E-Pin Sektöründe Güvenlik: Sahtekarlık Önleme ve Kod Güvenliği (Uygulanabilir Rehber)

E-pin (dijital kod) satışı “anında teslimat” avantajı yüzünden çok kârlı olabilir; ama aynı sebeple güvenlikte en küçük açık, doğrudan para kaybına dönüşür. Fiziksel üründe kargoyu durdurursun, depoyu sayarsın… Dijital kodda ise bir kere sızdı mı geri dönüş yok.

Bu yazıda iki şeye odaklanacağız: (1) Kodlarınızı nasıl korursunuz? (2) Sahtekarlığı nasıl azaltırsınız? Hem teknik, hem de operasyon tarafını “gerçekten uygulanabilir” şekilde anlatacağım.

1) E-pin satışında en sık görülen riskler

1.1 Kod sızıntısı (içeriden / dışarıdan)

• Panelde fazla yetkisi olan personelin kodları dışarı çıkarması
• Paylaşılan admin şifreleri / zayıf parola / 2FA olmaması
• Loglanmayan işlemler (kim, ne zaman, hangi kodu gördü?)
• Şifrelenmemiş dosya/Excel ile kod depolama ve paylaşma

1.2 Ödeme dolandırıcılığı ve chargeback

• Çalıntı kartla satın alım, kod teslimi, sonra itiraz (chargeback)
• Aynı kişi/cihazdan yüksek hızda tekrar eden denemeler
• Şüpheli ülkelerden/konumlardan ani sipariş patlamaları

1.3 Bot saldırıları ve otomasyon

• Stok/kod tüketme saldırıları (hem zarar hem operasyon kilidi)
• Deneme-yanılma ile kupon kırma, hesap ele geçirme denemeleri
• Ödeme sayfasını “zorlayan” yoğun trafik

1.4 “Kod çalışmıyor” anlaşmazlıkları

• Yanlış ürün/ülke/region kodu alınması
• Kodun daha önce kullanılmış çıkması (tedarikçi hatası ya da sızıntı)
• Müşterinin yanlış aktivasyon adımı

2) Kod güvenliği: Kodları nasıl saklamalısın?

2.1 Kodları düz metin (plaintext) saklama: yapma

“Veritabanında dursun, panelden çekelim” mantığı tek başına yetmez. Kodlar yüksek değerli varlık gibi düşünülmeli. En azından şifreleme + erişim kontrolü + iz kayıtları üçlüsü şart.

2.2 Şifreleme (en az) iki katmanda olmalı

• Aktarımda şifreleme: Panel, API ve servis çağrıları TLS üzerinden çalışmalı.
• Depolamada şifreleme: Kod alanı, mümkünse uygulama katmanında şifrelenip DB’ye öyle yazılmalı.

Ekstra sağlamlık için, şifreleme anahtarlarını uygulama sunucusunda “hardcode” etme; ayrı bir anahtar yönetimi yaklaşımı kullan. (En azından erişimi sınırlandırılmış, döndürülebilir anahtarlar.)

2.3 Kodlara erişim: “minimum yetki” kuralı

E-pin panelinde en çok yapılan hata: herkesin her şeyi görmesi. Halbuki:

• Operasyon ekibi kodun tamamını görmek zorunda değilse görmemeli.
• Muhasebe ekibi kodla değil sipariş/ödeme ile ilgilenmeli.
• Destek ekibi kodu tam görmek yerine maskeli görmeli (örn: XXXX-XXXX-1234).

2.4 Loglama: “İspat” üretmeyen sistem güvenli sayılmaz

Bir olay olduğunda “kim yaptı?” sorusuna cevap veremiyorsan, güvenlik sadece bir his olur. Şunları logla:

• Kod görüntüleme (kim, ne zaman, hangi IP/cihaz)
• Kod teslimi (hangi siparişe, hangi müşteri hesabına)
• Kod iade/iptal/yenileme (yetkili kim?)
• Panel girişleri (başarısız denemeler dahil)

3) Güvenli teslimat: “Kodu nasıl veriyorsun?” asıl kritik nokta

3.1 Kodu e-posta ile direkt göndermek riskli olabilir

E-posta kutuları ele geçirilebilir, iletim zinciri uzundur, yanlış adrese gidebilir. Daha güvenli bir desen: kod hesabın içinde görüntülensin ve kullanıcı giriş yaptıktan sonra görsün.

3.2 “Tek sefer gösterim” ve maskeli görüntüleme

• Kod ilk gösterimde tam görünür, sonra “yeniden göster” için ekstra doğrulama ister.
• Destek ekranlarında kodun çoğu maskeli tutulur.
• Kod görüntüleme bir “event” olarak loglanır.

