Kart güvenliği

Açılış

Selin'in annesinin kartı kapatıldıktan iki gün sonra Selin Bursa'ya gitti. Annesiyle mutfak masasına oturdular ve neyin nasıl olduğunu birlikte çıkardılar.

Üç hafta önce annesi, sosyal medyada bir reklam görmüştü: çok sevdiği bir markanın ayakkabıları, yarı fiyatına. Siteye girmiş, kart numarasını, son kullanma tarihini ve kartın arkasındaki üç haneli kodu yazmıştı. Ödeme sırasında telefonuna bankadan bir doğrulama kodu gelmiş, onu da girmişti. Ayakkabılar hiç gelmemişti; annesi bunu kargonun gecikmesine yormuştu.

Sonra bildirim gelmişti: kendisinin yapmadığı, yurt dışındaki bir siteden küçük bir harcama. Bu harcama için telefonuna hiçbir kod gelmemişti.

Annesi tam bunu anlamıyordu. "Ama hep diyorlar ya, telefonuna gelen kodu vermezsen kimse kartını kullanamaz. Ben bu sefer kod vermedim ki."

Selin bir süre düşündü. Kodun neden gelmediği, kart bilgisinin bir kez çıktıktan sonra nerelerde kullanılabildiği ve bundan sonra kartı nasıl kullanmaları gerektiği; bunların hepsi aynı sorunun parçasıydı.

Tek fikir

Bir kartın numarası, son kullanma tarihi ve güvenlik kodu, bir kez ele geçince onu isteyen her yerde kullanılabilir; ek doğrulama her işlemde istenmeyebilir. Kart güvenliği bu bilgiyi az yerde bırakmak, harcamayı limitle ve bildirimle sınırlamak ve tanımadığın işlemi yasal süre içinde bildirmektir.

Nasıl çalışır

Önceki ders banka hesabının kapısını ele aldı. Kart başka bir kapıdır ve başka bir mantıkla çalışır.

Bir mağazada kartla ödediğinde, kart fiziksel olarak oradadır; çip ve şifre, kartın gerçekten sende olduğunu gösterir. İnternette ise kart yoktur, yalnız onun bilgileri vardır.

Bu bilgiler bir kez ele geçince, bilgileri bilen herkes kartın sahibi gibi görünür. Bu açığı kapatmak için kart ağları ek bir doğrulama katmanı geliştirdi.

Annesinin sorusunun cevabı bu etiketteydi. 3D Secure, uygulandığı işlemde kartın sahibine bir kod ya da uygulama onayı sorar. Ama her satıcı bu doğrulamayı istemez; bazı işlemler, özellikle bazı yurt dışı sitelerde, yalnız kart bilgileriyle tamamlanabilir. Annesinin girdiği kod, sahte ayakkabı sitesindeki işlemi onaylamıştı; sonraki harcama ise yalnız çalınan kart bilgileriyle, doğrulama istemeyen bir yerde yapılmıştı. "Kodu vermezsen kimse kullanamaz" cümlesi, bu yüzden yarım bir doğrudur.

Bunun sonucu açıktır: kart bilgisinin kendisi korunmalıdır, ve kart bilgisi sızdığında zararı sınırlayacak ayarlar baştan kurulmalıdır.

Sanal kart, bir sitede sızan kart bilgisinin asıl kartı değil, yalnız o küçük ve sınırlı kartı açığa çıkarmasını sağlar. Ödeme jetonlama da, telefonla temassız ya da uygulama içi ödemelerde gerçek kart numarası yerine bir jeton kullanarak benzer bir iş görür.

Son katman yasadır ve kart sahibinin sorumluluğunu belirler.

Bu maddelerin bir sonucu kritiktir: bildirimin hızı, sorumluluğun sınırını belirler. Ve ağır ihmal, örneğin şifrenin kartla birlikte taşınması, bu sınırı kaldırabilir.

Sahada

Savunma

Kart güvenliğinde önleme, kart bilgisini az yerde bırakmakla başlar. Asıl kart, mümkün olduğunca az siteye kaydedilir; internet alışverişleri ve abonelikler için bankanın sunduğu sanal kart kullanılır ve limiti, aylık ihtiyaca göre düşük tutulur. Telefonla temassız ödeme ya da uygulama içi ödeme, gerçek kart numarası yerine bir jeton kullandığı için, kartın kendisini göstermekten daha az bilgi bırakır.

İkinci önleme, kartın kendi ayarlarıdır. Birçok banka, internet alışverişini, yurt dışı kullanımı ve temassız ödemeyi ayrı ayrı açıp kapatmaya ve her biri için ayrı limit koymaya izin verir. Kullanmadığın özelliği kapatmak, sızmış bir kart bilgisinin kullanılabileceği yerleri daraltır. Kartın şifresi kartla birlikte taşınmaz, kimseye söylenmez.

Tespit tarafında iki araç vardır: anlık bildirim ve ekstre. Her kart harcaması için bildirim açıksa, tanımadığın bir işlem dakikalar içinde görünür. Ekstre ise bildirimin kaçırdığını yakalar: küçük, tekrar eden, adı tanıdık gelmeyen ödemeler. Kanunun itiraz süresi son ödeme tarihinden itibaren on gün olduğu için, ekstreyi son ödeme tarihinden önce okumak bir alışkanlık değil, bir haktır.

