E-Ticarette Dolandırıcılık Önleme: Tekstil Rehberi

Tekstil e-ticaretinde dolandırıcılığı önlemek, yalnızca çalıntı kartla yapılan işlemleri engellemek değildir. Sahte siparişler, teslim alınmayan kapıda ödeme paketleri, ters ibraz (chargeback), kullanılmış ürün iadeleri ve sahte Instagram hesapları kâr marjını farklı yerlerden düşürür.

Güvenlik, checkout’a yeni adımlar eklemek değildir. Gerçek müşteriyi yavaşlatmadan riskli siparişi ayırabilmektir. Türkiye’de e-ticaret hacmi 2025’te 115,43 milyar ABD dolarına ulaştı. Giyim, ayakkabı ve aksesuar sektörü, e-ticaret işletmelerinin faaliyet alanları içinde %13,8 payla ikinci sırada yer aldı. İşlem hacmi büyüdükçe küçük operasyon açıkları da doğrudan maliyete dönüşür.

Öne Çıkanlar

• 3D Secure kart sahibini doğrular; kapıda ödeme, iade istismarı, hesap ele geçirme ve sahte hesap risklerini tek başına çözmez.
• Riskli siparişler; yüksek sepet, yeni hesap, başarısız ödeme denemeleri ve adres tutarsızlığı gibi sinyallerle incelemeye ayrılmalıdır.
• Paketleme fotoğrafı, ürün etiketi, kargo takip kaydı ve paket ağırlığı chargeback veya iade anlaşmazlığında sonradan yazılmış açıklamadan daha güçlü kanıttır.
• Kapıda ödemeyi tamamen kaldırmak yerine tutar, müşteri geçmişi ve iletişim doğrulamasına göre kademeli kurallar kurulmalıdır.
• Ödeme sayfasındaki gereksiz üçüncü taraf scriptleri, açık yönetici erişimleri ve sahte sosyal medya hesapları mağazanın görünmeyen risk yüzeyidir.

Tekstil Mağazasında Dolandırıcılık Nerede Başlar

Dolandırıcılık ödeme ekranında başlamaz ve orada bitmez. Mağaza sipariş alınırken, depo paketi hazırlarken, iade kabul edilirken ya da müşteri sahte bir kampanya sayfasına yönlendirilirken zarar görebilir.

Türkiye’deki kartlı e-ticaret ödemelerinin %64,1’i 3D Secure ile yapılıyor. Bu, önemli bir koruma katmanıdır. Ancak 3D Secure ile tamamlanan bir siparişte teslimat itirazı, iade uyuşmazlığı veya müşteri hesabının ele geçirilmesi ayrı süreçler gerektirir.

Çalıntı Kart ve Kart Testi Saldırıları

Çalıntı kartla yapılan alışveriş çoğu zaman tek bir işaretle anlaşılmaz. Yeni açılmış hesap, yüksek sepet tutarı, farklı fatura ve teslimat adresleri, kısa aralıklarla yinelenen başarısız ödeme denemeleri birlikte görüldüğünde risk artar.

Kart test saldırılarında amaç ürün satın almak değildir. Saldırganlar, kartın çalışıp çalışmadığını anlamak için çok sayıda düşük tutarlı işlem dener. Bu denemeler ödeme sağlayıcısı maliyeti ve operasyon yükü yaratır. Gerçek müşterilerin karşılaştığı gereksiz hata oranını da artırır.

OWASP, kupon, şifre sıfırlama ve ödeme gibi iş mantığı akışlarında hız limiti ve olay izleme kullanılmasını önerir. Bu nedenle ödeme deneme sayısı, giriş denemeleri ve kupon kullanımı sınırsız bırakılmamalıdır. OWASP’ın iş mantığı güvenliği rehberi bu yaklaşımın teknik temelini açıklar.

