3D Secure Nedir? Fraud Önlemede Çare mi?

Kredi ve banka kartlarının kullanım alanı gün geçtikçe genişliyor. Temel olarak kartların kullanım şeklini ikiye ayırabiliriz:

• Card Present (Fiziki İbraz): Alışveriş sırasında kartın fiziki olarak işyerine ibraz edilmesi yöntemi.

• Card Not Present (Mesafeli İşlemler): Fiziki olarak kartın ibraz edilmesinin mümkün olmadığı, uzaktan gerçekleştirilen işlemler.

Kart bilgilerinin kullanılmasıyla yapılan mesafeli işlemler, kart sahipleri için büyük bir kolaylık sağlayarak ticari hayatı geliştiriyor. Ancak Kartlı Ödeme Sistemleri içerisinde mesafeli işlemlerin payı hâlâ görece azdır ve yavaş gelişmektedir. Bu yavaşlamanın en temel sebebi; mesafeli işlemlerin suistimale, dolandırıcılığa açık ve yüksek riskli bir kullanım alanı olmasıdır.

Mesafeli İşlemlerde Risk ve İspat Yükümlülüğü

Mesafeli işlemlerde kullanılan “Kart Numarası”, “Kartın Son Kullanma Tarihi” ve “Güvenlik Kodu (CVV/CVC)” bilgilerinin çeşitli yollarla öğrenilmesi veya ele geçirilmesi, mal ve hizmet satın alımında kötü niyetli kullanımlara zemin hazırlar.

Dolandırıcılığa bu kadar açık olan mesafeli işlemlerde; kart hamilleri ile işyerleri arasında doğabilecek anlaşmazlıklarda, mal veya hizmetin gerçek kart sahibine tesliminin ispat yükümlülüğü hem uluslararası kart kuruluşlarının kurallarında hem de kanunen işyerine bırakılmıştır.

3D Secure Protokolü Nasıl Ortaya Çıktı?

Mesafeli işlemlerde dolandırıcılık vakalarının artması ve işyerlerinin karşılaştığı chargeback (ters ibraz) zararlarının büyümesi, sektörü yeni önlemler almaya itti.

• İlk olarak Visa tarafından “Verified by Visa” adıyla geliştirilen,

• Ardından MasterCard’ın “SecureCode” ile dahil olduğu,

Ortak bir standart olan 3D Secure (3 Domain Secure Protokolü) ortaya çıkarıldı. İnternet üzerinden yapılan elektronik alışverişlerde kart sahibinin kimliğini şifre vasıtasıyla doğrulayan ve XML mesajlarının SSL (Secure Socket Layer) üzerinden güvenle gönderilmesini sağlayan bu protokol, en yalın tanımıyla; fiziki poslarda zorunlu olan chip & pin sisteminin sanal pos üzerindeki karşılığıdır.

3D Secure Sisteminin Amacı Nedir?

Yöntemin temel amacı; kart sahibinin kendi oluşturduğu statik şifre veya cep telefonuna gelen tek kullanımlık dinamik SMS şifresi ile onayı alınarak işlemin doğrulanmasını sağlamaktır.

Şifre doğrulaması sayesinde işlem anında kartın ve kart sahibinin aynı fiziksel yerde olduğu belgelenmiş olur. Bunun doğal sonucu olarak, kart sahibinin fraud (dolandırıcılık) nedeniyle harcama itirazı veya chargeback hakkı ortadan kalkar. (Tabii ki fraud dışındaki diğer harcama itirazı hakları saklıdır.) Özetle; 3D Secure sistemi öncelikli olarak işyerini koruyan bir yapıdır.

3D Secure Doğrulama Türleri Nelerdir?

3D Secure doğrulamaları temelde iki şekilde gerçekleşir:

1. Tam 3D Secure (Full 3D Secure): Hem kart sahibi tarafı 3D Secure destekler hem de işyeri 3D Secure altyapısıyla işlemi tamamlar.

