuzağı: "Ucuz kod" nasıl sizi batırır?
Bu yöntem müşteriyi değil, doğrudan site sahibini hedef alır. Piyasa fiyatının belirgin şekilde altında kod veya toplu bakiye teklif eden "tedarikçiler", genelde iki şekilde çalışır: ya çalıntı kartlarla üretilmiş kodlar satarlar ya da hiç göndermeden ödeme alıp kaybolurlar.
- Telegram veya WhatsApp üzerinden gelen, resmi API'si olmayan "özel indirimli" tedarikçi teklifleri en riskli gruptur.
- Satın alınan kod, birkaç gün içinde tedarikçi tarafından iptal edilebilir — müşteriye satılmış, kullanılmış ama sonradan geçersiz kalmış bir kod, itibarınıza doğrudan zarar verir.
- Kayıtlı, sözleşmeli tedarikçiler (Turkpin, Pinabi gibi) API üzerinden çalışır; kod geçmişi ve iptal politikaları nettir.
- Bir tedarikçiyle çalışmadan önce şirket kaydını, API dokümantasyonunu ve mevcut kullanıcı yorumlarını kontrol etmek, kısa vadeli "ucuz kod" cazibesinden daha değerlidir.
Bot saldırıları: Sitenizi kim, nasıl boşaltıyor?
Otomatik botlar, e-pin sitelerinde iki farklı amaçla kullanılır: kupon/indirim kodlarını kaba kuvvetle (brute force) denemek ve stok bilgisini toplayıp rakip sitelerde fiyat avantajı elde etmek için sürekli tarama yapmak.
- Kupon kodu alanına saniyede onlarca deneme gönderen botlar, doğru kombinasyonu bulana kadar sistemi yorar.
- Stok tarayan botlar, sunucu kaynaklarını gereksiz yere tüketir ve gerçek müşterilerin sayfa yükleme hızını düşürür.
- Bazı botlar, kayıt formunu otomatik doldurarak sahte hesaplar açar; bu hesaplar daha sonra çalıntı kart testleri için kullanılır.
- Captcha, istek sınırlama (rate limiting) ve anormal davranış tespiti olmayan sitelerde bu tür saldırılar günlerce fark edilmeden devam edebilir.
Bot trafiği çoğu zaman "az miktarda ekstra yük" gibi görünür, ama aslında sonraki dolandırıcılık dalgalarının keşif aşamasıdır — sistemi tanımak için yapılan bir ön çalışmadır.
Peki bütün bu riskleri tek seferde kapatmanın bir yolu var mı?
Pinova; 3D Secure destekli ödeme altyapısı, otomatik teslimat log'u, kayıtlı tedarikçi API entegrasyonu (Turkpin/Pinabi) ve rate-limit korumasını tek bir panelde birleştirerek bu beş dolandırıcılık türüne karşı somut bir savunma hattı kurar.
Chargeback geldiğinde kodu geri alabilir miyim?
Hayır, kod bir kez müşteriye teslim edilip kullanıldıktan sonra teknik olarak geri alınamaz. Bu yüzden asıl strateji, riskli işlemi teslimattan önce yakalamaktır — 3D Secure zorunluluğu ve şüpheli sipariş uyarıları bu noktada devreye girer.
Manuel WhatsApp/Telegram üzerinden kod satmak neden daha riskli?
Manuel süreçte işlem kaydı, IP takibi ve otomatik doğrulama olmadığı için hem "kod gelmedi" itirazlarını kanıtlamak zorlaşır hem de kart testi girişimlerini fark etmek gecikir.
Ucuz kod satan tedarikçilerden nasıl korunurum?
Şirket kaydı, resmi API'si ve geçmiş kullanıcı referansları olmayan, sadece mesajlaşma uygulaması üzerinden çalışan tedarikçilerden uzak durun; kayıtlı tedarikçilerle (Turkpin, Pinabi vb.) API üzerinden çalışmak riski büyük ölçüde azaltır.
Pinova bu dolandırıcılık türlerinin hepsini tek başına engeller mi?
Hiçbir sistem dolandırıcılığı yüzde yüz sıfırlayamaz, ama Pinova otomatik log tutma, 3D Secure, rate-limit ve API'li tedarikçi entegrasyonuyla tespit ve müdahale süresini dakikalara indirir; bu da hasarı büyük ölçüde sınırlar.