Ters İbraz: Ürün Gitti, Ödeme Geri Çekildi

Ters ibraz, kart sahibinin işlemi tanımadığını veya ürünün teslim edilmediğini söyleyerek bankası üzerinden ödemeye itiraz etmesidir. Bazı itirazlar gerçekten yetkisiz işlemlerden doğar. Bazılarında müşteri, yaptığı alışverişi sonradan inkâr eder.

Yaygın hata, chargeback geldikten sonra belge toplamaya başlamaktır. Kanıt itiraz günü değil, sipariş hazırlanırken oluşur. Yurt dışı siparişlerde chargeback’in nakit akışına etkisini ayrıca anlattık.

Örneğin 3D Secure ile ödenmiş, kargoya verilmiş ve teslim edilmiş yüksek tutarlı bir siparişte, kart sahibi günler sonra işlemi tanımadığını belirterek itiraz açabilir. 3D Secure kaydı tek başına dosyayı kapatmayabilir. Elinizde sipariş onayı, ürün etiketlerinin göründüğü paketleme fotoğrafı ve teslimat belgesi varsa, siparişin hazırlandığını ve teslim edildiğini gösterebilirsiniz.

Kapıda Ödeme ve Teslim Alınmayan Siparişler

Kapıda ödeme sahte sipariş riski tekstilde özellikle yüksektir. Müşteri birkaç farklı beden sipariş edebilir, son anda vazgeçebilir ya da iletişim bilgileri baştan sahte olabilir. Kargonun gidiş dönüş maliyeti, paketleme emeği ve ürünün yeniden stoğa girme süresi mağazaya kalır.

Çözüm, kapıda ödemeyi herkese kapatmak değildir. Düzenli müşteriyi ilk sorunlu sipariş yüzünden cezalandırmak da dönüşüm kaybı yaratır.

Aynı telefon numarasıyla üçüncü kez teslim alınmayan sipariş veren müşterinin riski, ilk kez alışveriş yapan müşterininkiyle aynı değildir. Risk notu tutun. Belirli tutarın üzerindeki ilk siparişlerde iletişim teyidi isteyin. Aynı adres, telefon veya müşteri kaydında tekrarlanan teslim almama durumlarını sipariş inceleme ekranında görünür yapın.

İade İstismarı: Kullanılmış, Eksik veya Farklı Ürün

Tekstil e-ticaretinde iade yönetimi, müşterinin yasal cayma hakkını sınırlamak için kullanılmamalıdır. Bedenin uymaması, ürünün bekleneni karşılamaması veya renk farkı nedeniyle yapılan meşru iadeler işin olağan parçasıdır.

Sorun, gönderilen ürün yerine başka bir ürünün dönmesi, ürünün kullanılmış olarak iade edilmesi ya da etiket ve aksesuarların eksik olmasıdır. Tekstil ürünlerinde beden, deneme ve yeniden satılabilirlik kontrolü gerektiği için fiziksel kanıt zinciri daha önemlidir.

Bu ayrımı en baştan kurmak gerekir:

• Meşru iade talebini açık ve erişilebilir süreçle yönetin.
• İade kabulünde ürünün durumunu fotoğrafla kaydedin.
• Gönderilen ürünün etiket, varyant ve varsa seri bilgisini siparişe bağlayın.
• İade reddi gerekiyorsa önceden yayınlanmış politikanıza ve somut kayda dayanın.
• Müşteriyle yazışmaları sipariş kaydından koparmayın.

Sahte Kampanya ve Marka Taklidi Hesaplar

Sahte Instagram hesabı mağazanızın sunucusuna saldırmaz. Ancak markanızın adı ve görsel dili kullanılarak müşteriler dolandırıldığında itibar kaybı size yansır.

Ticaret Bakanlığı, tüketicilere satıcının resmî kaydını ve iletişim bilgilerini kontrol etmelerini, şüpheli bağlantılardan uzak durmalarını öneriyor. Mağaza da resmî alan adını, sosyal medya hesaplarını ve ödeme kanallarını açıkça belirtmelidir.

