Çoğu satıcı, ödeme tarafındaki ilk büyük krizi "bankam sorun çıkardı" diye yaşar. Bir sabah panele bakar; gece boyunca yüzlerce başarısız ödeme denemesi görünür, aralarına serpilmiş birkaç başarılı 9 liralık işlem vardır, sonra ödeme sağlayıcısından gelen o mail düşer: hesabınız incelemeye alındı. İlk tepki hep aynıdır, "biz bir şey yapmadık ki". Doğru, sen bir şey yapmadın. Siten, çalınmış kart listesinin geçerliliğini ölçmek için kullanılan bir test tezgâhına dönüştü ve bunun bedeli itiraz oranı olarak senin dosyana yazıldı.
Kart testi saldırısı, siber saldırıların en sıkıcı ama en yıkıcı türü. Amacı senden para çalmak değil; elindeki kart numaralarından hangilerinin canlı olduğunu ucuza öğrenmek. Bu yüzden hedef seçerken büyük siteyi değil, küçük tutarlı ürünü olan, anında teslimat yapan ve ödeme formunda hız sınırı bulunmayan siteleri arar. E-pin ve dijital ürün satan bir işletme bu tarifin tam ortasında duruyor. İyi haber şu: bu saldırı türünün imzası çok belirgin ve doğru kurulmuş bir e-pin satış scripti ile ilk on dakikasında durdurulabilir. Aşağıda nasıl tanınacağını, nerede durdurulacağını ve saldırı anında ne yapacağını sırayla kuruyoruz.
Kart Testi Nedir ve Neden Senin Sitenin Bayıldığı Gece Başlar?
Saldırgan bir yerden çalınmış kart verisi satın alır, ama listenin ne kadarının hâlâ geçerli olduğunu bilmez. Geçerliliği ölçmenin en ucuz yolu küçük bir işlem denemek: tutar düşük olduğu için bankadan ek doğrulama gelme olasılığı azalır, kart sahibi de 9 liralık hareketi günlerce fark etmez. Onay dönen kartlar "canlı" olarak işaretlenir ve gerçek dolandırıcılık başka bir yerde yapılır. Yani senin siten cinayet mahalli değil, silah deneme poligonu. Saatin gece yarısını geçmesi tesadüf değil; hem hacim düşük olduğu için anormallik geç fark edilir, hem de destek ekibi çevrimdışıdır. Otomasyon bu boşluğu bilir ve en savunmasız olduğun saati özellikle seçer.
Saldırının İmzası: Sepet Tutarı Neden Hep Aynı Küçük Rakam?
Bu saldırı, insan davranışına hiç benzemediği için kolay tanınır. Gerçek müşteri ürüne bakar, sayfalar arasında gezinir, yorum okur, sepete ekleyip çıkarır, farklı tutarlar dener. Test otomasyonu ise tek ürünü seçer, hep aynı tutarı gönderir, formu saniyeler içinde doldurur ve başarısız denemeden sonra hiç durmadan yenisine geçer. Panelinde şu deseni ararsın: yüksek deneme sayısı, çok düşük başarı oranı, tek ürün, aynı tutar, kısa aralık. Yanına bir de aynı IP bloğu veya aynı tarayıcı imzası düşüyorsa şüphe kalmaz. Buradaki tek şart, başarısız ödeme denemelerini de kaydetmen. Birçok kurulum yalnızca başarılı siparişi loglar; o durumda saldırı panelinde hiç görünmez, yalnızca sağlayıcının mailiyle öğrenirsin.
| Gösterge | Normal trafik | Kart testi trafiği | Nerede görürsün |
|---|---|---|---|
| Ödeme başarı oranı | %75-92 | %2-10 | Ödeme log raporu |
| Sepet tutarı dağılımı | Geniş ve dalgalı | Tek tutarda yığılma | Sipariş listesi |
| Deneme aralığı | Dakikalar | Saniyeler | Zaman damgası |
| Ürün çeşitliliği | Çok ürün | Tek ürün | Ürün bazlı rapor |
| Hesap yaşı | Karışık | Dakikalar önce açılmış | Üye kayıt tarihi |
| IP dağılımı | Operatör ve şehir çeşitli | Veri merkezi / vekil ağırlıklı | Erişim logu |
| Kart parmak izi | Hesap başına 1-2 | Hesap başına 20+ | Ödeme sağlayıcı paneli |
Ödeme Sağlayıcın Seni Hangi Eşikte Kapatır?
