E-Ticarette Dolandırıcılık ve Ters İbraz (Chargeback) Nasıl Önlenir?

Kısa cevap: E-ticarette dolandırıcılık yalnızca çalıntı kartla yapılan alışverişten ibaret değildir; "arkadaş dolandırıcılığı" denen haksız harcama itirazları, kapıda ödemede sahte ya da reddedilen siparişler, boş kutu veya farklı ürün iadesi, kupon istismarı, hesap ele geçirme ve markanızı taklit eden sahte siteler de satıcıya doğrudan para kaybettirir. Ters ibraz (chargeback), kart sahibinin kendi bankasına itiraz etmesiyle tutarın kart şeması kuralları gereği sizin hesabınızdan geri alınmasıdır; kart sahibinin itiraz süresi çoğu durumda 120 gündür ve hiçbir koşulda işlemin karta yansımasından itibaren 540 günü aşmaz. Kayıpları azaltmanın yolu katmanlı bir düzendir: 3D Secure, ödeme kuruluşunun risk ayarları, sipariş risk sinyallerine göre telefon ve adres doğrulaması, yüksek riskli siparişte manuel onay, güçlü kargo teslim kanıtı ve fotoğraflı ya da videolu iade kabulü. Buna bir olay müdahale planı ekleyin: kişisel veri ihlali yaşarsanız KVKK'ya, ihlali öğrendiğiniz andan itibaren gecikmeksizin ve en geç 72 saat içinde bildirim yapmanız gerekir.

Önemli not: Bu yazı genel bilgilendirme amaçlıdır; hukuki ya da mali tavsiye değildir. Kasım 2026 itibarıyla kart şemalarının, Türkiye'deki ödeme kuruluşları ve bankaların herkese açık dokümanlarına ve Kişisel Verileri Koruma Kurumu yayınlarına dayanır. Size tanınan cevap süreleri, istenen belgeler ve ücretler ödeme kuruluşunuzla imzaladığınız üye iş yeri sözleşmesine göre değişebilir. Somut bir uyuşmazlıkta kararınızı avukatınız ve mali müşavirinizle birlikte verin.

E-ticarette dolandırıcılık ve ters ibraz (chargeback) nedir?

E-ticarette dolandırıcılık, bir siparişin ya da ödemenin satıcıyı veya gerçek kart sahibini zarara uğratacak şekilde kötüye kullanılmasıdır; ters ibraz ise bu zararın en sık para kaybına dönüştüğü mekanizmadır. Kart sahibi, kendi yapmadığı ya da sorun yaşadığı bir kartlı işleme bankası üzerinden "harcama itirazı" açar; banka bu itirazı kart şemasının (Visa, Mastercard, Troy, Amex) kurallarına göre sizin bankanıza ya da ödeme kuruluşunuza iletir. Siz yeterli belge sunamazsanız tutar hesabınızdan çekilir ve kart sahibine döner.

iyzico'nun yayımladığı ters ibraz prosedürü, bu kuralın belirli bankalara ya da yalnızca Türk bankalarına özgü olmadığını, kart kuruluşlarının kurallarının geçerli olduğu her yerde itiraz şeklinin aynı olduğunu vurgular. Yani yurt içi ya da yurt dışı kartla yapılan alışverişte ters ibrazın mantığı değişmez; değişen, sizin elinizdeki kanıtın gücüdür.

Ters ibraz ile iade arasındaki fark nedir?

İade, müşteriyle sizin aranızda yürüyen ve kontrolü sizde olan bir süreçtir: müşteri cayma hakkını kullanır, ürünü gönderir, siz bedeli aynı ödeme aracına geri ödersiniz. Ters ibrazda ise kontrol bankalara geçer. Müşteri size hiç yazmadan bankasına başvurabilir, karar sizin dışınızda verilir ve süreç aylar sürebilir. İade politikasının nasıl yazılacağını ayrı bir başlık olarak ele aldık; ayrıntısı için iade ve değişim politikası rehberine bakabilirsiniz. Bu yazı, iadenin dolandırıcılığa dönüştüğü noktalara ve ters ibraz savunmasına odaklanıyor.

Satıcı neden iki kez kaybeder?

Kaybedilen bir ters ibrazda satıcı hem satış bedelini hem de çoğu zaman ürünün kendisini kaybeder, çünkü ürün çoktan kargoya verilmiştir. Üstüne kargo ücreti, ödediğiniz işlem komisyonu, ödeme kuruluşunuz uyguluyorsa ters ibraz işlem ücreti ve dosyayı hazırlayan personelin zamanı eklenir. Ters ibraz oranı yükselen iş yerlerinde bankalar ek güvenlik şartı koyabilir; PayTR'ın kendi sözlüğünde de yüksek ters ibraz oranının sözleşmenin sona ermesine kadar gidebileceği belirtiliyor. Kısacası mesele tek bir siparişin bedeli değil, ödeme alma kabiliyetinizin kendisidir.

Bu yazıda geçen temel terimler

Ters ibraz süreci birden fazla tarafın konuştuğu bir zincir olduğu için terimleri baştan netleştirmek işinizi kolaylaştırır. Aşağıdaki tabloyu, ödeme kuruluşunuzdan gelen bildirimleri okurken başvuru kaynağı olarak kullanabilirsiniz.

Satıcıyı hedefleyen dolandırıcılık türleri nelerdir?

Satıcıyı hedefleyen dolandırıcılık türleri ödeme, teslimat, iade, kampanya ve marka olmak üzere beş cephede toplanır ve her birinin ilk savunması farklıdır. Çalıntı kart ve arkadaş dolandırıcılığı ödeme tarafında ters ibraza dönüşür; kapıda ödeme ve iade dolandırıcılığı lojistik maliyeti yükseltir; kupon istismarı marjınızı eritir; hesap ele geçirme ve sahte siteler ise müşterinizin güvenini hedef alır. Aşağıdaki tablo, yazının geri kalanında tek tek açtığımız türlerin özetidir.

Çalıntı kartla alışveriş nasıl yapılır, nasıl anlaşılır?

Çalıntı kartla alışveriş, oltalama, veri sızıntısı ya da zararlı yazılımla ele geçirilen kart bilgisinin sizin sitenizde kullanılmasıdır ve gerçek kart sahibi ekstresini gördüğünde ters ibraz olarak geri döner. Visa'nın Ekim 2026 tarihli satıcı rehberi, kart bulunmadan yapılan işlemlerdeki dolandırıcılık itirazlarının tipik olarak kart bilgisinin oltalama, zararlı yazılım ya da veri ihlaliyle ele geçirildiği, işlemin 3D Secure gibi ek doğrulama olmadan yapıldığı ve şüpheli uyumsuzlukların incelenmediği durumlarda ortaya çıktığını söyler. Ödemenin onaylanmış olması, işlemin güvenli olduğu anlamına gelmez; onay yalnızca kartın o an limitinin ve durumunun uygun olduğunu gösterir.

Dolandırıcının aradığı sipariş kalıbı

Çalıntı kartla alışveriş yapan kişi, ürünü kendisi kullanmak için değil, hızla nakde çevirmek için alır. Bu yüzden aynı kalıplar tekrar tekrar görünür:

• İkinci elde kolay satılan ürünler: telefon, kulaklık, parfüm, markalı ayakkabı, hediye çeki.
• Aynı üründen birden fazla adet ya da sepet ortalamanızın çok üstünde tutar.
• Fatura adı ile teslimat alıcısının farklı olması, teslimatın bir kargo şubesine ya da "kapıya bırakılsın" notuyla istenmesi.
• Siparişten hemen sonra adres değiştirme ya da "acil, bugün kargolar mısınız?" baskısı.
• Yabancı bir ülkede çıkarılmış kartla yurt içi bir adrese teslimat.

Bu işaretlerin hiçbiri tek başına dolandırıcılık kanıtı değildir. Yurt dışında yaşayan biri annesine hediye gönderebilir, bir şirket çalışanına ürün yollayabilir. Önemli olan birden fazla sinyalin aynı siparişte birleşmesidir; bunu aşağıda risk sinyalleri tablosunda puanlamaya dönüştürüyoruz.

Kart testi (card testing) nedir?

Kart testi, dolandırıcıların elindeki çalıntı kart listesinden hangilerinin hâlâ çalıştığını anlamak için sitenizde küçük tutarlı ödemeler denemesidir. Siz bunu ödeme panelinizde kısa sürede çok sayıda başarısız deneme, aynı IP adresinden farklı kartlar ya da aynı kartla farklı son kullanma tarihleri olarak görürsünüz. iyzico'nun prosedüründe ters ibraz riskini artıran unsurlar arasında tam olarak bunlar sayılır: başarısız işlemden sonra aynı ya da farklı kartlarla yeniden deneme, aynı kartla kısa sürede çok sayıda düşük tutarlı deneme, aynı IP adresinden kısa sürede farklı kartlarla ödeme ve aynı kartla farklı son kullanma tarihleri denemek.