Güvenlik Sistemi 3D Secure ile Bitmez

3D Secure gerekli bir ödeme doğrulamasıdır. Ancak tek başına fraud stratejisi değildir. Güvenli bir mağazada ödeme akışı, sipariş kuralları, depo kayıtları, iade süreci ve erişim yetkileri birlikte çalışır.

Güvenli Ödeme Akışı Kurun

Kart bilgisini mağaza veritabanında saklamayın. Ödeme sağlayıcısının yönlendirmeli sayfası veya güvenli iframe tabanlı akışı, mağazanın kart verisiyle doğrudan temasını azaltır.

PCI Security Standards Council, ödeme sayfasının nasıl oluşturulduğunun kritik olduğunu vurgular. Ödeme formu doğrudan güvenilir sağlayıcıdan geliyorsa risk yüzeyi ile mağaza sayfasında çalışan JavaScript’in kart bilgisi topladığı yapı aynı değildir. Ayrıca PCI DSS v4.x, ödeme sayfasındaki scriptlerin yetkilendirilmesini, bütünlüğünün kontrolünü ve değişikliklerin izlenmesini öne çıkarır. PCI SSC’nin ödeme sayfası scriptleri açıklaması bu nedenle önemlidir.

Ödeme adımında şu soruları sorun:

• Canlı sohbet, pop-up, reklam pikseli veya analiz scripti burada gerçekten gerekli mi?
• Her uygulamanın hangi verilere eriştiği kayıtlı mı?
• Kullanılmayan ödeme ve pazarlama eklentileri kaldırıldı mı?
• Ödeme sağlayıcısı hata veya olağandışı deneme alarmı üretiyor mu?
• Güncelleme sonrası checkout akışı hem teknik hem operasyonel olarak test ediliyor mu?

Bu mimari, yalnızca büyük markalar için değildir. Bir tekstil e-ticaret mağazasında ödeme, sipariş, kargo ve iade akışları ayrı eklentiler yığını olarak değil, aynı operasyonun parçaları olarak kurulmalıdır.

Şüpheli Siparişi Otomatik Ayırın

Her siparişi telefonla doğrulamak güvenlik değildir. Bu yaklaşım müşteri deneyimini cezalandırır. Birden fazla risk sinyali taşıyan siparişleri otomatik olarak inceleme kuyruğuna almak daha doğru yöntemdir.

Örneğin, şu kombinasyonlar inceleme gerektirebilir:

• Yeni müşteri hesabı ve mağaza ortalamasının çok üzerinde sepet tutarı
• Aynı cihaz veya IP üzerinden kısa sürede çok sayıda ödeme denemesi
• Fatura ve teslimat bilgisinde olağandışı tutarsızlık
• Aynı kartla farklı hesaplardan yapılan tekrar eden denemeler
• Kısa süre önce değiştirilen teslimat adresiyle verilen yüksek tutarlı sipariş
• İndirim kodu, hediye kartı veya hızlı kargo seçeneğinin sıra dışı kombinasyonu

Tek bir sinyal, müşterinin suçlu olduğu anlamına gelmez. Siparişi doğrudan iptal etmek yerine incelemeye alın. Gerekirse müşteriden sipariş teyidi isteyin. Böylece gerçek müşterinin alışverişi aksanmaz, operasyon ekibi de yalnızca riskli azınlığa zaman ayırır.

Güvenlik kuralı: Riskli siparişi durdurun, müşteriyi değil.

Kapıda Ödemeyi Kaldırmadan Riski Düşürün

Kapıda ödeme için ayrı bir kural seti gerekir. Kartlı ödemelerde kullanılan risk skoru burada doğrudan çalışmaz. Çünkü zarar, kargo teslim alınmadığında oluşur.