Bu saldırının en pahalı kısmı çalınan para değil, kaybedilen ödeme altyapısı. Sağlayıcılar ve kart şemaları itiraz oranını izler; oran belirli bir yüzdeyi geçtiğinde önce izleme programına alınırsın, sonra rezerv tutulur, sonra hesap askıya alınır. Bir kart testi gecesi, itiraz oranını tek seferde eşiğin üstüne taşıyabilir çünkü başarılı geçen o küçük işlemlerin hemen hepsi ilerleyen haftalarda itiraz olarak geri döner. Üstüne her başarısız denemenin sağlayıcı tarafında işlem maliyeti vardır; binlerce deneme, hiç satış yapmadan fatura üretir. Bu yüzden kart testine "güvenlik meselesi" diye değil iş sürekliliği meselesi diye bakman gerekiyor. Ödeme kanalını kaybeden bir dijital ürün satış yazılımı kurulumu, teknik olarak çalışsa da ticari olarak durmuştur.
Kart testi gecesinin işletmeye yüklediği maliyet dağılımı
- İtiraz ve ceza bedelleri 45%
- Teslim edilmiş kodun kaybı 25%
- Başarısız deneme işlem ücretleri 20%
- Destek ve mutabakat iş gücü 10%
Hız Sınırı Koyacaksın, Ama Hangi Katmanda?
"IP başına dakikada 5 deneme" kuralı ilk akla gelen çözüm ve tek başına neredeyse işe yaramaz; çünkü saldırgan vekil havuzundan her denemede farklı IP çıkarır. Sınırı dört katmana birlikte kurmak gerekiyor. IP katmanı kaba filtredir, amatör denemeleri süzer. Hesap katmanı daha güçlüdür: bir üyenin gün içindeki başarısız ödeme sayısı sınırlanır, eşik aşılınca ödeme kapısı o hesap için saatlerce kapanır. Kart parmak izi katmanı en etkilisidir; aynı hesaptan farklı kartların denenmesini veya aynı kartın farklı hesaplarda görünmesini yakalar, bunun için sağlayıcının döndürdüğü kart takma kimliğini saklaman yeterlidir, kart verisini tutmana gerek yok. Ürün katmanı ise sessiz kahramandır: en düşük tutarlı ürününe yeni hesaplar için günlük adet sınırı koy, saldırganın favori kapısını kapat.
Panelinde yalnızca başarılı siparişler görünüyorsa saldırıyı asla erken göremezsin. Başarısız ödeme denemelerini hesap, IP, tutar, ürün ve zaman damgasıyla sakla ve saatlik başarı oranı düşünce otomatik uyarı kur. Tek bir uyarı, bir gecelik hasarı önler.
Otomatik Teslimatın Bu Saldırıda Neden En Büyük Riskin?
Kart testinin fiziksel ürün satan sitelerde maliyeti sınırlıdır; kargo çıkmaz, iş biter. Dijital üründe durum farklı: ödeme onayı dönen anda kod müşteriye gider, kod gittiği anda oyun sisteminde kullanılır ve geri alınamaz. Yani başarılı geçen her test işleminde hem itirazı hem stok kaybını yersin. Çözüm otomatik teslimatı kapatmak değil, koşullu hâle getirmek. Risk skoru yüksek siparişi teslim etmeden birkaç dakika beklet ve manuel onaya düşür. Hesap yaşı çok küçükse, kart daha önce hiç görülmemişse ve IP veri merkezindeyse skoru yükselt. Meşru müşterinin siparişi saniyeler içinde geçmeye devam eder; yalnızca şüpheli dar dilim gecikir. İyi bir epin yazılım kurulumunda bu kural ürün bazında ayarlanabilir olmalı, çünkü 15 liralık kod ile 1.500 liralık lisans aynı riski taşımaz.