Kart testi yalnızca o anki birkaç işlemle sınırlı kalmaz. Geçen kartlar daha sonra büyük siparişlerde kullanılır, başarısız denemeler ödeme kuruluşunuzun risk ekibinin dikkatini çeker. Ödeme adımına robot koruması eklemek, aynı oturumdan ya da IP adresinden yapılabilecek deneme sayısını sınırlamak ve düşük tutarlı ürünlerinizi (örneğin bir anahtarlık ya da numune) bu tür denemeler için izlemek ilk alınacak önlemlerdir.

Neden "ödeme onaylandı" demek "güvenli" demek değildir?

Bankanın verdiği provizyon onayı, kartın geçerli olduğunu ve limitinin yettiğini gösterir; kartı kullanan kişinin kart sahibi olduğunu göstermez. Kart sahibi doğrulanmadan yapılan bir işlemde dolandırıcılık itirazının yükü genellikle satıcıda kalır. Bu nedenle onaylanmış her siparişi otomatik kargolayan bir mağaza, risk sinyali taşıyan siparişleri ayırmak için bir "bekleme" adımına ihtiyaç duyar. Bu adımı manuel onay bölümünde ayrıntılı kuruyoruz.

Arkadaş dolandırıcılığı (friendly fraud) nedir, neden en zor türdür?

Arkadaş dolandırıcılığı, alışverişi gerçekten yapan ya da yapılmasına izin veren kişinin, ürünü aldıktan sonra bankasına "bu işlemi tanımıyorum" ya da "ürün gelmedi" diyerek itiraz etmesidir. En zor türdür, çünkü ödeme gerçek kartla, çoğu zaman 3D Secure ile, gerçek adrese yapılmıştır; dolandırıcılık sinyalleri sipariş anında görünmez. Bir kısmı kötü niyetlidir, ama önemli bir kısmı unutkanlık, aile içi kullanım ve iletişim eksikliğinden doğar.

"Bu harcamayı tanımıyorum" itirazı nereden çıkar?

Visa'nın satıcı rehberi, müşterilerin bankalarını aramasının en yaygın nedenlerinden birinin ekstrelerindeki işlemi tanımamaları olduğunu ve çoğu durumda işlemin geçerli olduğu hâlde iş yeri adının ya da işlem ayrıntılarının müşteriye yabancı geldiğini belirtir. Rehber, ekstre adınızı düzenli kontrol etmenizi ve müşterinin satın alma sırasında gördüğü marka adıyla uyumlu tutmanızı öneriyor. Visa'nın satıcılara yönelik itiraz çözümü sayfası da müşterilerin en çok tanıdığı iş yeri adını kullanmayı itirazları azaltan uygulamalar arasında sayar.

Türkiye'de ödeme kuruluşu üzerinden tahsilat yapıyorsanız müşterinin ekstresinde kuruluşun adı ile mağazanızın adı birlikte ya da yalnızca kuruluşun adı görünebilir. En pratik kontrol yöntemi, kendi kartınızla sitenizden küçük bir alışveriş yapıp ekstrenizde ne yazdığına bakmaktır. Ekstrede gördüğünüz ad sitenizin adından çok farklıysa ödeme kuruluşunuza ekstre adının nasıl değiştirilebileceğini sorun; sipariş onay e-postanıza da "Kart ekstrenizde bu harcama ... adıyla görünecektir" cümlesini ekleyin.

Aile bireyi kullanımı ve pişmanlık itirazları

Ebeveyninin kartıyla alışveriş yapan bir genç, eşinin haberi olmadan verilen bir sipariş ya da dürtüyle alınıp pişman olunan pahalı bir ürün, sonradan "tanımıyorum" itirazına dönüşebilir. Visa rehberi, bazı durumlarda işlemin kart sahibinin ailesinden ya da hanesinden biri tarafından yapıldığını gösteren kanıtların da değerlendirilebileceğini anlatır; ancak bu kanıtı ancak düzenli kayıt tutuyorsanız sunabilirsiniz. Pişmanlık durumunda ise müşterinin size gelmesi, bankaya gitmesinden her zaman iyidir: kolay ulaşılabilen bir iletişim kanalı ve anlaşılır bir cayma süreci, itirazların önemli bir kısmını banka masasına varmadan çözer.

Arkadaş dolandırıcılığını azaltan alışkanlıklar

• Sipariş onayı, kargoya veriliş ve teslim bildirimlerini müşterinin ödeme sırasında verdiği e-posta adresine ve telefonuna düzenli gönderin.
• Faturada, onay e-postasında ve ödeme sayfasında aynı marka adını, aynı web adresini ve aynı müşteri hizmetleri numarasını kullanın.
• Sitenizde iletişim sayfasını görünür tutun, WhatsApp ya da telefon hattına mesai içinde hızlı dönüş yapın.
• İade talebini uzatmayın; haklı bir iadeyi geciktirmek müşteriyi bankasına yönlendirir.
• Abonelik ya da tekrarlı ödeme alıyorsanız yenileme öncesi hatırlatma gönderin ve iptali kolaylaştırın; ayrıntısı için abonelik modeli ve tekrarlı ödeme rehberine bakabilirsiniz.

Kapıda ödemede sahte ve reddedilen siparişler nasıl azaltılır?

Kapıda ödemede sahte ve reddedilen siparişler, sipariş anında telefon doğrulaması, tutar ve geçmişe dayalı kurallar ve yüksek tutarlı siparişlerde kısa bir teyit aramasıyla belirgin biçimde azaltılabilir. Kapıda ödeme ters ibraz doğurmaz ama kendi türünde bir kayıp üretir: ürün kargoya verilir, alıcı kapıda teslim almaz, gidiş ve dönüş kargo ücretini siz ödersiniz, ürün günlerce stokta kilitli kalır. Şaka siparişler, rakip ya da kötü niyetli kişilerin verdiği toplu siparişler, birkaç siteden aynı anda sipariş verip ilk geleni alan müşteriler ve yanlış adresler bu kaybın kaynaklarıdır.

SMS doğrulama neden ilk adımdır?

Kapıda ödeme ve havale siparişlerinde en etkili ilk filtre, müşterinin siparişi tamamlamadan önce telefonuna gelen kodu girmesidir. ikas, 2023'teki bir ürün güncellemesinde kapıda ödeme ve havale yöntemleri için SMS doğrulamayı duyurmuştu: müşteri "Siparişi Tamamla" dediğinde açılan ekrana doğru kodu girmezse sipariş oluşmuyor. Ayarın panelde güncel olarak nerede durduğunu ikas yönetim panelinizden ya da destek ekibinden kontrol edin. Shopify'da aynı işi kapıda ödeme ve telefon doğrulama uygulamaları görür. Doğrulama, yanlış yazılmış numaraları ve sahte numarayla verilen şaka siparişleri büyük ölçüde eler.

Kapıda ödeme için kural seti nasıl kurulur?

SMS doğrulama gerçek bir telefonun var olduğunu kanıtlar, siparişin ciddi olduğunu kanıtlamaz. Bu yüzden onu birkaç basit kuralla destekleyin:

1. Kapıda ödemeyi belirli bir sepet tutarının üstünde kapatın ya da o tutarın üstündeki siparişlerde telefonla kısa bir teyit yapın.
2. Daha önce kapıda teslim almamış telefon numarası ya da adreslerde kapıda ödeme seçeneğini kaldırın, yalnızca kart veya havale bırakın. Bu kaydı tutacağınızı aydınlatma metninizde belirtin.
3. Aynı adrese ya da telefona kısa sürede düşen çoklu kapıda ödeme siparişlerini otomatik onaydan çıkarın.
4. Kapıda ödeme hizmet bedeli alıyorsanız bunu ödeme adımında ve ön bilgilendirme formunda açıkça gösterin; sözleşme metinleri için e-ticaret sitesinde olması gereken sözleşmeler yazısına bakabilirsiniz.
5. Teslim süresini ürün sayfasında ve onay mesajında net yazın; geç gelen sipariş, kapıda reddedilen siparişin en masum nedenidir.

Çözülmüş örnek: Kapıda ödeme reddinin aylık maliyeti

Aşağıdaki rakamlar tamamen örnek amaçlıdır; kendi kargo anlaşmanızı ve sipariş verinizi kullanın. Ayda 400 kapıda ödeme siparişi alan bir mağaza düşünün. Siparişlerin yüzde 10'u kapıda teslim alınmıyor. Sipariş başına gidiş kargo 120 TL, dönüş kargo 120 TL, paketleme ve etiket 15 TL tutuyor.

• Reddedilen sipariş sayısı: 400 x 0,10 = 40 sipariş.
• Sipariş başına doğrudan kayıp: 120 + 120 + 15 = 255 TL.
• Aylık doğrudan kayıp: 40 x 255 = 10.200 TL.