Kapıda ödeme siparişleri arttığında ilk refleks bu seçeneği tamamen kapatmak olabilir. Önce son birkaç ayın kayıtlarını inceleyin. Kayıplar çoğunlukla belirli tutarın üzerindeki ilk siparişlerden ya da aynı telefon numarasına bağlı tekrarlanan teslim almama vakalarından geliyorsa, teyidi yalnızca bu profildeki siparişlerden isteyin. Düzenli müşteriler aynı akışta devam eder, depo da geri dönen paketlerle daha az uğraşır.

Uygulanabilecek kademeli kontroller şunlardır:

1. Yeni müşteriler için sipariş tutarına bağlı kapıda ödeme sınırı koyun.
2. Belirli risk eşiğindeki siparişlerde SMS veya telefon teyidi isteyin.
3. Teslim alınmayan sipariş geçmişini müşteri kaydında görünür tutun.
4. Aynı adres veya telefon için tekrar eden sorunu risk notuna ekleyin.
5. Kargo iade maliyetini ürün ve kanal bazında aylık inceleyin.

İade Süreci Dolandırıcılık Kanıtının Başladığı Yerdir

Kanıt, banka itirazı geldiğinde değil, ürün depodan çıkarken oluşmaya başlar. Bu, her paketi uzun bir hukuk dosyasına dönüştürmek demek değildir. Yüksek tutarlı, riskli veya kolayca uyuşmazlık yaratabilecek siparişlerde düzenli kayıt tutmak demektir.

Paketleme ve Teslimat Kanıtı

Depo ekibi için kısa bir akış yeterlidir. Ürün hazırlanırken varyantı, etiketi ve pakete konduğu an görünür olmalıdır. Kargo takip numarasını siparişe bağlayın. Yüksek tutarlı siparişlerde paket ağırlığını da kaydedin. Ambalajın kendisini iadeye ve desiye göre seçmek ise ayrı bir iştir; bunu tekstil ürün paketleme stratejisi yazısında ele aldık.

Tutulması gereken temel kanıtlar:

• Sipariş ve ödeme onayı
• 3D Secure veya sağlayıcı doğrulama kaydı
• Ürün, etiket ve paketleme fotoğrafı
• Kargo takip numarası ve teslimat durumu
• Yüksek tutarlı pakette çıkış ağırlığı
• Müşteriyle yapılan teyit ve destek yazışmaları
• İade geldiğinde ürünün ilk açılış ve kabul fotoğrafı

Bu kayıtlar yalnızca ters ibraz için kullanılmaz. Depo hatasını, kargo hasarını ve müşteri şikâyetini birbirinden ayırmayı da kolaylaştırır.

Tekstil İadesinde Kontrol Edilecekler

İade paketi geldiğinde ürünün yalnızca kutuya geri dönmüş olması yeterli değildir. Gönderilen varyantla eşleştiğini, etiketinin durumunu ve yeniden satılabilirliğini kayda alın.

Dış pakette doğru sipariş numarası olduğu hâlde içinden farklı renk ve bedende bir ürün çıkarsa, çıkıştaki ürün etiketi fotoğrafı, sipariş varyantı ve kargo ağırlığı kaydı uyuşmazlığı açıkça gösterir. Bu durumda müşteriyi peşinen suçlamayın; kayıtları paylaşarak inceleme başlatın. Böylece hem stok kaybını hem de meşru bir müşterinin haksız muamele görmesini önlersiniz.

İade politikanız açık olmalıdır. Mesafeli satışlarda satış öncesi bilgilendirme ve tüketici hakları zorunluluktur. Ticaret Bakanlığı’nın mesafeli sözleşmeler rehberi, açık politika ve doğru bilgilendirmenin neden yalnızca müşteri deneyimi konusu olmadığını gösterir.

Müşteri Hesabı ve Yönetici Paneli En Zayıf Halka Olabilir

Güvenlik yalnızca ziyaretçiye yönelik değildir. Açık kalmış eski ajans hesabı, ortak kullanılan şifre veya gereğinden geniş yetki verilmiş depo kullanıcısı mağazayı doğrudan riske sokabilir.