Saldırı Anında 15 Dakikalık Müdahale Planı
Saldırı başladığında düşünmeye zaman yoktur, o yüzden planı önceden yazıp panelde erişilebilir bir yere koy. İlk üç dakika: en düşük tutarlı ürünü geçici olarak satıştan kaldır, saldırının kapısını kapat. Dördüncü ile yedinci dakika: yeni hesaplar için otomatik teslimatı manuel onaya al, böylece stok kaybı durur. Sekizinci ile onuncu dakika: başarısız deneme limitini geçici olarak sertleştir ve yoğunluk gösteren IP bloklarını kapat. On birinci ile on beşinci dakika: ödeme sağlayıcına yaz, saldırı altında olduğunu bildir ve o gece geçen küçük işlemleri kendin işaretle. Son adım en çok atlanan ama en değerli olan: sabah kalktığında geçici kuralları kaldırmayı unutma, aksi hâlde saldırıyı durdurup satışı da durdurmuş olursun.
| Kontrol | Ayarlanacak yer | Hedef değer |
|---|---|---|
| Başarısız ödeme logu açık | Ödeme modülü ayarları | Zorunlu |
| Hesap başına günlük başarısız deneme | Risk kuralları | 5-8 |
| Kart takma kimliği saklanıyor | Sağlayıcı entegrasyonu | Zorunlu |
| Yeni hesapta düşük tutarlı ürün limiti | Ürün bazlı kural | Günde 1-2 adet |
| Riskli siparişte teslimat beklemesi | Otomatik teslimat ayarı | 3-10 dakika |
| Saatlik başarı oranı uyarısı | Bildirim ayarları | %40 altına uyarı |
| Acil durum planı yazılı | Panel içi not / doküman | Yılda 1 tatbikat |
| Geçici kuralların geri alınması | Kural bitiş tarihi | Otomatik süreli |
Ödeme kapını saldırganın deneme tezgâhı olmaktan çıkar
Dört katmanlı hız sınırı, koşullu otomatik teslimat, başarısız deneme logu ve saatlik uyarılar; Pinova'da ayar ekranından açılır. Özellikleri incele, paketleri gör ve ödeme altyapını koru.
Kart testini ödeme sağlayıcım zaten engellemiyor mu?
Sağlayıcılar kendi tarafında filtre uygular ama sorumluluğu sitene bırakan bir eşik her zaman kalır. Deneme hacmi senin tarafında oluştuğu için itiraz oranı da senin dosyana yazılır; ilk sınırı sen koymalısın.
Otomatik teslimatı tamamen kapatsam daha güvenli olmaz mı?
Güvenli olur ama satışını bitirir; dijital ürünün en büyük avantajı anında teslimattır. Doğru yol teslimatı riskli dar dilim için geciktirmek, geri kalan siparişleri saniyeler içinde geçirmektir.
Kart verisi tutmadan kart parmak izi nasıl saklanır?
Sağlayıcılar işlem sonucunda kart numarasını değil, ona karşılık gelen takma bir kimlik döndürür. Sen bu kimliği saklarsın; kart verisi hiç sistemine girmez ama tekrarları yakalayabilirsin.
Saldırı geçtikten sonra ne yapmalıyım?
Geçici kuralları kaldır, o gece geçen küçük tutarlı işlemleri tek tek incele, teslim edilmiş kodları iptal etmeyi dene ve eşiklerini saldırıdan öğrendiğin desene göre kalıcı olarak güncelle.
Kart testi, hazırlıksız bir işletme için ödeme altyapısını kaybettiren bir gece; hazırlıklı bir işletme için panelde görünen ve on beş dakikada kapatılan bir olaydır. Aradaki farkı yaratan şey pahalı bir güvenlik yatırımı değil, doğru yere konmuş dört sınır ve başarısız denemeyi de gören bir kayıt katmanı. Risk kurallarının, ürün bazlı limitlerin ve koşullu teslimat ayarının gerçek panelde nasıl göründüğünü canlı demo üzerinden kendin dene; ardından kurulum adımına geçtiğinde ödeme kanalın seni değil saldırganı yormaya başlar.