Bu hesaba stokta kilitli kalan ürünün fırsat maliyeti, iadede hasar gören ürünler ve operasyon ekibinin harcadığı saatler dahil değildir. SMS doğrulama ve tutar kuralıyla ret oranı yarıya inerse aylık doğrudan kayıp yaklaşık 5.100 TL azalır; doğrulama SMS'lerinin maliyeti bunun yanında çoğu zaman küçük kalır. Kendi rakamlarınızı kargo ücreti hesaplama rehberindeki yöntemle çıkarabilirsiniz.

İade dolandırıcılığı nasıl anlaşılır ve önlenir?

İade dolandırıcılığı, müşterinin cayma ya da iade hakkını kullanırken boş kutu, farklı bir ürün, kullanılmış ya da hasarlı bir ürün göndererek tam bedel almaya çalışmasıdır; önlemenin yolu gönderim ve iade kabul anlarını kayıt altına alan sabit bir prosedürdür. Bu tür dolandırıcılıkta tartışma hep aynı noktaya gelir: kutuda ne vardı? Gönderirken ve teslim alırken bunu kanıtlayabiliyorsanız elinizde güçlü bir dosya olur, kanıtlayamıyorsanız tartışma söz meselesine döner.

En sık görülen iade dolandırıcılığı kalıpları

• Boş kutu ya da içine ağırlık konmuş kutu: kutu gelir, içinde ürün yoktur ya da ürün yerine başka bir nesne vardır.
• Farklı ürün iadesi: yeni ürün alınır, eski ya da sahte bir benzeri iade edilir. Elektronik, kozmetik ve markalı giyimde sık görülür.
• Kullanıp iade etme: bir davet için alınan elbise, bir kez kullanılan bir cihaz, etiketi sökülüp geri takılan ürün.
• Eksik parça iddiası: ürün tam teslim edilir, müşteri bir parçanın eksik çıktığını söyleyip kısmi iade ister ya da bankasına itiraz eder.
• "Ürün gelmedi" iddiası: kargo teslim edildi gösterir, müşteri teslim almadığını söyler.

Gönderim tarafında hangi kayıtları tutmalısınız?

Savunmanın yarısı ürün depodan çıkarken kurulur. Yüksek tutarlı ya da sık iade edilen ürünlerde paketleme anını kayıt altına almak, sonradan ortaya çıkan "kutu boş geldi" ya da "farklı ürün geldi" iddialarında elinizi güçlendirir. Pratikte işe yarayan kayıtlar şunlardır:

• Sipariş numarasının göründüğü bir açıyla paketleme videosu ya da fotoğrafı.
• Paketin tartı üzerindeki fotoğrafı; kargo firmasının kayıtlarındaki ağırlıkla karşılaştırılabilir. Desi ve ağırlık mantığı için desi hesaplama rehberine bakabilirsiniz.
• Elektronik ürünlerde seri numarası ya da IMEI kaydının siparişle eşleştirilmesi.
• Değerli ürünlerde koliye numaralı güvenlik bandı ya da etiket ve bu numaranın siparişe not edilmesi.

İade kabul prosedürü adım adım

İade kabulünü bir kişinin o günkü dikkatine bırakmayın; herkesin aynı sırayla uyguladığı yazılı bir prosedür kurun. Önerdiğimiz akış şöyledir:

1. İade paketini kargo görevlisinden teslim alırken dış ambalajda yırtık, ezik ya da açılma izi varsa görevliyle birlikte tutanak tutun ve fotoğraflayın.
2. Paketi tartın ve ağırlığı not edin; gönderimdeki ağırlıktan belirgin biçimde farklıysa açmadan önce fotoğraflayın.
3. Koliyi, kesintisiz kayıt alan sabit bir kameranın önünde açın. Videonun başında iade kodu ya da sipariş numarası görünsün.
4. Ürünün seri numarasını, etiketlerini, aksesuarlarını ve kullanım izlerini tek tek kaydedin; gönderim kaydıyla karşılaştırın.
5. Uyumsuzluk varsa iade bedelini ödemeden önce müşteriye fotoğraflarla yazılı bilgi verin ve süreci müşteri hizmetleri yetkilisine aktarın.
6. Uyumluysa bedeli gecikmeden, satın almada kullanılan ödeme aracına iade edin.

Yasal çerçeve nerede devreye girer?

İade dolandırıcılığıyla mücadele, tüketicinin yasal haklarını kısıtlamak anlamına gelmez. Mesafeli Sözleşmeler Yönetmeliği, tüketicinin cayma süresi içinde malı işleyişine, teknik özelliklerine ve kullanım talimatlarına uygun kullanması hâlinde oluşan değişiklik ve bozulmalardan sorumlu olmadığını söyler. Aynı yönetmelik, satıcının geri ödemeyi tüketicinin satın alırken kullandığı ödeme aracına uygun şekilde ve tek seferde yapmasını ister. Yani normal deneme amaçlı kullanımı iade dolandırıcılığı saymak doğru değildir; sizin kanıtlamanız gereken, talimata aykırı kullanım, ürün değişimi ya da eksik iadedir. Bu ayrımı nasıl yöneteceğinizi bir avukatla netleştirin, politikanızı da iptal ve iade politikası oluşturucu ile yazılı hâle getirin. Pazaryerlerinde iade akışı farklı işlediği için o tarafı pazaryeri iade ve iptal yönetimi yazısında ayrıca ele aldık.

Kupon ve promosyon istismarı nasıl sınırlanır?

Kupon ve promosyon istismarı, ilk siparişe ya da kişiye özel tasarlanmış indirimlerin çoklu hesaplar, sızdırılmış kodlar veya kendi kendine yapılan tavsiyelerle tekrar tekrar kullanılmasıdır; kişiye özel tek kullanımlık kodlar ve telefon ya da adres bazlı kullanım sınırıyla kontrol altına alınır. Bu tür istismar ters ibraz doğurmaz ama kampanyanın kârlılığını sessizce eritir. Özellikle Efsane Cuma ve yılbaşı gibi yoğun dönemlerde, indirim kodlarının kupon paylaşım sitelerine ve sosyal medya gruplarına düşmesi birkaç saat sürer.

İstismarın tipik biçimleri

• "İlk siparişe özel" indirimin farklı e-posta adresleriyle açılan hesaplarla tekrar tekrar kullanılması.
• "Arkadaşını getir" programında kişinin kendi ikinci hesabını davet etmesi.
• Influencer ya da personel kodlarının herkese açık gruplarda paylaşılması.
• Kademeli indirimde sepetin eşiği geçecek şekilde doldurulup ürünlerin sonradan kısmi iade edilmesi.
• Hediye çeki ya da sadakat puanının ele geçirilmiş hesaplardan harcanması.

Kampanyayı istismara karşı tasarlamak

En etkili önlem kampanyayı baştan doğru kurmaktır. Genel bir kod yerine e-posta ya da SMS ile kişiye özel, tek kullanımlık kodlar gönderin. İlk sipariş indirimini doğrulanmış telefon numarasına ve teslimat adresine bağlayın. Kademeli indirimlerde kısmi iade yapıldığında indirimin yeniden hesaplanacağını kampanya koşullarına yazın. Her kampanyanın bitiş tarihini ve kullanım sınırını panelde tanımlayın. Kampanya marjını önceden hesaplamak için kâr marjı hesaplama yöntemini, yoğun dönem hazırlığı için de Efsane Cuma hazırlık rehberini kullanabilirsiniz.

Hesap ele geçirme ve sahte ödeme bildirimi nasıl önlenir?

Hesap ele geçirme, başka sitelerden sızan şifrelerle müşteri ya da yönetici hesabınıza girilmesidir; sahte ödeme bildirimi ise ödenmemiş bir siparişin ödenmiş gibi gösterilmesidir. İkisinin ortak noktası, sistemin "doğru kişi mi, gerçek ödeme mi?" sorusunu sormadan işlem yapmasıdır. Bu bölümde satıcı tarafında alınması gereken önlemleri özetliyoruz; sunucu ve uygulama güvenliğinin teknik ayrıntısı için web sitesi güvenliği rehberine bakabilirsiniz.

Müşteri hesabı ele geçirilirse ne olur?

Ele geçirilen müşteri hesabında dolandırıcı önce teslimat adresini ya da e-posta adresini değiştirir, sonra kayıtlı puanı, hediye çekini ya da kayıtlı kartı kullanır. Gerçek müşteri durumu fark ettiğinde hem size hem bankasına başvurur; siz de hem ürünü hem güveni kaybedersiniz. Alınabilecek önlemler basittir:

• Aynı hesaba ya da aynı IP adresinden art arda başarısız giriş denemelerini sınırlayın.
• Yeni cihazdan girişte, şifre, e-posta ya da adres değişikliğinde müşteriye bildirim gönderin.
• Puan ve hediye çeki harcamasında, kayıtlı kartla yüksek tutarlı ödemede ek doğrulama isteyin.
• Adres değişikliğinden hemen sonra verilen yüksek tutarlı siparişi manuel onaya düşürün.

