E-Pin Yazılımı Üzerinden Kara Para Aklama Riskleri ve Önlemler

Bir e-pin veya dijital ürün satış sitesi işletiyorsanız muhtemelen aklınıza ilk gelen risk "stok bitmesin, tedarikçi API çökmesin" oluyor. Oysa sektörün konuşulmayan ama gerçek bir tehdidi var: e-pin ve dijital kod ticareti, hızlı, anonimleştirilebilir ve sınır ötesi olması sayesinde kara para aklama için cazip bir kanal haline gelebiliyor. Bu yazıda bu riskin neden var olduğunu, hangi davranışların alarm çalması gerektiğini ve bir platformun kendini nasıl koruyabileceğini konuşuyoruz.

E-pin ticareti neden kara para aklayıcıların radarına giriyor?

Dijital kod satışının kara para aklama açısından "çekici" olmasının teknik bir sebebi var: para, fiziksel bir üründen çok daha hızlı ve iz bırakmadan el değiştirebiliyor. Bir kişi çalıntı bir kredi kartıyla ya da yasa dışı yollardan elde ettiği parayla yüklü miktarda e-pin satın alıp bunları ikinci el pazaryerlerinde veya kendi kurduğu sahte bir mağazada indirimli satarsa, ortaya "temiz" görünen bir nakit akışı çıkar. Bu döngüye "kod yıkama" (code laundering) deniyor ve global ölçekte hediye kartı/oyun kodu dolandırıcılığının bilinen bir alt koludur.

Riski artıran birkaç yapısal özellik var:

• Dijital ürün anında teslim edilir; fiziksel kargo takibi, adres doğrulama gibi doğal frenler yoktur.
• Kod, bir kez satıldıktan sonra kimin elinde olduğu izlenemez — nakde çok yakın bir "taşınabilir değer" haline gelir.
• Küçük tutarlı çok sayıda işlem, tek büyük işleme göre bankacılık sistemlerinin dikkatini daha az çeker.
• Uluslararası tedarikçi ağları (Turkpin, Pinabi gibi) ve çok ülkeli müşteri tabanı, işlemi coğrafi olarak takip edilmesi zor hale getirir.

Bunu söylemek, her e-pin sitesinin suç aracı olduğu anlamına gelmiyor — tam tersine, sektörün büyük çoğunluğu tamamen meşru. Ama platform sahibi olarak bu riski bilmemek, bir gün kendinizi habersizce bir soruşturmanın ortasında bulmanız demek.

Hangi işlemler "şüpheli" sayılır, alarm nerede çalmalı?

Şüpheli davranışların çoğu, tek başına bakıldığında masum görünür. Asıl sinyal, örüntüde saklıdır. Bir e-pin platformunda dikkat edilmesi gereken tipik desenler şunlar:

• Aynı IP veya cihazdan onlarca farklı hesap açılması ve her birinin küçük tutarlarda ama sık sık işlem yapması.
• Kısa sürede yüksek hacimli satın alma, ardından hemen ardışık iade veya kod iptali talepleri.
• Farklı ödeme yöntemleriyle (birden fazla kart, birden fazla banka hesabı) aynı hesaba yapılan yüklemeler — özellikle kartların isim/soyadı hesap sahibiyle uyuşmuyorsa.
• Coğrafi tutarsızlık: IP adresi bir ülkede, ödeme kartı başka bir ülkede, teslimat adresi (varsa) üçüncü bir ülkede.
• Bayi hesabı açıp hemen ardından cüzdana yüksek tutar yüklenip aynı gün büyük miktarda kod çekilmesi, sonra hesabın terk edilmesi.
• Site cüzdanına para yatırıp hiç ürün almadan defalarca bakiye transferi talep etmek (bu, e-cüzdan sistemlerinin en klasik aklama yöntemidir).

Tek bir işlem bunlardan birini taşıyorsa panik yapmaya gerek yok; ama aynı hesapta üç dört tanesi üst üste geliyorsa, bu artık bir "desen" ve manuel incelemeyi hak ediyor.

KYC ve işlem limitleri gerçekten işe yarıyor mu?

Kimlik doğrulama (KYC) ve günlük/aylık işlem limitleri, aklama girişimlerini engellemenin en ucuz ve en etkili yollarından biri — ama sadece doğru kurgulandığında. Sadece "kayıt formunda TC kimlik no alanı" koymak yeterli değil; asıl fark, bu verinin işlem davranışıyla birlikte değerlendirilmesinde ortaya çıkıyor.

İşe yarayan bir yaklaşım genelde üç katmanlı olur:

• Giriş eşiği: Belirli bir tutarın (örneğin günlük 5.000 TL) üzerindeki işlemlerde ek kimlik doğrulama istemek.
• Hız sınırı: Aynı hesaptan kısa aralıklarla arka arkaya yüksek tutarlı işlem yapılmasını otomatik olarak geciktirmek veya manuel onaya düşürmek.
• Cüzdan davranışı izleme: Bakiyeye giren ile çıkan tutarların oranı bozulduğunda (yükleme çok, ürün alımı az) bunu ayrı bir kuyrukta işaretlemek.

