Geçmiş olsun hocam, benzer vakalar son yıllarda oldukça sık görülüyor. Konuya siber güvenlik ve ödeme sistemleri açısından birkaç teknik noktayı açıklayayım.

Öncelikle 3D Secure olmadan işlem yapılabilmesi teknik olarak mümkün. Çünkü bazı uluslararası servislerde (Netflix, Spotify, Apple vb.) kart ilk kez tanımlandıktan sonra sonraki ödemeler “merchant initiated transaction” dediğimiz satıcı taraflı çekimler şeklinde yapılabiliyor ve her işlemde 3D Secure zorunlu olmuyor. Bu nedenle kart bilgilerinin bir şekilde ele geçirilmesi durumunda küçük tutarlı test çekimleri veya abonelik başlatmaları yapılabiliyor.

Kart bilgilerinin ele geçirilmesi genelde şu yollarla oluyor:


* Daha önce alışveriş yapılan bir sitenin veri sızıntısı yaşaması
* Zararlı yazılım / tarayıcı eklentileri
* Sahte ödeme sayfaları (phishing)
* Veri sızıntılarından elde edilen kart listeleri

Sizin doğru yaptığınız şeyler:


* Kartı hemen kapatmanız
* Bankaya itiraz sürecini başlatmanız
* Savcılığa suç duyurusunda bulunmanız

Bundan sonra süreç genelde şu şekilde ilerler:

1. Banka “harcama itirazı / chargeback” süreci başlatır. İş Bankası ilgili işlemi Visa/Mastercard ağı üzerinden incelemeye gönderir. Yetkisiz işlem olduğu tespit edilirse tutar çoğu durumda iade edilir.
2. Savcılık bankaya müzekkere yazar ve işlem detaylarını ister.
Bu detaylar genelde:

* İşlemin yapıldığı IP adresi
* Kullanılan cihaz bilgisi
* İşlem zamanı
* Merchant kayıtları

3. Eğer işlem bir dijital servis üzerinden yapılmışsa savcılık gerektiğinde ilgili firmaya da yazı yazabilir. Ancak pratikte yurt dışı firmalardan veri gelmesi uzun sürebiliyor.
4. Eğer IP Türkiye içinden çıkıyorsa ve başka bir suç dosyasıyla eşleşirse şüpheli tespit edilebiliyor. Ancak açık konuşmak gerekirse bu tür kart bilgisi kullanımı vakalarında failin bulunma oranı çok yüksek değil. Çoğu zaman kart bilgileri “carding” dediğimiz şekilde farklı kişiler arasında dolaşabiliyor.

Bu tarz durumlarda ayrıca şunları da yapmanızı öneririm:

* Bankanızdan internet alışverişlerini kapatıp gerektiğinde açılan kart ayarı kullanın
* Kart limitini düşük tutun veya sanal kart kullanın
* E-posta adresinizi veri sızıntısı sitelerinde kontrol edin
* Kartınızı hiçbir sitede kayıtlı bırakmamaya çalışın

Son olarak, savcılık dosyaları genelde birkaç ay içinde ya takipsizlik ya da soruşturmanın devamı şeklinde ilerler. Banka tarafındaki itiraz süreci ise çoğu zaman 30-90 gün arasında sonuçlanır.