Yönetici paneli neden ayrı bir risktir?

Yönetici paneline sızan biri yalnızca bir siparişi değil, tüm müşteri verisini, kampanya kurallarını ve ödeme ayarlarını etkileyebilir. Panel kullanıcılarında iki aşamalı doğrulamayı açın, herkese yalnızca işi için gereken yetkiyi verin, ayrılan personelin ve ajansların erişimini aynı gün kapatın, ödeme ve kargo entegrasyonlarının API anahtarlarını kimlerin gördüğünü bilin. Bu, KVKK'nın veri güvenliği yükümlülüğüyle de doğrudan ilgilidir.

Sahte dekontla gelen havale siparişleri

Havale ya da EFT ile ödenen siparişlerde en eski hile, düzenlenmiş bir dekont görüntüsünü WhatsApp ya da e-postayla gönderip ürünü hemen kargolatmaktır. Kural nettir: paranın hesabınıza geçtiğini kendi internet bankacılığınızdan görmeden kargolamayın; ekran görüntüsü kanıt değildir. Bir başka kalıp "yanlışlıkla fazla gönderdim, farkı şu hesaba iade eder misiniz?" talebidir. Fazla gelen tutarı yalnızca paranın geldiği hesaba iade edin, başka bir hesaba ya da kişiye asla göndermeyin. Gelen para dolandırıcılık mağduru birinin hesabından çıkmış olabilir.

Sahte "ödeme başarılı" bildirimi nasıl engellenir?

Kartlı ödemede ödeme kuruluşu, işlemin sonucunu sitenize bir bildirim adresi (callback) üzerinden iletir. Bu bildirimi doğrulamayan bir site, dışarıdan gönderilen sahte bir "ödeme başarılı" mesajıyla siparişi onaylayabilir. PayTR'ın iFrame API dokümanı bu yüzden bildirimdeki hash değerinin sipariş numarası, durum ve toplam tutarla yeniden hesaplanıp karşılaştırılmasını ister ve bu kontrolü yapmazsanız maddi zarara uğramanızın olası olduğunu açıkça yazar. ikas ve Shopify gibi hazır altyapılarda resmi ödeme entegrasyonu bu doğrulamayı sizin yerinize yapar; özel yazılım ya da kendi geliştirdiğiniz bir ödeme akışı kullanıyorsanız bu kontrol sizin sorumluluğunuzdadır.

Sahte site, marka taklidi ve oltalama müşterilerinize nasıl zarar verir?

Sahte site ve marka taklidi, markanızın adı, logosu ve ürün görselleriyle açılan bir sitenin ya da sosyal medya hesabının müşterilerinizden para veya kart bilgisi toplamasıdır; zarar doğrudan size yazılmasa da şikâyet, güven kaybı ve müşteri hizmeti yükü olarak geri döner. Dolandırıcılar genellikle alan adınıza benzeyen bir adres alır (bir harf değiştirerek ya da sonuna "indirim", "outlet" gibi ekler koyarak), sosyal medyada çok düşük fiyatlı "fabrika satışı" reklamları verir ve ödemeyi aldıktan sonra kaybolur.

Taklit edildiğinizi nasıl anlarsınız?

• Müşteriler, sizin hiç almadığınız siparişlerin durumunu soruyorsa.
• Markanızın adıyla arama yapıldığında tanımadığınız alan adları çıkıyorsa.
• Sosyal medyada sizin ürün fotoğraflarınızla, gerçek dışı fiyatlarla reklam görülüyorsa.
• Adınıza WhatsApp ya da e-posta mesajları aldığını söyleyen müşteriler varsa.

Sahte site tespit ettiğinizde ne yapmalısınız?

1. Kanıt toplayın: sayfanın tam adresi, ekran görüntüleri, varsa reklamın görüntüsü, müşterilerden gelen mesajlar ve tarihler.
2. Sayfayı Google Safe Browsing bildirim formuyla raporlayın; tarayıcı uyarısı, sahte siteye giden trafiği kesmenin en hızlı yollarından biridir.
3. Alan adının kayıt firmasına ve barındırma şirketine kötüye kullanım (abuse) bildirimi gönderin.
4. Reklam ya da hesap sosyal medyadaysa platformun fikri mülkiyet ve sahtecilik bildirim kanallarını kullanın.
5. Siber ihbar için resmi kanalı kullanın: USOM'un duyurusuna göre siber ihbar süreçleri ve zararlı bağlantı listeleri artık siberguvenlik.gov.tr üzerinden sürdürülüyor. Maddi zarar varsa savcılığa suç duyurusunda bulunmayı avukatınızla değerlendirin.
6. Müşterilerinize sitenizde, e-posta bülteninizde ve sosyal medya hesaplarınızda resmi alan adınızı ve iletişim kanallarınızı duyurun.

Tescilli bir markanız varsa bu bildirimlerde elinizi güçlendirir. Alan adınızın benzerlerini önceden almak ve SSL ile kurumsal e-posta altyapınızı düzgün kurmak da taklidi zorlaştırır; temel kavramlar için domain, hosting ve SSL rehberine bakabilirsiniz.

Sahte kargo SMS'lerine karşı müşteriyi nasıl korursunuz?

Sahte kargo SMS'leri, "adresiniz eksik", "gümrük ya da teslimat ücreti ödenmedi" gibi mesajlarla müşteriyi kart bilgisini girdiği bir oltalama sayfasına yönlendirir. Mesaj sizin gönderdiğiniz bir siparişle aynı günlere denk geldiğinde müşteri bunu sizinle ilişkilendirir. Sizin yapabileceğiniz, beklentiyi baştan doğru kurmaktır: sipariş onay e-postasında ve kargo bildiriminde "Teslimat sırasında sizden bağlantı üzerinden ek ödeme istemeyiz" cümlesine yer verin, takip bağlantılarını yalnızca kargo firmasının resmi adresine yönlendirin, SMS gönderici adınızı her mesajda aynı tutun. E-postalarınızın taklit edilmesini zorlaştırmak için alan adınızda SPF, DKIM ve DMARC kayıtlarının kurulu olduğundan emin olun; temel kurulum için kurumsal e-posta rehberine bakabilirsiniz.

3D Secure dolandırıcılığa karşı neyi korur, neyi korumaz?

3D Secure, ödeme sırasında kart sahibini kendi bankası üzerinden doğrulayarak çalıntı kart kaynaklı "bu işlemi ben yapmadım" itirazlarında sorumluluğu çoğu durumda bankaya kaydırır; ancak "ürün gelmedi", "tarif edildiği gibi değil" ya da "iade yapılmadı" türündeki itirazlarda sizi korumaz. Visa bu programı Visa Secure, Mastercard ise Identity Check adıyla yürütür. Türkiye'de internet alışverişi yapan müşteriler SMS koduna ya da banka uygulamasından onaya genellikle alışkındır; yine de 3D Secure'ü "dönüşümü düşürüyor" gerekçesiyle kapatmadan önce etkisini kendi ödeme verinizle ölçün.

Koruma hangi şartlarda geçerli olur?

Visa'nın satıcı rehberine göre koruma, işlemin nasıl işlendiğine ve gerekli doğrulama verilerinin provizyon isteğinde bulunup bulunmadığına bağlıdır. Tam doğrulanmış işlemler (elektronik ticaret göstergesi ECI 5) dolandırıcılık itirazlarına karşı korumaya uygun olabilir; doğrulama denemesi yapılmış işlemler (ECI 6) belirli şartlarla korunabilir; 3D Secure'e katılmadan yapılan işlemler (ECI 7) ise dolandırıcılık itirazlarına karşı korunmaz. Rehber ayrıca iş yeriniz Visa'nın izleme programlarına girerse Visa Secure kullansanız bile o koşul altında itiraz alabileceğinizi not eder. Bu teknik ayrıntılar ödeme kuruluşunuzun altyapısında yönetilir; sizin yapmanız gereken, 3D Secure'ün hangi işlemlerde gerçekten çalıştığını panelinizden görmektir.

İtiraz türüne göre 3D Secure'ün etkisi

Her ödemede 3D Secure mi, tutar bazlı mı?

Bazı ödeme kuruluşları riskli gördükleri iş modellerinde 3D Secure'ü zorunlu tutar; diğerlerinde seçim size bırakılır. iyzico'nun prosedürü, kontrol panelindeki "Tutar Bazlı 3DS" seçeneğiyle belirlediğiniz bir tutarın üzerindeki alışverişlerin 3D Secure ile yapılmasını sağlayabileceğinizi anlatır. Küçük sepetli, yeniden satış değeri düşük ürünler satıyorsanız tutar bazlı bir eşik makul olabilir; elektronik, parfüm, hediye çeki gibi yeniden satılabilir ürünlerde ise her ödemede 3D Secure çoğu zaman daha güvenli tercihtir. Ödeme altyapısı seçimini etkileyen diğer kriterler için ikas ödeme altyapısı karar rehberine göz atabilirsiniz.

