E-Ticarette Dolandırıcılık ve Chargeback: Kaybı Durdurma Rehberi

Bir sabah panele girdiniz ve dün gece saat 03:12'de tek karttan, farklı isimlerle, art arda 7 sipariş geçtiğini gördünüz. Hepsi en pahalı ürünlerinizden, hepsi aynı kargo noktasına. Üç gün sonra bankadan "ters ibraz" (chargeback) bildirimi gelir: kart sahibi işlemi tanımadığını söylemiştir. Ürün gitmiştir, para geri çekilmiştir, üstüne bir de işlem ücreti kesilmiştir.

Dolandırıcılık, e-ticarette en sessiz kâr eriten kalemdir. Çünkü ciroya yansımaz; doğrudan net kârdan düşer. İyi haber: saldırıların büyük çoğunluğu birkaç tanıdık desende ilerler ve katmanlı bir savunmayla durdurulabilir.

Gerçek maliyeti küçümsemeyin

Bir chargeback'in size maliyeti sadece sipariş tutarı değildir. Tipik bir 1.000 TL'lik sahte siparişte kaybınız şöyle birikir:

• Ürün maliyeti: Gönderilen mal geri gelmez.
• Kargo + operasyon: ~60-90 TL.
• Chargeback işlem ücreti: Banka/sanal POS başına 100-250 TL.
• Zaman: İtiraz dosyası hazırlamak ortalama 30-45 dakika.

Dahası, chargeback oranınız işlem hacminizin %1'ini aştığında sanal POS sağlayıcınız (iyzico, PayTR, KuveytTürk) sizi "yüksek riskli" segmente alır, komisyonunuzu yükseltir, hatta hesabınızı askıya alabilir. Yani sorun sadece para değil; ödeme altyapınızın sürekliliğidir.

Üç ana saldırı tipini tanıyın

1. Kart dolandırıcılığı (çalıntı kart). Saldırgan başkasının kartıyla alışveriş yapar. Gerçek kart sahibi fark edince ters ibraz açar. En klasik ve en pahalı senaryodur.

2. Dostane dolandırıcılık (friendly fraud). Müşteri ürünü gerçekten almıştır ama "tanımıyorum" diyerek bankadan parayı geri ister. Türkiye'de en hızlı büyüyen tiptir; çünkü tüketici bunu risksiz bir "para iadesi" yolu sanır.

3. Kapıda ödeme oyunu. Sahte adres ve isimle onlarca sipariş açılır, hiçbiri teslim alınmaz ya da boş kutu iade edilir. Ödemesiz kargo masrafı sizin sırtınızda kalır.

Savunma katmanı 1: Ödeme tarafı

İlk hat, paranın geçtiği yerdir.

• 3D Secure'u zorunlu tutun. Şifreli doğrulamada işlem sorumluluğu (chargeback riski) çoğu senaryoda bankaya geçer. Dönüşüm kaygısıyla 3D'siz işleme izin veriyorsanız, en azından yüksek tutarlı ve gece saatlerindeki siparişlerde zorunlu kılın.
• Sanal POS'un fraud kurallarını açın. iyzico ve PayTR panellerinde hazır risk skorlama modülleri vardır: aynı karttan dakikalar içinde tekrar deneme, ülke uyumsuzluğu (yurt dışı IP + TR kart), çok sayıda başarısız deneme gibi sinyalleri otomatik bloklayabilirsiniz.
• BIN/ülke kontrolü yapın. Kartın ilk 6 hanesi (BIN) hangi banka ve ülkeden olduğunu söyler. IP'si Türkiye dışından gelen ama yabancı kart kullanan bir siparişi otomatik incelemeye düşürün.
• Hız limiti (velocity) koyun. Aynı IP, aynı e-posta veya aynı kart 10 dakikada 3'ten fazla sipariş denerse durdurun.

