Rakibinizi batırmak mı istiyorsunuz? Çalıntı kredi kartlarıyla yapılan ödeme sahtekârlığı saldırısı
(oppositeinvictus.com)- Rakip bir şirketin ödeme işlemcisine çalıntı kredi kartlarıyla tekrar tekrar ödeme göndermeye dayanan bu sahtekârlık saldırısı, küçük ölçekli SaaS işletmelerini fiilen hedef alıyor
- PayPal ile 10 yıl, Stripe ile 7 yıllık ticari ilişkiyi sürdürüp toplamda 500 bin doların üzerinde gelir elde etmiş olmasına rağmen hesap önceden haber verilmeden kısıtlandı
- Büyük ödeme platformları milyarlarca dolar gelir elde ederken bile gerçek anlamda müşteri destek ekibi bulundurmuyor
- Tek kişilik SaaS geliştiricisi olarak bu ortamda işin istikrarını korumak giderek zorlaşıyor
- Hacker News ve Reddit'te de ödeme platformlarına yönelik şikâyetler sıkça gündeme geliyor; bu da küçük işletmelerin platform bağımlılığı riskini görünür kılıyor
Çalıntı kredi kartlarıyla rakibe saldırma yöntemi
- Rakip şirketin ödeme işlemcisine çalıntı kredi kartları kullanarak dolandırıcılara ödeme yapıp tekrarlayan işlemler oluşturma yöntemi
- Bunun sonucunda hedef işletmenin ödeme hesabında sahtecilik (fraud) kayıtları birikiyor ve hesap kısıtlanıyor
Gerçek mağduriyet durumu
- PayPal ile 10 yıl, Stripe ile 7 yıl süren bir ticari ilişki vardı ve iki platformdaki toplam gelir 500 bin doların üzerindeydi
- Buna rağmen platform tarafı önceden iletişime geçmeden hesabı kısıtladı
- Saldırı şu anda da sürüyor ve işletmenin faaliyetlerini ciddi biçimde etkiliyor
Büyük ödeme platformlarında müşteri desteği eksikliği
- Büyük şirketler milyarlarca dolar gelir üretmesine rağmen fiilen destek sağlayan personelden yoksun
- Hacker News ve Reddit'te bu platformlara yönelik şikâyetler sıkça dile getiriliyor
Tek kişilik SaaS işletmecisinin kırılganlığı
- Solo SaaS geliştiricisi olarak iş istikrarını (job security) korumak her geçen gün daha zor hale geliyor
- Platformların tek taraflı kararları nedeniyle uzun süreli ticari ilişkiler bir anda kesilebiliyor; bu da yapısal bir kırılganlığa işaret ediyor
1 yorum
Hacker News görüşleri
Böyle platformlardan kaçmanın bir yolu olmaması her zaman tedirgin edici. Şu anda işlettiğimiz fırın Google Maps'te aniden askıya alındı; insanların bizi bulmasının başlıca yolu bu olduğu için büyük darbe oldu
7 gün önce aniden, “işletme kurallarına uyulmadığı için hesabınız askıya alındı” bildirimi geldi; yakın zamanda değiştirdiğimiz tek şey çalışma saatleriydi. 2 yıldır sorunsuz şekilde listeleniyorduk ama sorunun ne olduğunu söylemeden sadece düzeltip geri yükleme talep etmemizi istiyorlar
En fazla 2 hafta sürebileceğini söylüyorlar, ama zaten 7 gün geçti ve reddedilirse listeyi silmekten başka çare yok. O zaman 2 yılda biriken yorumlar da yok olacak
Askıya alınmadan bir gün önce Koreli bir turist gelmiş ve sahte mağaza olduğumuzu iddia etmiş diye bir çalışandan duydum; İngilizcesi iyi olmadığı için gerçekten burada olduğumuzu anlatamamış gibi görünüyor. Ya da belki baştan beri başka bir yeri arıyordu. Muhtemelen olumsuz yorum bırakıp konumu sahte diye bildirdi