Ödeme kuruluşunuzun risk araçlarından nasıl yararlanırsınız?

Ödeme kuruluşları 3D Secure ayarı, işlem ve deneme limitleri, kara liste ve kural tabanlı engelleme gibi risk araçları sunar; bunları iş modelinize göre ayarlamak, dolandırıcılığı daha ödeme ekranında durdurmanın en ucuz yoludur. Araçların adı ve kapsamı kuruluştan kuruluşa değişir, bu yüzden aşağıda belirli bir ürünü değil, sormanız gereken soruları anlatıyoruz. Komisyon karşılaştırmasına girmiyoruz; o konuyu sanal POS komisyon karşılaştırması yazısında ayrıca ele aldık.

Ürün adı ve fiyatı neden sunucuda sabitlenmeli?

Ödeme isteğindeki tutar ve sepet içeriği müşterinin tarayıcısında değiştirilebilir olmamalı; sunucunuzda hesaplanıp imzalanarak ödeme kuruluşuna gönderilmelidir. Örneğin PayTR'ın iFrame API'sinde ödeme sayfasını açan token, sipariş numarası ve tutarın yanında ürün adı, birim fiyat ve adetten oluşan sepet bilgisini de içeren bir metinden, mağazaya özel gizli anahtarla üretilir. Böylece biri tarayıcıda fiyatı değiştirse bile imza tutmaz. ikas ya da Shopify'ın resmi ödeme entegrasyonunu kullanıyorsanız bu işi platform yapar; ödeme akışını kendiniz yazdırıyorsanız yazılım ekibinize "tutar ve sepet nerede sabitleniyor?" diye mutlaka sorun.

Aynı ilke ödeme bağlantıları için de geçerlidir. Instagram ya da WhatsApp üzerinden satış yapıp ödeme linki gönderiyorsanız, tutarı müşterinin kendisinin girdiği genel bir link yerine ürün adı ve tutarı sabit, tek siparişe özel bir link oluşturun. Bu hem tutar oyunlarını engeller hem de ters ibraz dosyasında "müşteri neyi, kaça aldı?" sorusunu tek belgeyle cevaplar. Ürün adlarını "Ürün 1", "Sipariş" gibi genel ifadelerle değil, müşterinin tanıyacağı açıklıkta yazın; Visa'nın rehberi de işlem ve ürün açıklamalarının açık ve tutarlı olmasını itirazları azaltan uygulamalar arasında sayıyor.

Kural ve limit ayarlarında nelere bakılır?

Aşağıdaki tablo, ödeme kuruluşunuzun panelinde ya da destek ekibiyle konuşurken gözden geçirmeniz gereken başlıkları özetler. Her mağazada her araç bulunmayabilir; olmayan bir aracı sipariş yönetiminizde manuel bir adımla telafi edebilirsiniz.

Yurt dışı kartlarla çok satış yapıyorsanız yabancı kart kapatmak yerine o kartlara özel sıkı kural uygulamak daha doğrudur; yurt dışı tahsilat seçenekleri için e-ihracatta ödeme ve tahsilat rehberine bakabilirsiniz.

Shopify ya da ikas kullanıyorsanız neye dikkat etmelisiniz?

Shopify'ın dolandırıcılık analizi, sipariş sayfasında risk göstergeleri ve dolandırıcılık kaynaklı ters ibraz olasılığına dair bir öneri gösterir. Yardım sayfasına göre göstergeler Basic ve üzeri planlarda, öneriler ise Grow ve üzeri planlarda ya da Shopify Payments ile sunuluyor. Türkiye'deki mağazaların çoğu üçüncü taraf ödeme sağlayıcısı kullandığı için Shopify'ın şu uyarısı önemli: üçüncü taraf sağlayıcının dolandırıcılık incelemeleri Shopify panelinize yansımayabilir, bu yüzden sağlayıcının kendi panelini ayrıca kontrol etmeniz gerekir. ikas'ta ise ödeme kuruluşunuzun paneli ile ikas sipariş ekranını birlikte okumayı alışkanlık hâline getirin. PayTR kullanan ikas mağazaları için kurulum ayrıntıları PayTR ikas entegrasyonu rehberinde yer alıyor.

Ters ibrazın gerçek maliyeti nasıl hesaplanır?

Bir ters ibrazın gerçek maliyeti, geri alınan satış bedelinden ibaret değildir; kaybedilen ürünün maliyeti, kargo, ödenen işlem komisyonu, varsa ters ibraz işlem ücreti, siparişi getirmek için harcanan reklam ve dosyaya ayrılan personel zamanının toplamıdır. Bu toplamı normal bir siparişin net kârına böldüğünüzde, tek bir kayıp ters ibrazı telafi etmek için kaç sağlıklı sipariş satmanız gerektiğini bulursunuz.

Formül

• Ters ibraz kaybı = ürün maliyeti + kargo + işlem komisyonu + ters ibraz ücreti (varsa) + reklam maliyeti + personel zamanı
• Normal sipariş net kârı = satış tutarı - ürün maliyeti - kargo - işlem komisyonu - reklam maliyeti
• Telafi için gereken sipariş sayısı = ters ibraz kaybı / normal sipariş net kârı

Çözülmüş örnek

Aşağıdaki rakamlar tamamen örnek amaçlıdır; hesabı basit tutmak için KDV'yi dışarıda bırakıyoruz. Komisyon ve ücretlerin güncel değerlerini ödeme kuruluşunuzun sözleşmesinden ve panelinden kontrol edin, fatura ve KDV tarafını mali müşavirinizle konuşun.

Bu örnekte tek bir kayıp ters ibrazı telafi etmek için 2.940 / 1.410 ≈ 2,1 sağlıklı sipariş satmanız gerekir. Marjınız düşükse tablo hızla kötüleşir: net kârın 300 TL olduğu bir üründe aynı kayıp yaklaşık 10 siparişin kârını siler. Ters ibraz ve iade blokeleri nakit akışınızı da sıkıştırır; bu etkiyi e-ticarette nakit akışı yazısında, kârlılık tarafını ise kâr odaklı büyüme rehberinde anlattık.

Hangi oranları izlemelisiniz?

Visa'nın satıcı rehberi itirazları neden koduna göre, satışlara oranla ve kanal bazında izlemeyi öneriyor. Pratikte her ay şu üç rakamı bir tabloya yazmanız yeterli bir başlangıçtır: aynı dönemdeki kartlı işlem sayısına oranla ters ibraz sayısı, ters ibrazların nedenlerine göre dağılımı (dolandırıcılık, teslim edilmedi, tarif edildiği gibi değil, iade yapılmadı) ve itiraz ettiğiniz dosyaların ne kadarını kazandığınız. Kart şemalarının iş yerlerini izlediği programlar ve eşikler zaman zaman değiştiği için sizin için geçerli eşiği ödeme kuruluşunuza sorun.

Ödeme komisyonu kalemini kendi senaryonuz için doğru yerleştirmek isterseniz farklı ödeme altyapılarını karşılaştırabileceğiniz aracımızı kullanabilirsiniz.

Riskli siparişi hangi sinyallerden tanırsınız?

Riskli sipariş, tek bir işaretten değil, aynı siparişte birleşen birden fazla sinyalden tanınır: ödeme denemelerinin örüntüsü, kart ile teslimat bilgileri arasındaki uyumsuzluk, sepetin yapısı ve müşterinin siparişten sonraki talepleri. Aşağıdaki tablo, iyzico'nun ters ibraz riskini artıran unsurlar listesini ve sahada sık gördüğümüz kalıpları bir araya getiriyor. Ağırlık sütunu örnek bir puanlama önerisidir; kendi verinizle ayarlayın.

Sinyalleri puana çevirmek

Sinyalleri tek tek tartışmak yerine basit bir puan sistemine bağlamak, ekibin aynı siparişe aynı kararı vermesini sağlar. Örnek bir eşik düzeni şöyle olabilir: toplam puanı 0 ile 2 arasında olan siparişler otomatik onaylanır; 3 ile 5 arasındakiler kargolanmadan önce telefonla teyit edilir; 6 ve üzeri siparişler manuel incelemeye düşer ve gerekirse müşteriden 3D Secure ile yeniden ödeme istenir. Kesin ret sinyalleri puana bakılmadan iptale gider.

Yanlış alarm da bir maliyettir

Her sinyali kırmızı alarm saymak, gerçek müşterileri kaçırmak demektir. Yurt dışında yaşayan biri ailesine hediye gönderir, bir şirket ofisine toplu sipariş verir, biri arkadaşının adresine sürpriz yollar. Ayda bir kez manuel incelemeye düşen siparişlerin kaçının gerçekten sorunlu çıktığına bakın; oran çok düşükse kurallarınızı gevşetin, ters ibraz artıyorsa sıkılaştırın. Dengeyi ölçmeden kurulan bir kural seti ya satış kaçırır ya da dolandırıcıya kapı açık bırakır.

Adres ve telefon doğrulaması ile manuel onay nasıl yapılır?