Gerçek dünyada bunu elle yapmaya çalışan siteler genelde iki şeyden birini yaşıyor: ya limitler o kadar sıkı tutuluyor ki gerçek müşteriler rahatsız oluyor, ya da limitler gevşek bırakılıp risk göz ardı ediliyor. Otomatik, kural tabanlı bir sistem olmadan bu dengeyi tutturmak neredeyse imkânsız.

Bayi ağı bir güvenlik açığına nasıl dönüşür?

Çok seviyeli bayi sistemi, e-pin işinin en güçlü büyüme motorlarından biri — ama aynı zamanda en az denetlenen katmanı da olabilir. Bir üst bayi, alt bayilerine kod satarken ya da bakiye tanımlarken, platform sahibinin gözünden kaçan bir "kapalı devre" oluşabilir.

Tipik zafiyet noktaları:

• Bir bayinin, kendi açtığı çok sayıda hayali alt bayiye kod aktarıp bunları farklı kanallarda nakde çevirmesi.
• Bayi bakiyesine yapılan ödemelerin kaynağının denetlenmemesi — bayi kendi cebinden mi ödedi, yoksa üçüncü bir kişiden mi tahsilat yaptı belli değil.
• Bayi seviyeleri arasında komisyon/indirim oranlarının, gerçek satış hacmiyle orantısız şekilde yüksek tutulup bunun bir "temizleme primi" gibi kullanılması.
• Alt bayi hesaplarının kısa ömürlü açılıp kapatılması, kalıcı bir iz bırakmadan hızlıca terk edilmesi.

Bayi ağı büyüdükçe bu tabloyu elle takip etmek imkânsızlaşır. Her bayinin ayrı işlem geçmişi, bakiye hareketi ve alt bayi ağacı görünür olmadan, üst yönetim kendi platformunda ne olup bittiğini gerçekte bilemez.

PayTR/Shopier gibi ödeme sağlayıcıları sizi nasıl korur, nasıl korumaz?

Türkiye'de PayTR ve Shopier gibi lisanslı ödeme kuruluşları kendi tarafında ciddi bir risk kontrolü yapar: kart sahibi doğrulama (3D Secure), fraud skorlama, ani hacim artışlarında hesap dondurma gibi mekanizmalar bunların standart parçası. Bu, tek başına önemli bir güvenlik katmanı sağlar ve birçok basit dolandırıcılık girişimini daha kartın çekildiği anda durdurur.

Ama şunu net söylemek gerekir: ödeme sağlayıcısının koruması, sizin platformunuzun içindeki davranışı görmez. PayTR bir kartın çalıntı olup olmadığını denetleyebilir ama o kartla alınan kodun kime, hangi bayi üzerinden, hangi sıklıkla satıldığını bilemez — bu bilgi sadece sizin panelinizde vardır. Yani sorumluluk iki katmana bölünmüş durumda:

• Ödeme sağlayıcısı → kartın/ödemenin kendisinin meşruluğunu kontrol eder.
• Platform sahibi (siz) → o ödemeyle yapılan işlemin davranışsal örüntüsünü izlemekle yükümlüsünüz.

İkisi birbirinin yerine geçmez. Sadece "ödeme sağlayıcım güvenilir, o yüzden ben güvendeyim" demek, kara para aklama riskinin yarısını görmezden gelmek anlamına gelir.

Bir e-pin platformu yasal yükümlülüklere karşı ne yapmalı?

Türkiye'de kara para aklamayla mücadele, esas olarak MASAK (Mali Suçları Araştırma Kurulu) çerçevesinde yürütülüyor. E-pin siteleri doğrudan "yükümlü" kuruluş listesinde olmasa da, ödeme kuruluşlarıyla (PayTR, Shopier vb.) çalıştığınız için onların KYC ve raporlama politikalarına uymak zorunludur — ve platformunuzda fark ettiğiniz açık bir şüpheli davranışı görmezden gelmek, ilerleyen bir soruşturmada sizi de sorumlu tarafa yaklaştırır.

Pratikte yapılabilecekler:

• Kullanım koşullarına şüpheli işlemlerde hesabı dondurma ve inceleme hakkınızı açıkça yazın.
• Belirli bir tutarın üzerindeki işlemlerde kimlik/adres bilgisi talep edin ve bunu saklayın (KVKK'ya uygun şekilde).
• Tüm işlem, bayi hareketi ve cüzdan transferlerinin en az birkaç yıl geriye dönük loglarını tutun — bir talep geldiğinde ibraz edebilmelisiniz.
• Ödeme sağlayıcınızın fraud/uyarı bildirimlerini görmezden gelmeyin; bu bildirimler genelde geç değil, tam zamanında gelir.
• Bayilerinizle yaptığınız sözleşmelere, onların da kendi alt bayilerinde benzer kontrolleri uygulama yükümlülüğü ekleyin.

Bunların hiçbiri karmaşık hukuki adımlar değil; asıl zorluk, bunları manuel olarak sürdürülebilir kılmak. İşte tam burada altyapı devreye giriyor: Pinova gibi bir sistem, bu kontrolleri panel içine gömerek "hatırlamanız gereken bir kural" olmaktan çıkarıp "otomatik çalışan bir mekanizma" haline getiriyor — KYC alanları, bayi bazlı limitler, cüzdan hareket logları ve tedarikçi (Turkpin/Pinabi) entegrasyon kayıtları tek panelde birleşiyor.