Müdahalede hız her şeydir. Kartın kaybolduğunu, çalındığını ya da tanımadığın bir işlem yapıldığını öğrendiğin anda bankayı, kartın üstündeki müşteri hizmetleri hattından ya da bankanın resmî sitesinde yazan numaradan ara ve kartı kapattır; kanun bildirimi derhâl yapma yükümlülüğü verir ve sorumluluk sınırını bildirim anına bağlar. Sonra itirazını yazılı yap; ekstrenin hangi satırına neden itiraz ettiğini belirt. Kart bilgisini girdiğin bir sahte site varsa, adresini ve tarihini not et. Ve sanal kart kullandıysan, onu kapatıp yenilemek çoğu zaman tek başına yeterlidir.

Uygulama

Kendi kartlarının ayarlarını ve ekstreni gözden geçireceksin.

Ekstre okumak on dakika sürer; tanımadığın bir abonelik, çoğu zaman bir sızıntının ilk ve tek izidir.

Defter: Para bölümüne her kart için internet, yurt dışı ve temassız ayarlarının durumu ve limitleri, sanal kartın limiti ve hangi sitelere kayıtlı olduğu, kart harcaması bildiriminin açıldığı tarih ve itiraz takvimi.

Hata köşesi

Etik ve sınırlar

Kart bilgileri yalnız kart sahibine aittir; başkasının kartını, onun izniyle bile, kart sahibi sen değilsen kullanmak, sorumluluğu belirsiz bırakır ve bir anlaşmazlıkta iki tarafı da zor durumda bırakır. Bir yakının kart ayarlarına yardım ederken ekranı o kullanır, kararı o verir. Bir sitede ya da bir mesajda başkasına ait kart bilgisine rastlarsan, onu denemek, saklamak ya da paylaşmak yerine, bankaya ya da sitenin sahibine bildir; başkasına ait bir kartı sahibinin rızası olmadan kullanmak, kartların kötüye kullanılmasını düzenleyen ceza hükmüne, madde iki yüz kırk beşe göre suçtur. Kendi kartın üzerinde de bir sınır vardır: bir harcamanın gerçekten tanımadığın bir işlem olduğundan emin olmadan itiraz etmek, itiraz sürecini kötüye kullanmaktır. Buradaki kontrollerin hepsi senin kartın ve hesabın içindir.

Kapanış

1. İnternet ödemeleri kart mevcut olmayan işlemlerdir; kart numarası, son kullanma tarihi ve güvenlik kodu bir kez ele geçince, ek doğrulama istemeyen her yerde kullanılabilir.
2. 3D Secure doğrulaması kart bilgisinin yanına bir onay ekler ama her işlemde istenmez; sanal kart, düşük limit, kapatılan kullanım türleri ve jetonlu ödeme, sızan bir kart bilgisinin zararını sınırlar.
3. Kanuna göre bildirimden önceki yirmi dört saatteki kullanımda kart sahibinin sorumluluğu sınırlıdır, ama ağır ihmal ya da bildirim yapılmaması bu sınırı kaldırır; itiraz süresi son ödeme tarihinden itibaren on gündür.

Üç soru

1. Selin'in annesi doğrulama kodunu kimseye vermediği hâlde kartı neden kullanılabildi?
2. Duru'nun sanal kart kullanması, müzik aboneliği hizmetinin veri ihlalinde ona ne kazandırdı?
3. Nilüfer Hanım'ın cüzdanındaki şifre kâğıdı, kanunun koruması açısından neden bir riskti?

Yanıtlar

1. Annesi kart numarasını, son kullanma tarihini ve güvenlik kodunu sahte bir sitede girmişti; girdiği doğrulama kodu o sahte işlemi onaylamıştı. Sonraki harcama ise yalnız çalınan kart bilgileriyle, 3D Secure doğrulaması istemeyen bir yurt dışı sitede yapıldı. Doğrulama her işlemde istenmediği için, kart bilgisi tek başına yetti.
2. Sızan kart bilgisi asıl kartı değil, yalnız düşük limitli sanal kartı açığa çıkardı. Duru sanal kartı kapatıp yenisini üretti ve aboneliğe girdi; asıl kartı ve banka hesabı etkilenmedi, bütün işlem beş dakika sürdü.
3. Kanun kart sahibine kartı ve şifresini güvenli biçimde koruma yükümlülüğü verir ve kullanımın kart sahibinin ağır ihmaline dayanması hâlinde sorumluluk sınırının uygulanmayacağını söyler. Şifrenin kartla birlikte cüzdanda durması, cüzdan çalındığında ağır ihmal sayılabilir ve sınırlı sorumluluk korumasını kaldırabilirdi.

Sonraki derse köprü

Selin'in annesinin kartı, yarı fiyatına ayakkabı satan bir sitede ele geçti. Sahte alışveriş siteleri dersi o siteye geri dönüyor: gerçek olamayacak kadar iyi bir fiyatın, eksik iletişim bilgisinin ve tuhaf bir ödeme yönteminin bir sitenin sahte olduğunu nasıl ele verdiğine bakıyor.