Adres ve telefon doğrulaması, siparişteki iletişim bilgilerinin gerçek ve sipariş sahibine ait olduğunu sipariş anında ve kargolamadan önce kontrol etmektir; manuel onay ise risk puanı yüksek siparişlerin, belirli bir kişinin belirli bir süre içinde karar verdiği bir bekleme adımından geçirilmesidir. Bu iki adım birlikte çalıştığında dolandırıcılık siparişlerinin büyük kısmı ürün depodan çıkmadan durur.

Telefon doğrulaması nasıl yapılır?

İlk katman, ödeme adımında SMS ile tek kullanımlık kod doğrulamasıdır. İkinci katman, risk puanı orta ve yüksek siparişlerde kısa bir teyit aramasıdır. Bu aramada müşteriye evet ya da hayır diye cevaplanacak sorular sormayın; "Siparişinizde hangi ürünler vardı?", "Teslimatı hangi saatlerde almanız uygun?" gibi açık uçlu sorular sorun. Gerçek müşteri bu soruları rahatça cevaplar. Telefonda asla kart numarası, son kullanma tarihi ya da güvenlik kodu istemeyin; ödeme bilgisi yalnızca ödeme kuruluşunun güvenli sayfasında girilmelidir.

Adres doğrulaması nasıl yapılır?

• Adresin eksiksiz olup olmadığına bakın: mahalle, sokak, bina ve daire numarası, ilçe ve il tutarlı mı?
• Adresi bir harita uygulamasında açın: bir konut mu, iş yeri mi, kargo şubesi mi, depo mu?
• İlk siparişte, yüksek tutarda ve kargo şubesine teslim isteyen siparişlerde alıcının adının fatura adıyla uyuşup uyuşmadığını kontrol edin.
• Siparişten sonra gelen adres değişikliklerini yalnızca müşterinin siparişte verdiği e-posta ya da telefondan, yazılı olarak kabul edin.

Doğrulamada KVKK sınırı nerede başlar?

Doğrulama yaparken amaçla sınırlı ve ölçülü veri işleyin. Rutin siparişlerde kimlik fotokopisi istemek ya da müşteriden kartının fotoğrafını WhatsApp'tan göndermesini talep etmek hem gereksiz veri toplamaktır hem de kart bilgisinin güvenliğini riske atar; üstelik 3D Secure'ün yerini tutmaz. Visa'nın rehberi, kartın fotokopisini konaklama ve araç kiralama gibi işlemlerde bile geçerli bir kart izi saymıyor. Risk değerlendirmesi için telefon, adres ve sipariş geçmişi işliyorsanız bunu aydınlatma metninizde açıkça belirtin; metni KVKK aydınlatma metni oluşturucu ile hazırlayıp avukatınıza kontrol ettirebilirsiniz.

Manuel onay süreci adım adım

1. Risk puanı eşiği aşan siparişleri otomatik olarak "inceleniyor" durumuna alın; kargo entegrasyonu bu durumdaki siparişi etikete dönüştürmesin.
2. İnceleme sorumlusunu ve yedeğini belirleyin; incelemenin en geç ne kadar sürede sonuçlanacağını (örneğin bir iş günü) iç kural olarak yazın.
3. Sorumlu, tablodaki sinyalleri ve ödeme kuruluşunun panelindeki işlem ayrıntılarını birlikte okur.
4. Müşteriye siparişte verdiği e-posta ve telefondan ulaşılır; kısa bir teyit yapılır.
5. Karar verilir: onay ve kargolama, 3D Secure ile yeniden ödeme bağlantısı gönderme ya da iptal.
6. İptal edilen siparişin bedeli, ödemenin yapıldığı karta iade edilir. iyzico'nun prosedürü de iptal ve iadelerin mutlaka işlemin yapıldığı karta yapılmasını, müşteri istese bile farklı bir karta, isme ya da banka hesabına havale olarak yapılmamasını vurgular.
7. Karar ve gerekçe sipariş notuna yazılır; olası bir ters ibrazda bu not dosyanın parçası olur.

Bu akışı sipariş durumlarınıza, kargo entegrasyonunuza ve ödeme kuruluşunuzun paneline oturtmak mağazadan mağazaya değişen bir iştir. Kendi ekibinizle kuramıyorsanız e-ticaret danışmanlığı hizmeti kapsamında risk puanlamasını ve bekleme adımını birlikte tasarlayabiliriz.

Müşteriye ne yazılır?

Teyit mesajı suçlayıcı olmamalı, sipariş güvenliği için yapılan rutin bir kontrol gibi sunulmalıdır. Örnek bir metin:

Merhaba, siparişiniz için teşekkür ederiz. Güvenliğiniz için bazı siparişlerde kargolamadan önce kısa bir teyit yapıyoruz. Siparişinizdeki ürünleri ve teslimat adresini bu mesaja yanıt vererek onaylayabilir misiniz? Onayınızın ardından siparişiniz aynı gün kargoya hazırlanacaktır.

Örnek senaryo: Kayseri'de bir yatak ve ev tekstili üreticisi

Kayseri'de yatak ve ev tekstili üreten, kendi e-ticaret sitesinden kartla ve kapıda ödemeyle satış yapan bir KOBİ düşünelim. Bir gece yarısı, yurt dışında çıkarılmış bir kartla üç adet en pahalı yatak siparişi geliyor; teslimat başka bir ilde bir kargo şubesine, alıcı adı fatura adından farklı. Tablodaki örnek puanlamayla sipariş 6 puanı geçiyor ve inceleme durumuna düşüyor. Telefon açılmıyor, e-postaya da cevap gelmiyor. Ekip, 3D Secure'lü ödeme bağlantısı gönderiyor; bağlantı kullanılmayınca sipariş iptal ediliyor ve tutar aynı karta iade ediliyor. Aynı işletme kapıda ödeme tarafında da reddedilen siparişlerden şikâyetçi; SMS doğrulamayı açıp yüksek tutarlı kapıda ödeme siparişlerinde kısa bir teyit araması ekleyerek bu kaybı da kontrol altına almaya başlıyor. Bu senaryo varsayımsaldır; anlatmak istediği şu: büyük hacimli, yüksek tutarlı ürün satan bir üreticide tek bir hatalı sevkiyat, haftalarca kâr getiren siparişlerin üzerine yazabilir. Puanlama ve teyit adımı bu yüzden küçük işletmede de bir lüks değil, sigortadır.

Kargo teslim kanıtı nasıl güçlendirilir?

En güçlü kargo teslim kanıtı, alıcının kendisinin imzaladığı ya da kendisine gönderilen kodla onayladığı teslim kaydıdır; komşuya, kapıcıya ya da kapıya bırakılan gönderide kanıt zayıflar. iyzico'nun prosedürü, itiraz durumunda en çok geçerliliği olan belgenin kargo firmasının işlem sahibine imzalattığı teslimat belgesi olduğunu ve farklı kişilerce imzalanan belgelerin banka tarafında geçerli olmayacağını belirtir. Bu yüzden teslim şekli, ürün depodan çıkmadan karar verilmesi gereken bir risk ayarıdır.

Yüksek tutarlı siparişte teslim talimatı verin

Belirli bir tutarın üstündeki siparişlerde gönderiye "yalnızca alıcıya teslim edilsin, komşuya bırakılmasın" notu ekleyin ve kargo firmanızın bu talimatı hangi hizmetle desteklediğini sorun. Gerekiyorsa değer beyanlı ya da sigortalı gönderi kullanın. Müşteriye kargo bilgisi mesajında teslimatı kendisinin alması gerektiğini nazikçe hatırlatmak, hem kanıtı güçlendirir hem de yanlış teslim şikâyetlerini azaltır.

Kargo kayıtlarını ne kadar saklamalısınız?

Kart sahibinin itiraz süresi bazı durumlarda beklenen teslim tarihinden başlar ve hiçbir koşulda işlemin karta yansımasından itibaren 540 günü aşmaz. Kargo firmasının sistemindeki teslim kaydı ise aylar sonra aynı kolaylıkla erişilebilir olmayabilir. Bu yüzden yüksek tutarlı siparişlerde teslim kaydının ekran görüntüsünü ya da PDF'ini teslim günü sipariş dosyasına ekleyin ve bu kayıtları en az itiraz süresinin üst sınırı boyunca erişilebilir tutun. Bu saklama süresini KVKK kapsamındaki kişisel veri saklama ve imha politikanıza da yazın.

Türkiye'de ters ibraz süreci nasıl işler?

Türkiye'de ters ibraz süreci, kart sahibinin kendi bankasına harcama itirazı açmasıyla başlar, itirazın kart şeması kuralları üzerinden sizin bankanıza ya da ödeme kuruluşunuza iletilmesiyle sürer ve sizin sunduğunuz belgelerin yeterli bulunup bulunmamasına göre sonuçlanır. Kurallar Visa, Mastercard, Troy ve Amex gibi kart kuruluşlarınca belirlenir; bankalar ve ödeme kuruluşları bu kurallara uymak zorundadır. Bu nedenle yurt içi kartla yapılan bir alışverişte de, yurt dışı kartla yapılan bir alışverişte de akışın iskeleti aynıdır.