Sonuçta 2 yıl, 4,9 puan ve 100'den fazla olumlu yorum, kafası karışmış tek bir turist yüzünden mi, çalışma saatini düzenlediğim için mi, yoksa otomatik spam denetimi nedeniyle mi bilinmeyen bir sebeple uçup gitmiş oldu. Umarım bir sonraki AB yasası gizlilikten çok böyle sorunları ele alır; küçük işletmeler için bunun önemi en az onun kadar büyük
Sözde “egzotik hayvan” Aphelandra Squarrosa, yani zebra desenli yaprakları olan bir bitkiydi. Bu yaptırımı geri aldırmanın da, bir insanın doğrudan incelemesini sağlamanın da yolu yok; bu yüzden müşteri tabanıyla iletişim kurma kabiliyetini hâlâ etkiliyor
Google gibi platformların kanıt olmadan liste kaldırması yasadışı olmalı; kanıtlayamayıp kaldırdılarsa ortaya çıkan zararı da hukuken tazmin etmek zorunda kalmalılar. Ancak o zaman bunu ciddiye alırlar
Bir avukatla görüşmek iyi olabilir; AB ülkelerinin çoğunda da benzer bir mekanizma bulunması muhtemel. Ancak başvuruyu hem Google Europe'un merkezi olan Dublin/İrlanda'ya hem de kendi ülkenizdeki Google ofisine karşı yapmanız gerekebilir
Benzer isimli bir restoranın başka bir yerin URL'sini kapmasına da şahit oldum. Google'ın işletme doğrulaması olmadan böyle bilgiler yayımlaması tuhaf; zararı büyük ve dolandırıcılar için uygun bir ortam yaratıyor gibi görünüyor
Artıları ve tavsiyeleri de içeren, uzun ve dikkatli yazılmış bir yorumdu; tamamen kaybolunca gerçekten öfkelendim. Daha da kötüsü, o restoranın aslında oldukça kötü olmasına rağmen 4,5 puanı koruması ve son düşük puanlı yorumların hepsinde bu puanın yapay olduğundan şüphe edilmesi
Kötü niyetli rakibi suçlayabilirsiniz, ama asıl sorun kredi kartlarının internette tanımadığınız insanlara ödeme yapmak için uygun bir araç olmaması
Kredi kartıyla her işlem yaptığınızda, karşı tarafa sizin adınıza herhangi bir işyerinde keyfi olarak büyük işlemler yaratabilecek bilgileri vermiş oluyorsunuz; bu mantıklı değil
Son zamanlarda web sitelerinde Apple Pay kullanımı arttı; normalde Apple Pay gibi çalıştığında kriptografik olarak güvenli ve doğrulanabilir tek kullanımlık token değişimi olduğu için teknik olarak daha güvenli. Apple'a daha fazla güç vermekten hoşlanmasam da
PayPal da herkesin sevdiği bir şey değil, ama en azından kredi kartı numarasının kendisini vermiyor. Yine de PayPal da çok sayıda işyerini kilitliyor gibi görünüyor
Tüketici açısından da kredi kartları iyi değil. Aynı şehir içinde dolaşıp normalde gitmediğim bir işyerinde yaklaşık 20 dolar harcadığım için kartımın kilitlendiği oldu; zaten iki aydır üst üste doğrulanmış 5 dolarlık bir web hizmeti aylık ödemesi yüzünden de kilitlendiği oldu
Normal bir kredi kartı işleminde tanımadığınız birine başka işyerlerinde sizin adınıza işlem yapabilecek bilgiler vermezsiniz. Aslında işyeri kart bilgilerini sözleşmeli olduğu ödeme hizmeti sağlayıcısına (PSP) verir ve PSP de o işyerinin yalnızca önceden onaylanmış üye işyeri hesabı üzerinden tahsilat isteği gönderebilmesini sağlayan bir token verir