Müşteri Hesaplarını Koruyun

Müşteri hesabı ele geçirildiğinde saldırgan adresi değiştirebilir, kupon kullanabilir veya kayıtlı ödeme yöntemlerini kötüye kullanmaya çalışabilir. Gereksiz kişisel veri toplamak bu riski azaltmaz. Tersine, ihlal durumunda korunması gereken veri miktarını artırır.

Şunları uygulayın:

• Giriş ve şifre sıfırlama taleplerine hız limiti koyun.
• Şüpheli giriş veya adres değişikliğinde müşteriye bildirim gönderin.
• Parola politikası ve oturum süresini platformunuza uygun biçimde düzenleyin.
• Kullanılmayan müşteri verisini süresiz saklamayın.
• İhlal şüphesinde kimin ne yapacağını önceden belirleyin.

KVKK bakımından herkese uyan tek bir kontrol listesi yoktur. Veri sorumlusu, işlediği verinin ve faaliyetinin riskine uygun teknik ve idari tedbirleri almakla yükümlüdür. KVKK’nın veri güvenliği yükümlülükleri açıklaması bu sorumluluğun çerçevesini açıklar.

Yönetici Panelini Ayrı Koruyun

Yönetici paneline müşteri hesabından daha az kişi erişir, ancak burada oluşabilecek zarar daha büyüktür. Hedefli saldırılar kadar unutulmuş erişimler de sorundur.

Yönetici tarafında şu standartlar temel olmalıdır:

• Tüm yönetici hesaplarında çok faktörlü doğrulama kullanın.
• Her kullanıcıya yalnızca işi için gereken yetkiyi verin.
• Ayrılan çalışan, eski ajans veya kullanılmayan uygulama erişimlerini aynı gün kapatın.
• Güncelleme, yedekleme ve işlem kayıtlarını düzenli kontrol edin.
• Kritik değişikliklerde ikinci onay veya bildirim akışı kurun.

Platform seçimi bu sorumlulukları ortadan kaldırmaz. Shopify kurulumu yapılan mağazada da uygulama izinleri, yönetici erişimleri, iade politikası ve sahte kampanya iletişimi işletmenin kontrolünde kalır. Platform, mağazanın operasyonuna göre seçilmelidir.

Sahte Instagram Hesabı Sizin Sisteminizde Başlamaz Ama Markanıza Zarar Verir

Sahte bir kampanya hesabı açıldığında müşteri çoğu zaman önce mağazanızın gerçek hesabını görmez. Bu nedenle resmî kanalları footer’da küçük ikonlarla göstermek yeterli değildir.

Resmî alan adınızı, destek e-posta adresinizi ve sosyal medya hesaplarınızı görünür biçimde yazın. Sipariş onay e-postasına kısa bir güvenlik notu ekleyin. Kart şifresi, SMS doğrulama kodu veya WhatsApp üzerinden ödeme linki istemediğinizi açıkça belirtin.

Hızlı bir ihbar akışı da tanımlayın. Müşteri sahte hesabı bildirdiğinde destek ekibinin ne yapacağı, platforma şikâyeti kimin göndereceği ve sosyal medya ile sitede hangi uyarının yayınlanacağı belli olmalıdır.

İade ve güvenlik akışınız checkout dönüşümünü de etkiler. Sürtünme yaratmadan güven kuran bir ödeme deneyimi için checkout dönüşüm oranı artırma rehberini inceleyin. Mağazanın satış problemi yalnızca güvenlikten kaynaklanmıyorsa, ürün sayfası, beden bilgisi ve iade akışını tekstil e-ticaret sitesi kurulumunun parçası olarak birlikte ele alın.

Tekstil E-Ticaret Güvenlik Kontrol Listesi

Bu kontrol listesini kampanya döneminden önce ve ardından her ay gözden geçirin.