Adım adım ters ibraz akışı

1. Kart sahibi, işlem ekstresine ya da dönem içi hareketlerine yansıdıktan sonra kendi bankasına harcama itirazı açar. Örneğin İş Bankası itirazı mobil uygulama ve internet şubesindeki "Harcama İtirazı" menüsünden alıyor ve dolandırıcılık dışındaki itirazlarda müşteriye önce iş yeriyle çözmeyi denemesini öneriyor.
2. Kart sahibinin bankası itirazı değerlendirir ve uygun bulursa iş yeri bankasına yönlendirir.
3. İş yeri bankası ya da ödeme kuruluşunuz itirazı size bildirir ve işlemle ilgili belgeleri ister.
4. Siz belgeleri, size tanınan süre içinde iletirsiniz.
5. Belge hiç iletilmezse ya da yeterli görülmezse itiraz edilen tutar hesabınızdan çekilir ve kart sahibinin bankasına iade edilir.
6. Belgeler yeterli görülürse itiraz reddedilir. Kart sahibinin bankası belgeleri yetersiz bulursa kart sahibi süreci sürdürebilir; itiraz yeniden iş yeri bankasına gelir ve sizden yeni bilgi ya da belge istenebilir.

Bu akış, iyzico'nun prosedüründe ve İş Bankası'nın kart sahiplerine yönelik ters ibraz rehberinde aynı sırayla anlatılır. Bankanın rehberi, belgeler yetersizse ya da verilen süre içinde gönderilmezse itiraz edilen tutarın iş yeri hesabına borç kaydedildiğini açıkça yazar.

Süreler: kart sahibi ne kadar geriye gidebilir?

Kart sahibinin itiraz süresi itiraz nedenine göre değişir, ama genel çerçeve herkese açık dokümanlarda tutarlıdır. Aşağıdaki tablo iyzico'nun prosedürü ile İş Bankası'nın rehberindeki bilgileri bir araya getirir; Kasım 2026 itibarıyla geçerli olan bu çerçeveyi kendi ödeme kuruluşunuzun sözleşmesiyle karşılaştırın.

Belge süresini kaçırırsanız ne olur?

Belge süresini kaçırmak, haklı olduğunuz bir dosyayı kaybetmenin en yaygın yoludur. Visa'nın satıcı rehberi, itiraz sürecindeki her adımın katı bir son tarihi olduğunu ve siz ya da ödeme kuruluşunuz cevap süresini kaçırırsa kanıtınız güçlü olsa bile dosyanın otomatik olarak kaybedilebileceğini vurgular. Bu yüzden ödeme kuruluşunun bildirim e-postalarının gittiği adresi bir kişinin değil, ekibin ortak takip ettiği bir adres yapın; bildirimi gördüğünüz gün dosyayı açın ve son tarihi takviminize yazın.

Ters ibraz bildirimi gelince müşteriye ayrıca iade yapmalı mısınız?

Ters ibraz açıldıktan sonra müşteriye ayrıca iade yapmak, aynı tutarı iki kez kaybetme riski doğurur: bir kez sizin iadenizle, bir kez de ters ibrazla. Visa'nın rehberi, otomatik çözüm araçlarıyla kabul edilen bir itirazdan sonra ödeme kuruluşu aksini söylemedikçe aynı işlem için ayrı bir iade yapılmamasını açıkça hatırlatır. Doğru sıra şudur: müşteri size gelip haklı bir iade istediyse ters ibraz açılmadan hızla iade edin; ters ibraz zaten açıldıysa önce ödeme kuruluşunuza yazın ve süreci onun yönlendirmesiyle kapatın. Daha önce iade yaptıysanız bunu iadenin tarihi, tutarı ve referans numarasıyla belgeleyin.

Ters ibraza itiraz ederken hangi belgeler gerekir?

Ters ibraza itiraz ederken gereken belgeler itirazın nedenine göre değişir: dolandırıcılık iddiasında kart sahibinin işlemle bağını, "ürün gelmedi" iddiasında teslimi, "tarif edildiği gibi değil" iddiasında satış anındaki taahhüdünüzü ve iade sürecini kanıtlamanız gerekir. iyzico'nun prosedürü genel olarak fatura, kargo teslim belgesi, kart sahibiyle yapılan sözleşme ve sipariş detaylarını gösteren belgeleri sayar; Visa'nın rehberi ise her belgenin işlemle açıkça bağlanmasını, yani kartın son dört hanesini, işlem tutarını ve kart sahibinin adı ya da e-posta adresi gibi bilgilerini içermesini ister.

Güçlü bir savunma dosyası nasıl hazırlanır?

1. Bildirimdeki itiraz nedenini okuyun ve dosyayı yalnızca bu nedene cevap verecek şekilde kurgulayın. Visa'nın rehberi, itirazla ilgisiz ya da fazla belge göndermenin sonucu iyileştirmediğini, aksine incelemeyi zorlaştırabileceğini söyler.
2. Bir sayfalık kısa bir özet yazın: sipariş tarihi, tutar, ürün, ödeme şekli, kargo tarihi, teslim tarihi ve teslim alan kişi. Kronoloji, inceleyen kişinin dosyayı birkaç dakikada anlamasını sağlar.
3. Her belgede sipariş numarasını, tutarı ve kartın son dört hanesini görünür kılın.
4. Satış anında kabul edilen metinleri ekleyin: ön bilgilendirme formu ve mesafeli satış sözleşmesi onayının tarih ve saat kaydı. Metinlerin o tarihteki sürümünü saklamak bu yüzden önemlidir; metinleri hazırlamak için mesafeli satış sözleşmesi oluşturucu başlangıç noktası olabilir.
5. Belgeleri okunaklı tarayın ya da ekran görüntüsü alın. Visa'nın rehberi belgelerin İngilizce ya da İngilizce çevirili olmasını önerir; yurt dışı kartlı işlemlerde kısa bir İngilizce özet hazırlayın, yurt içi işlemlerde hangi dili kabul ettiğini ödeme kuruluşunuza sorun.
6. Dosyayı son tarihten önce gönderin ve gönderim kaydını saklayın.

Önceki itirazsız alışverişler kanıt olabilir mi?

Evet, Visa kartlarda belirli şartlarla olabilir. Visa'nın Compelling Evidence 3.0 adını verdiği çerçeve, kart bulunmadan yapılan işlemlerdeki dolandırıcılık itirazlarında (koşul 10.4), itiraz edilen işlemle aynı kart sahibine bağlanabilen en az iki önceki itirazsız işlemin değerlendirilmesine izin verir. Rehbere göre önceki işlemlerin itiraz edilen işlemden önceki 365 gün içinde yapılmış olması, genel olarak 120 günden daha eski olması ve dolandırıcılık olarak bildirilmemiş olması gerekir; eşleşme için IP adresi ya da cihaz kimliği ile müşteri giriş bilgisi ya da teslimat adresi gibi tanımlayıcılar kullanılır. Bu imkânı kullanabilmek için sitenizin bu verileri kaydetmesi ve ödeme kuruluşunuzun bu tür bir yanıtı desteklemesi gerekir; ikisini de önceden sorun.

Ne zaman itiraz etmemelisiniz?

Her ters ibraza itiraz etmek doğru değildir. Ürünü gerçekten geç ya da hiç göndermediyseniz, iadeyi geciktirdiyseniz ya da elinizdeki belge itirazın nedenine hiç cevap vermiyorsa, itiraz zaman kaybettirir ve sonuç değişmez. Bu dosyaları kabul edip nedenini not edin; asıl kazanç, aynı hatanın bir daha tekrarlanmamasıdır.

KVKK veri ihlali bildirimi: 72 saat kuralı nasıl işler?

Kişisel veri ihlali yaşayan veri sorumlusu, ihlali öğrendiği andan itibaren gecikmeksizin ve en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirim yapmak zorundadır. Bu süre, 6698 sayılı Kanun'un 12. maddesindeki "en kısa sürede" ifadesinin Kurul'un 24.01.2019 tarihli ve 2019/10 sayılı kararıyla 72 saat olarak yorumlanmasından gelir. E-ticaret mağazası için veri ihlali yalnızca büyük bir siber saldırı demek değildir; aşağıdaki durumların her biri bir ihlal olabilir:

• Yönetici paneline ya da müşteri veritabanına yetkisiz erişim.
• Sipariş listesinin, müşteri adres ve telefonlarını içeren bir tablonun yanlış kişiye e-postayla gönderilmesi.
• Sitenize eklenen zararlı bir kodun ödeme ya da üyelik formlarındaki bilgileri dışarı aktarması.
• Kargo etiketlerinin ya da sipariş çıktılarının kaybolması veya çalınması.
• Ele geçirilen bir personel e-posta hesabından müşteri yazışmalarına erişilmesi.