İşyeri bu token'la başka bir şey yapamaz. İşyeri tarafındaki token veritabanı sızarsa utanç verici olur ama zarar sınırlı kalır; PSP'nin kart numarası veritabanı ele geçirilirse kart sahipleri için zahmetli olur ama PSP açısından PCI DSS https://en.wikipedia.org/wiki/Payment_Card_Industry_Data_Sec... uyumunun bozulduğu ve işi kapatmasına yol açabilecek ölçekte bir olaydır
Özetle normal kart ödemeleri de özünde Apple Pay kadar güvenlidir. Fark, bir tarafta 2014'ten beri ödemeyi yan iş olarak yapan dev bir teknoloji markasına güvenmeniz, diğer tarafta ise Adyen, Braintree, WePay, Worldline gibi belki daha az tanınan ama güvenli ödeme işlemesini çok daha uzun süredir ana işi olarak yapan şirketlere güvenmenizdir
Skype tahsilat yaptığında bu neredeyse her seferinde oluyor. Hem bankayı hem Skype'ı 10 yılı aşkın süredir kullanıyorum ve ödeme de saat gibi düzenli, ama bu sürenin yarısından fazlasında itiraz etsem de müşteri desteği hiçbir şey yapamıyor
Bu yüzden ne zaman “AI destekli dolandırıcılık tespiti”, hatta daha ileri gidip “AI destekli güvenlik” gibi şeyler duysam aklıma bu geliyor. Başka bir kredi kartım olmasaydı herhangi bir işlemde rastgele reddedilirim diye sürekli tedirgin yaşamak zorunda kalırdım. Bankam 10 yıllık kaydı olmasına rağmen ödeme döngüsünü bilmiyormuş gibi davranıyor
Belli ki yalnızca geçmişimi en yüksek teklifi verene satıyorlar, beni korumak için kullanmıyorlar. Bu bakımdan Gmail'de tam alt dize aramasının bile Google web araması kadar kötü olması da benziyor. Bizi indeksleyip yüksek çözünürlüklü tüketici modelleriyle “değer” ürettiklerini söyleyen şirketler, bunca gözetim yapmalarına rağmen en temel şeyleri bile beceremiyor
Mahremiyetin mahvolmasını modernliğin bir parçası diye kabullenir hale geldik, ama bugünlerde daha şaşırtıcı olan, bunun karşılığında en küçük bir kolaylık bile elde edemememiz
Temassız ödemeye geçerken bu sorunu düzeltememiş olmamız üzücü. NFC ödemeleri de hâlâ müşterinin ödemeyi bizzat oluşturamadığı, işyerinin önünüze uzattığı ödeme terminaline gizli bilgileri emanet etmek zorunda kaldığı bir yapıya hapsolmuş durumda
İşlem yönü ters olmalıydı. İşyeri sadece ödeme ayrıntılarını ileten taraf olmalı, müşterinin telefonu doğrulayıp ödemeyi başlatmalıydı. Bunun hâlâ standart olmaması mantıksız; internet ödemelerinin çok daha önce aynı dönüşümü yaşamamış olması ise daha da tuhaf
Tüm sistemin elden geçirilmesi gerektiğine katılıyorum, ama şu anda tanımadığınız insanlara ödeme yaparken kredi kartı en iyi araçlardan biri. Kredi kartıyla harcadığım para mevduat hesabımdaki para değil ve dolandırıcılık koruması da beraberinde geliyor
Şüpheli bir işlemse, vadesiz hesaba bağlı bir şey yerine kredi kartı kullanmanın daha iyi olduğunu düşünüyorum. Kart numarası eninde sonunda çalınırsa uğraştırıcı olur, ama NFC ödemeleri ve benzerleri bunu yavaş yavaş çözüyor
Kredi kartını yanlış anlayan çok insan var. Her ay borcun tamamını ödüyorsanız genelde ödül de kazanırsınız ve kişisel mali durumunuzla dolandırıcılık arasında büyük bir koruma katmanı oluşur. Elbette daha güvenli bir kredi kartı sisteminin yaygınlaşmasını bekliyorum