Savunma katmanı 2: Operasyon ve manuel inceleme

Otomatik kurallar her şeyi yakalamaz. Riskli siparişleri "onay bekliyor" durumuna alıp kargolamadan önce göz gezdirin. İncelemede bakacağınız sinyaller:

Risk sinyali	Neden şüpheli
Fatura ve teslimat adresi çok farklı şehirlerde	Çalıntı kart göstergesi
İlk siparişte en pahalı ürün + hızlı kargo	Tipik fraud davranışı
Gece 02:00-05:00 arası ardışık siparişler	Bot/toplu deneme
Tek haneyle değişen e-postalar (ali1@, ali2@)	Sahte hesap üretimi
Ücretsiz/geçici e-posta servisleri	İz bırakmama amacı
Telefonun açılmaması, sahte görünen adres	Kapıda ödeme oyunu

Pratik bir kural: şüpheli kapıda ödeme siparişlerini arayıp teyit edin. 30 saniyelik bir telefon, yüzlerce liralık boşa kargoyu önler. Yeni ve riskli müşterilerde kapıda ödemeyi tamamen kapatmak da meşru bir tercihtir.

Chargeback geldiğinde: itirazı doğru yapın

Ters ibraz otomatik kayıp değildir. Özellikle dostane dolandırıcılıkta, kanıtla geri kazanabilirsiniz. Banka itiraz dosyası için şunları hazırlı tutun:

• Kargo teslim belgesi ve alıcı imzası/teslimat fotoğrafı.
• Teslimat adresiyle kart sahibinin eşleştiğini gösteren kayıt.
• IP adresi, cihaz ve sipariş zaman damgası.
• Müşteriyle yazışmalar (WhatsApp, e-posta).
• 3D Secure doğrulama kaydı.

Bu belgeleri sistematik biri arşivlediğinizde, dostane dolandırıcılık itirazlarının önemli kısmını kazanabilirsiniz. iyzico/PayTR üzerinden gelen chargeback bildirimlerinde itiraz süresi genellikle kısadır (çoğu zaman 7-15 gün) — geç kalırsanız hakkınızı otomatik kaybedersiniz.

KVKK'yı unutmayın

Fraud önleme adına IP, cihaz bilgisi ve davranış verisi topluyorsanız, bu bir kişisel veri işleme faaliyetidir. Aydınlatma metninizde ve gizlilik politikanızda "dolandırıcılığın önlenmesi" amacını açıkça belirtin. Veriyi yalnızca bu amaçla, makul süre saklayın. e-Arşiv faturalarınızda ve sipariş kayıtlarında da bu verileri GİB ve KVKK uyumlu biçimde tutmanız, hem yasal hem de itiraz dosyalarınız için kanıt değeri taşır.

30 günlük aksiyon planı

1. Hafta 1: Sanal POS panelinizde fraud/risk modülünü açın, 3D Secure'u yüksek tutarlı işlemlerde zorunlu hale getirin.
2. Hafta 2: Yukarıdaki risk sinyallerini içeren bir "manuel inceleme" kuralı kurun; riskli siparişler kargolanmadan önce onay beklesin.
3. Hafta 3: Kapıda ödeme için telefon teyit akışı oluşturun, yeni müşterilerde limit koyun.
4. Hafta 4: Chargeback itiraz dosyası şablonunuzu hazırlayın, teslimat kanıtlarını otomatik arşivleyin. Aylık chargeback oranınızı bir tabloda takip etmeye başlayın.

Hedef basit: chargeback oranını işlem hacminizin %0,5'inin altında tutmak. Bu eşik, hem komisyonlarınızı düşük tutar hem de ödeme sağlayıcınızla ilişkinizi güvende tutar.

Savunmayı sisteme bağlayın

Dolandırıcılıkla mücadele, tek seferlik bir ayar değil; siparişin geçtiği andan teslimata kadar uzanan bir kurallar zinciridir. Shopizayn'da 3D Secure zorunluluğu, hız limitleri, riskli sipariş için otomatik inceleme kuyruğu ve kargo teslim kanıtı arşivini tek panelden kurabilir; iyzico, PayTR ve KuveytTürk POS entegrasyonlarıyla fraud sinyallerini sipariş akışınıza bağlayabilirsiniz. Kâr marjınızı gece 03:00'teki sahte siparişlere kaptırmadan büyümek için Shopizayn ile ücretsiz başlayın — ilk savunma katmanınızı bugün kurun, ilk chargeback'i beklemeyin.