Bildirimde uyulması gereken kurallar

Kurum'un veri ihlali bildirimi duyurusu, satıcıların bilmesi gereken kuralları şöyle sıralar:

• Bildirim, Kurum'un yayımladığı Kişisel Veri İhlal Bildirim Formu ile yapılır ve formu yalnızca veri sorumlusu doldurur.
• Haklı bir nedenle 72 saat içinde bildirim yapılamazsa, bildirimle birlikte gecikmenin nedenleri de açıklanır.
• Formdaki bilgilerin tamamı aynı anda sağlanamıyorsa, bilgiler gecikmeye yol açmadan aşamalı olarak verilir. Yani "her şeyi öğrenince bildiririm" diye beklemek doğru değildir.
• Etkilenen kişiler belirlendikten sonra onlara makul en kısa sürede, iletişim adresleri biliniyorsa doğrudan, bilinmiyorsa web sitesinde yayım gibi uygun yollarla bilgi verilir.
• Veri işleyen (örneğin e-ticaret altyapınız, ajansınız, entegratörünüz) ihlali fark ederse bunu gecikmeye mahal vermeden veri sorumlusuna bildirmekle yükümlüdür.
• Veri sorumlusu ihlallere ilişkin bilgileri, etkilerini ve alınan önlemleri kayıt altına alır ve Kurul'un incelemesine hazır tutar.
• Veri sorumlusu bir veri ihlali müdahale planı hazırlar ve bu planı belirli aralıklarla gözden geçirir.

Kanun'daki idari para cezası tutarlarını burada vermiyoruz; güncel tutarları ve ayrıntıları Kurum'un duyurularından ve avukatınızdan teyit edin. Sitenizin ödeme sayfası ödeme kuruluşunun güvenli sayfasında açılıyorsa kart numarası sizin sunucunuza hiç ulaşmaz; bu iyi bir başlangıçtır, ama ad, adres, telefon ve sipariş geçmişi gibi kişisel veriler yine sizin sorumluluğunuzdadır. Sitenize eklediğiniz her üçüncü taraf kodun bu verilere erişebileceğini unutmayın ve yalnızca gerçekten kullandıklarınızı tutun.

Dolandırıcılık ve veri ihlali için olay müdahale planı nasıl hazırlanır?

Olay müdahale planı, bir dolandırıcılık dalgası ya da veri ihlali anında kimin neyi hangi sırayla yapacağını önceden yazan kısa bir belgedir; amacı ilk saatlerde panikle yanlış karar verilmesini önlemek ve KVKK'nın 72 saatlik süresini kaçırmamaktır. Kurum'un duyurusu bu planın hazırlanmasını ve düzenli gözden geçirilmesini veri sorumlusunun yükümlülükleri arasında sayıyor; iyi bir plan iki sayfayı geçmez ama herkesin bildiği bir yerde durur.

Planda bulunması gerekenler

1. Roller: karar verici (işletme sahibi ya da yöneticisi), teknik sorumlu, müşteri iletişimi sorumlusu, hukuk danışmanı ve mali müşavir.
2. İletişim listesi: ödeme kuruluşunun risk ve ters ibraz ekibi, e-ticaret altyapınızın destek kanalı, kargo firması temsilcisi, alan adı ve barındırma firması, avukatınız.
3. Hazır şablonlar: müşteri bilgilendirme metni, Kurum'a bildirim için taslak bilgiler, ödeme kuruluşuna olay bildirimi e-postası.
4. Olay defteri: her olayın tarihi, saati, kimin fark ettiği, yapılan işlemler ve kararlar. KVKK'nın kayıt tutma yükümlülüğünü bu defter karşılar.
5. Yılda en az bir kez masa başı tatbikat: "Panelimize yetkisiz giriş oldu" senaryosunu ekip olarak baştan sona konuşun.

İlk 72 saatin zaman çizelgesi

Çalıntı kart dalgası gelirse ne yapılır?

Bir gün içinde benzer kalıpta çok sayıda şüpheli kartlı sipariş geldiğini fark ederseniz hızlı ve sıralı hareket edin. Önce otomatik kargolamayı durdurun ve şüpheli siparişleri inceleme durumuna alın. Ardından 3D Secure'ü tüm işlemler için zorunlu hâle getirin ve ödeme kuruluşunuzun risk ekibine yazın. Kargoya verilmemiş şüpheli siparişleri iptal edip bedeli ödemenin yapıldığı karta iade edin; Visa'nın rehberi de haklı bir iadenin mümkün olan en kısa sürede yapılmasının resmi bir itirazı tamamen önleyebileceğini belirtir. Kargoya verilmiş olanlar için kargo firmasından gönderiyi durdurmayı ya da geri çağırmayı isteyin.

Dolandırıcılıkla mücadelede sık yapılan hatalar nelerdir?

Dolandırıcılıkla mücadelede en sık yapılan hata, önlemleri ilk büyük kayıptan sonra almaktır; ikincisi ise tek bir önleme, genellikle 3D Secure'e, her şeyi yükleyip teslim ve iade tarafını boş bırakmaktır. Sahada en çok karşılaşılan hatalar şunlardır:

• Ödeme onayını güvenlik onayı sanıp her siparişi otomatik kargolamak.
• 3D Secure'ün "ürün gelmedi" ve "tarif edildiği gibi değil" itirazlarını da önlediğini düşünmek.
• Ekstre adını hiç kontrol etmemek ve "tanımıyorum" itirazlarını müşterinin kötü niyetine bağlamak.
• İptal ya da iade bedelini müşterinin isteğiyle farklı bir karta, kişiye ya da IBAN'a göndermek.
• Dekont ekran görüntüsüyle havale siparişini kargolamak.
• Yüksek tutarlı ürünleri "kapıya bırakılabilir" teslim şekliyle göndermek.
• İade kolisini kayıt almadan açmak ve uyuşmazlıkta söz dışında kanıt bırakmamak.
• Ödeme kuruluşunun ters ibraz bildirimini kişisel bir e-posta kutusunda kaçırmak.
• Ters ibraz açıldıktan sonra müşteriye ayrıca iade yapıp aynı tutarı iki kez kaybetmek.
• Kart fotoğrafı ya da kimlik fotokopisi toplayıp hem KVKK hem kart güvenliği riskini büyütmek.
• Kuralları gerçek müşterileri de takacak kadar sıkılaştırıp yanlış alarm oranını hiç ölçmemek.
• Veri ihlali yaşandığında "önce her şeyi öğrenelim" diye beklemek ve 72 saati kaçırmak.

Özet: 30 günde dolandırıcılık önleme yol haritası

Dolandırıcılık ve ters ibraz riskini azaltmak için büyük bir yazılım projesine gerek yoktur; doğru sırayla atılan küçük adımlar kayıpların büyük kısmını durdurur. Kasım ve aralıktaki yoğun kampanya dönemine girmeden önce aşağıdaki listeyi ekip olarak gözden geçirin; tamamladığınız maddeleri işaretleyin.

İlk hafta neye odaklanmalı?

Zamanınız kısıtlıysa ilk hafta üç işe odaklanın: ekstre adını düzeltmek, 3D Secure ve SMS doğrulamayı açmak, riskli siparişler için bir bekleme adımı kurmak. Bu üçü çalıntı kart, arkadaş dolandırıcılığı ve kapıda ödeme kayıplarının büyük kısmına aynı anda dokunur. İkinci hafta teslim ve iade prosedürlerini, üçüncü hafta itiraz dosyası şablonunuzu, dördüncü hafta olay müdahale planınızı tamamlayın.

Alis Dijital bu süreçte nasıl destek olabilir?

Alis Dijital, Kayseri merkezli, 10 yıllık deneyime sahip bir e-ticaret, dijital pazarlama ve yazılım ajansıdır; son 5 yılda 200+ markayla çalıştık. ikas partneri ve Shopify Partner olarak mağaza kurulumundan sipariş operasyonuna kadar sürecin içindeyiz. Dolandırıcılık ve ters ibraz tarafında yaptığımız iş genellikle şu başlıkları kapsar: ödeme altyapısı ve 3D Secure ayarlarının gözden geçirilmesi, sipariş risk puanlaması ve manuel onay adımının sipariş akışına oturtulması, teslim ve iade prosedürlerinin yazılı hâle getirilmesi, ters ibraz dosya şablonunun hazırlanması.

Bu çalışmayı e-ticaret danışmanlığı kapsamında, mağazanızın verisine bakarak yapıyoruz. ikas üzerinde satış yapıyorsanız ikas partneri olarak sunduğumuz hizmetleri, Shopify kullanıyorsanız Shopify Partner sayfamızı inceleyebilirsiniz. Hukuki ve mali kararlar için avukatınız ve mali müşavirinizle birlikte çalışmanızı öneririz; biz operasyon ve teknik kurulum tarafında yanınızda oluruz.