Hâlâ kredi kartı kullanmamızın nedeni, Mastercard ve Visa gibi büyük ağların, kartı çıkaran bankaların ve üye işyeri bankalarının reklama ve lobi faaliyetlerine muazzam para harcaması
AB gibi ödeme ücretlerinin tavanla sınırlandığı yerlerde bile kredi kartı ücret tavanı, banka kartı veya SEPA ücretlerinden daha yüksek; dolayısıyla ödeme zincirindeki herkesin kredi kartı kullanımını teşvik etmesi için açık bir neden var. Kartı çıkaran bankalar faizden de büyük para kazandığı için kredi kartı kullanımını özendirme motivasyonları daha da yüksek
Burada gerçekte ne tür faaliyetler olduğuna dair bilgi olmadığı için, hizmet sağlayıcının davranışına odaklanacağım
Tüketici desteği denince sosyal medyada olay olmasını ummaktan başka bir şey yapmayan ücretli hizmet şirketlerinin hızla arttığı bir ortamda, “bilgisayar çalışmıyor dedi, o zaman yeni hesap aç ve bir daha yakalanmamayı um” türü alternatifleri hukuken nasıl zorunlu kılabileceğimizi düşünmemiz gerekiyor. Bu, tüketici koruma kurumlarının aktif biçimde ele alması gereken bir alan gibi görünüyor
Avustralya’nın tüketici koruma kurumu bu tür meselelerde hakları uygulama konusunda oldukça aktif. ABD’de benzer bir kurum yok mu, yoksa denetlemesi gereken şirketler tarafından ele mi geçirilmiş, merak ediyorum
Bu şirketler büyük kârlar elde ederken, normal bir işletmede bulunması gereken destek ve iletişim süreçlerini “ölçek yüzünden imkânsız” diyerek yok sayıyor. Tüketicinin mağduriyetini giderme açısından böyle bir yanıt kabul edilmemeli
Ne yazık ki hükümetler, can sıkıcı yasal süreçlere gerek kalmadan hoşlanmadıkları insanların geçim kaynaklarını yok etme araçlarını epey seviyor gibi görünüyor
Bunun için zaten var olan hukuki kavramları uygulamak yeterli denebilir, ama medyanın siyasetçilerin dikkatini çekebilmesi için belirli bir olguyu işaret eden kısa ve somut bir sözcüğe ihtiyaç var
swatting, phishing, slamming, gaslighting, boofing gibi herkesin bildiği, haberleştirmesi kolay ve arama optimizasyonuna uygun kelimeler olduğu gibi, bu 21. yüzyıl davranışına ne dememiz gerektiğini merak ediyorum; böylece blog yazıları ve haberler yazılabilir, siyasetçilerden harekete geçmeleri istenebilir
Açılan davalar ve düzenlemeler 20-30 yıl içinde netleştiğinde belki işlevsel hale gelebilir, ama şu an bebeklik döneminde ve herkes sanki bebeği itip düşürebilir mi diye test ediyor gibi görünüyor
Sorun, büyük şirketlere karşı harekete geçmenin gerçekten çok zor olması. Tüketici olarak telefonun su geçirmezlik özelliği hakkında yanıltıcı reklam gibi bir konuda bile hakkını aramak istesen, hukuk masrafı yüz binlerce doları bulabilir
Yeterli finansman olmadan bireylerin şirketleri sorumlu tutması neredeyse imkânsız ve bunu uygulaması gereken kurumlar da ya yasayı uygulamıyor ya da uygulayamıyor
Bitmek bilmeyen rahatsızlıklar ve teknik gürültü, biyometrik kimlik gibi yöntemlerle daha kolay ve ilginç biçimde çözülebiliyorsa, bu sorunları düzeltmek için bir teşvik kalır mı, emin değilim