2. Yarım 3D Secure (Merchant-only 3D Secure): Sadece işyeri 3D Secure altyapısını kullanır.

Chargeback Riski Açısından Durum Nedir?

• Eğer sadece yurt içi kartları kabul eden bir işyeri iseniz, her iki doğrulama yönteminde de fraud nedeniyle chargeback riskiniz bulunmaz.

• Ancak yurt dışı banka kartlarını kabul ediyorsanız dikkat etmeniz gerekir: Yarım 3D Secure işlemlerde, Visa US bölgesinde basılmış veya kullanılmış ticari kartlar için bir istisna mevcuttur. Bu kartlarla gerçekleşen yarım 3D Secure işlemlerde fraud kaynaklı chargeback riski devam etmektedir.

3D Secure ve Ciro Kaybı İkilemi

Ülkemizde internet üzerinden mesafeli işlem kabul eden işyerleri, genellikle 3D Secure’u seçenekli (opsiyonel) olarak sunmaktadır. Çünkü kart sahipleri standart (3D'siz) ödeme ile de işleme devam edebilmektedir.

3D Secure’u zorunlu tutan işyerleri ise genellikle ciddi bir ciro kaybıyla karşı karşıya kalır. Genel olarak 3D Secure ödemelerin başarı oranı (başarılı ödeme sayısı / gelen toplam ödeme sayısı) %50 - %60 seviyelerindedir.

Aşağıdaki süreç ve problemlerden ötürü başarılı ödeme sayısı düşmekte ve işyerleri ciro kaybetmektedir:

• İşlem süresi ve kullanıcı adımlarının uzun olması,

• Kart sahibinin bankasında 3DS kaydının bulunmaması,

• Kullanıcının 3DS şifresini yanlış girmesi,

• SMS şifresinin geç gelmesi,

• Kullanıcının sabırsızlanıp ödeme ekranını terk etmesi.

3D Secure Her Zaman %100 Çare midir?

Bir işlemin 3D Secure adımlarıyla gerçekleşmiş olması, o işlemin kesinlikle fraud olmadığını göstermez!

Ülkemizden örnek vermek gerekirse; son yılların en popüler dolandırıcılık yöntemlerinden biri, sahte çağrı merkezleri aracılığıyla sosyal mühendislik yapılarak dış aramalar gerçekleştirilmesi veya cazip mesajlarla kurbanların sahte sitelere yönlendirilmesidir. Bu yolla ele geçirilen 3D Secure tek kullanımlık işlem şifreleri sayesinde büyük vurgunlar yapılabilmektedir. Öyle ki, ülkemizde sadece bu yöntemle son 2 yıl içinde 10 milyon TL’den fazla dolandırıcılık yapıldığı tahmin edilmektedir.

Sonuç ve Değerlendirme

Kanun koyucu tarafından bütün mesafeli işlemlerde 3D Secure yasal olarak zorunlu tutulmadıkça, işyerleri bu yöntemi seçenekli sunmaya devam edecektir. Günümüzde sadece fraud riskinin çok yüksek olduğu, nakide kolaylıkla çevrilebilen ve yüksek tutarlı ürün/hizmet gruplarında işyeri tercihiyle 3D Secure zorunlu tutulmaktadır.

Günümüzdeki 3D Secure ödeme başarı oranları ve 3D Secure süzgecine rağmen gerçekleşen yeni nesil fraud vakaları göz önüne alındığında; bütün mesafeli işlemler için 3D Secure’un mutlak surette zorunlu tutulacağı bir senaryo şu aşamada pek mantıklı görünmemektedir.

Fraud and ChargeBack Uzmanı – İ.Kudret ELÇİBOĞA tarafından kaleme alınan“ 3D secure Nedir? Fraud Önlemede Çare mi? ” başlıklı makalenin tüm hakları yazarına aittir. Bilirkişi.Net yazardan aldığı özel izinle bu makaleyi yayınlamaktadır. Bu makale 5846 sayılı Fikir ve Sanat Eserleri Yasası kapsamında korunmaktadır.