3.3 Teslimat kanalı çeşitliliği

Müşteriye sadece bir kanal verme: hem hesap içi görüntüleme hem e-posta bildirim (kodun kendisi değil, “kodun hazır” bilgisi) gibi. Böylece “mail gelmedi” kaosu azalır, güvenlik de bozulmaz.

4) Sahtekarlık önleme: ödeme ve sipariş akışında koruma

4.1 Hız (velocity) kuralları

• Aynı kart / aynı cihaz / aynı IP ile kısa sürede çok sipariş → ek doğrulama
• Sepet tutarı ani zıpladıysa → riskli işlem işaretle
• Arka arkaya başarısız ödeme denemeleri → geçici bloke

4.2 3D Secure ve doğrulama adımları

Dijital ürünlerde “teslimat anlık” olduğu için doğrulama daha kıymetli. 3D Secure gibi ek doğrulamalar, dönüşümü biraz etkileyebilir ama dolandırıcılık maliyeti genelde daha ağır olur.

4.3 Bot ve saldırı trafiğine karşı temel savunmalar

• Rate limiting (özellikle login, ödeme, kod görüntüleme uçları)
• Şüpheli trafikte ek doğrulama (captcha vb.)
• Admin paneli için IP kısıtı / VPN zorunluluğu (mümkünse)

5) Tedarikçi ve stok yönetimi: “Kaynağın temiz mi?”

Kodun güvenliği sadece senin sisteminden ibaret değil; tedarikçi tarafı da var. Burada pratik yaklaşım:

• Tedarikçi kodlarını parti (batch) bazında içeri al, her partiyi etiketle.
• Kodun “ilk kez ne zaman sisteme girdiğini” tut.
• Aynı kod iki kez içeri alınmasın diye benzersizlik kontrolü yap.

6) “Kod çalışmıyor” süreçleri: güveni kaybetmeden çöz

Sahtekarlığı önlerken iyi müşteriyi de yakmamak lazım. En temiz yaklaşım:

1. Hızlı doğrulama: Kodun satıldı mı, görüntülendi mi, kaç kez denendi?
2. Aktivasyon rehberi: Region/ürün uyumu ve adım adım aktivasyon.
3. İade/yenileme politikası: Net kurallar, net süreler, net iletişim.

7) Hızlı kontrol listesi (kopyala-yapıştır değil, gerçekten işe yarar)

• 2FA (admin ve kritik roller için zorunlu)
• Rol bazlı yetki (kod görme yetkisini minimumda tut)
• Şifreli saklama (depolamada + aktarımda)
• Güvenli teslimat (hesap içi görüntüleme + tek sefer gösterim)
• Log & denetim izi (kod görüntüleme/t teslim dahil)
• Rate limiting (login/ödeme/kod görüntüleme)
• Velocity kuralları (aynı IP/cihaz/kart davranış analizi)
• Tedarikçi batch takibi (kaynağı ve partiyi izleyebil)
• Chargeback stratejisi (riskli işlemlerde ek doğrulama)
• Olay planı (hesap kilitleme, anahtar döndürme, kayıt inceleme)

8) BerkiTech bakışı: güvenlik “modül” değil, tasarım kararı

BerkiTech tarafında biz bu konuyu “sonradan eklenen ayar” gibi değil, en baştan akışın parçası gibi ele alıyoruz: kod tesliminin loglanması, rol bazlı yetkilendirme, şüpheli işlem kuralları gibi parçalar büyüdükçe elini güçlendirir.

Sık sorulan sorular

E-pin satışında en büyük risk nedir?

Genelde iki şey: kod sızıntısı ve ödeme dolandırıcılığı. İkisi de “anlık teslimat” yüzünden hızlı zarara döner.

2FA gerçekten şart mı?

Evet. Özellikle admin paneli için. Tek başına her şeyi çözmez ama en sık yaşanan hesap ele geçirme vakalarını ciddi azaltır.

Kodu e-posta ile göndermeyelim mi?

Göndermek zorundaysan bile “kodun kendisini” değil, “kodu hesabında görüntüle” bildirimini tercih et.

İyi müşteriyi rahatsız etmeden fraud nasıl azaltılır?

Kuralları “kademeli” uygula: önce izleme, sonra ek doğrulama, en son bloklama. Herkesi aynı kefeye koyma.

Kod çalışmıyor diyen müşteriye yaklaşım nasıl olmalı?

Önce hızlı teknik doğrulama, sonra net yönlendirme, gerekiyorsa adil telafi. Savunmaya geçmek yerine çöz.

Son söz: Dijital ürün satışında güvenlik, “bir kere kurduk bitti” işi değil. Süreç, log, yetki ve teslimat birlikte çalışınca sağlam olur.