Açıkçası Avustralya hükümeti şirketleri dizginleyebilir ama sonunda aynı oyunu oynuyor ve uzun vadede de buna karşı çıkanları pek umursamıyor
Etik dışı davranmayı düşünüyorsanız yapılabilecek çok şey var
Doğrudan insanları hedef almak etkili olabilir. Eşe sadakatsizlik şüphesi içeren isimsiz mektupları eşlere göndermek, yöneticilerin iş seyahatlerini engelleyebilir ve özel hayatlarında büyük stres yaratabilir; üstelik maliyeti sadece posta pulu kadardır. Adres ve birlikte yaşama bilgilerinin açık olduğu İsveç gibi yerlerde bu özellikle kolaydır
Ayrıca şirket veya ürünle ilgili ırkçı manipülatif içerikler üretip, yüzlerce bot hesap satın alarak bunları şirket ya da ürün anılınca peşine takabilirsiniz
Rekabetin çok yoğun olmadığı bir sektörde olup ünlü biri olmamama rağmen, bunların ikisini de yaşadım
Bu tür saldırıların daha yaygın hale gelmesini içtenlikle umuyorum
Böylece düzenleyiciler, bizim “ödeme işleyicileri” dediğimiz finansal parazitler hakkında bir şeyler yapmaya zorlanabilir. Kamu hizmeti altyapısı gibi davranmayan bir ödeme işleme sistemi bozuktur ve düzeltilmelidir
Şu an kamu hizmetine en yakın çalışan dijital ödeme sistemlerinin kripto olması gerçekten acı
Tam bir çözüm değil ama müşterilere kripto ya da banka havalesi gibi başka ödeme yöntemleri sunmak bir miktar rahatlama sağlayabilir. Porno sektörü ve diğer yasal işletmeler sonunda bu duruma düştüğünde bunu yapıyor
Müşteriler ürünü yeterince istiyorsa, bir kısmı bu ödeme yöntemlerini öğrenir; işletmeler de belki yalnızca o müşteri kitlesiyle ayakta kalmayı öğrenmek zorunda kalır
Algorand’ın böyle bir rol üstlenebilecek konumda olduğunu hissediyordum, ama başarılı olmak için tüm bileşenlerin yerli yerinde olması gerekiyordu. 0.001 ALGO işlem ücreti anlamsız işlemleri azaltırken 0.1 ALGO’luk işlemleri mümkün kılıyor ve stablecoin ya da merkez bankası dijital para birimi işlemleri yaygınlaşırsa onları da destekleyebilir
İşlemler milisaniyeler içinde tamamlanabiliyor ve orta ölçekli katılımcılar bile tüm ağın sürdürülmesine kolayca katkı sunabiliyor. Ama traction kazanamadı; muhtemelen iyi bir HODL aracı olmadığı içindi
Yapay zekanın yerleşmesi neredeyse 70 yıl aldı, ama kripto 10 yıl içinde çeşitli alanlara girdi ve büyük sorunları çözme potansiyeli olan erken aşama bir teknoloji
Bana göre bu, “yanlış ya da aptal” insanların dolandırıcılarla birlikte önce atladığı, bu yüzden de akıllı insanlara kirlenmiş görünen bir örnek. Yine de iyi olanla kötü olanı ayırt edebilmeliyiz
Burada bu konuyu dikkatli biçimde tartışabilme becerisinin tekrar tekrar eksik kalmasına şaşırıyorum. Gerçekten ilginç olabilecek konuşmalar, kabilecilik yüzünden sürekli geri plana itiliyor
Fransa’daki orta ölçekli bir medya ajansında çalışırken Google AdWords hesabında da benzer bir şey yaşanmıştı ve Google’ın doğrudan desteğiyle hukuk ekibi hesabı yaklaşık 2 haftada geri almıştı
Temelde birkaç hukuki ihtar yazıp, “hukuki temsilcimizin Google France ofisinde bu talihsiz meseleyi görüşmekten memnuniyet duyacağını” iletince Google hesabı geri yüklemiş gibi görünüyordu
Avukat masrafı 2.500-5.000 avro civarında olup ucuz değildi, ama kaybettiğimiz paradan çok daha azdı. ABD merkezli işletmeler için böyle bir seçeneğin bulunup bulunmadığını merak ediyorum. Orijinal metindeki gibi korku hikâyelerini birçok kez gördüm ama benzer bir yolun izlendiğini neredeyse hiç görmedim
"PayPal ile 10 yıl, Stripe ile 7 yıl iş ilişkisi" gibi sayıların önemli olduğunu sanmamak gerekir. 1973'te banka memuruyla tokalaşılan bir dönemde değiliz
Önemli olan sayı, sizin işiniz nedeniyle Stripe veya PayPal üzerinden geçen dolar tutarıdır
Başımıza geldi. Rakip de olabilir, çalıntı ya da forumdan satın alınmış işe yaramaz kredi kartı numarası yığınlarıyla neleri bedavaya alabileceklerini görmek isteyen dolandırıcılar da olabilir
Pazarlama bu tür yapıların radarına girerse, hizmet bilgilerini birbirleriyle paylaşırlar. Üye işyerinin kendi sahtekarlık inceleme yöntemlerini geliştirmesi ya da bunun için birine para ödemesi gerekir
Mağduru suçlamak istemem ama sektörün yapısı gereği dolandırıcılığı tespit etme ve ele alma sorumluluğu en çok üye işyerinde. Nesnel olarak bakınca bu mutlaka kötü bir karar da olmayabilir. Üye işyerinin bunu kimin yaptığını tespit edip engellemek için çeşitli yolları var
İlk startup'ımda bu sorun patladığında bunu ayda 5.000 olaydan ayda 50'ye indirdik ve bu suçu gerçekten nefret ediyorum. Ama kredi kartı aracılarının riski üye işyerine dışsallaştırdıktan sonra, üye işyeri için artımlı araç yeniliklerine pek ilgi duymadıkları açık
Sahte işlem talebi geldiğinde şüpheyi bir güven puanıyla birlikte bildirecek ya da başka üye işyerlerindeki şüphe kayıtlarıyla karşılaştıracak bir üçüncü tarafın olmaması sinir bozucuydu. Yıllar sonra böyle bir hizmet görmüş gibiyim ama şimdi bulamıyorum
Şimdi bakınca, o zaman kimsenin söylemediği için kendi başıma öğrenip oldukça başarılı bulduğum, üye işyerleri için dolandırıcılık önleme ipuçlarını iyi derleyen bir liste var: https://support.authorize.net/knowledgebase/Knowledgearticle...
Bol şans. Bunlar inatçı. Benim durumumda çoğu yoksul ülkelerden geliyordu ve onlar için dolandırıcılıktan kazanılan 1 dolar, bizim için olduğundan çok daha fazla zaman harcamaya değerdi. Tamamen durdurulana kadar gelmeye devam ederler
Duyduğuma göre birçok Shopify sitesi yeni siparişlerde otomatik kredi kartı işlemeyi kapatıyor. Bunun yerine gerçek bir kişi siparişi gözden geçirip Stripe gibi bir yere iletiyor
Sahte siparişler çoğu zaman yalnızca teslimat adresine bakarak bile kolayca anlaşılabiliyor ve kısa sürede bir sezgi gelişiyor. Civciv cinsiyeti ayırmak kadar zor bir iş değil
Belki de insanın kendi işini batırmasının en iyi yolu kredi kartlarını otomatikleştirmektir gibi kışkırtıcı bir sonuca varılabilir
Ama kastedilen, AVS nedeniyle teslimat adresiyle kartın fatura adresinin eşleşmemesi ise konu daha zor. Özellikle B2B'de işletme sahibinin ev adresine bağlı kredi kartıyla ödeme yapıp teslimatı iş yerine istemesi yaygındır