• 3D Secure, ödeme sağlayıcısı alarmı ve başarısız ödeme deneme limitleri aktif.
• Kart bilgileri mağaza veritabanında tutulmuyor.
• Checkout’ta gereksiz script, eklenti ve üçüncü taraf uygulama çalışmıyor.
• Yüksek riskli siparişleri incelemeye alan kurallar tanımlı.
• Kapıda ödeme için tutar, müşteri geçmişi ve teyit kuralları mevcut.
• Paketleme fotoğrafı, ürün etiketi ve kargo takip kaydı siparişe bağlanıyor.
• Yüksek tutarlı paketlerde ağırlık kaydı tutuluyor.
• İade kabulünde ürün durumu ve varsa uyuşmazlık fotoğraflanıyor.
• Müşteri ve yönetici hesaplarında erişim yetkileri düzenli kontrol ediliyor.
• Yönetici hesaplarında MFA zorunlu.
• Resmî sosyal hesaplar, alan adı ve müşteri destek kanalları açıkça gösteriliyor.
• Sahte hesap veya sahte link bildirimi için sorumlu kişi ve süreç belli.

Sık Sorulan Sorular

3D Secure e-ticarette dolandırıcılığı tamamen önler mi?

Hayır. 3D Secure, kart sahibinin doğrulanmasını güçlendirir. Ancak teslimat itirazı, kapıda ödeme zararı, iade istismarı, müşteri hesabının ele geçirilmesi ve marka taklidi gibi riskler için ayrı kontroller gerekir.

Kapıda ödeme sahte siparişleri nasıl azaltılır?

Kapıda ödemeyi herkes için kapatmak yerine risk profiline göre kurallar uygulayın. Yeni müşteri, yüksek sipariş tutarı, tekrarlayan teslim almama kaydı ve tutarsız iletişim bilgileri ek teyit için yeterli sinyallerdir.

Chargeback için hangi belgeler saklanmalı?

Sipariş ve ödeme onayı, 3D Secure kaydı, paketleme fotoğrafı, ürün etiketi, kargo takip bilgisi, teslimat belgesi ve müşteri yazışmaları saklanmalıdır. Yüksek tutarlı siparişlerde paket ağırlığı da kanıtı güçlendirir.

Tekstil ürünlerinde iade dolandırıcılığı nasıl tespit edilir?

Gönderilen ve dönen ürünün varyantını, etiketini, fiziksel durumunu ve varsa paket ağırlığını karşılaştırın. İade kabulünde fotoğraf çekin. Meşru cayma hakkı ile ürünün kullanılmış, eksik veya farklı dönmesi durumunu birbirinden ayırın.

WooCommerce mağazasında kart bilgileri saklanmalı mı?

Hayır. Kart verisini mağaza veritabanında tutmak risk yüzeyini gereksiz büyütür. Ödeme sağlayıcısının güvenli yönlendirme veya iframe tabanlı akışı tercih edilmelidir. Ödeme altyapısı kurulumu için WooCommerce iyzico entegrasyonu rehberindeki güncel akışı ayrıca değerlendirin.

Sahte Instagram hesabı müşterileri dolandırırsa mağaza ne yapmalı?

Resmî hesaplarınızı ve alan adınızı görünür tutun. Müşterilere kart şifresi veya SMS kodu istemediğinizi bildirin. Sahte hesabı ilgili platforma şikâyet edin, müşterilerden gelen ihbarları kayda alın ve resmî kanallarınızdan kısa bir uyarı yayınlayın.

E-ticaret sitesinde yönetici paneli güvenliği nasıl sağlanır?

Çok faktörlü doğrulama, rol bazlı yetki, güçlü ve kişiye özel hesaplar, düzenli erişim denetimi, güncel yazılım ve yedekleme temel gerekliliklerdir. Eski çalışanların veya ajansların erişimlerini açık bırakmayın.

Güvenlik Satışı Durdurmaz, Kayıp Siparişi Ayırır

Tekstil e-ticaretinde güvenlik, müşterinin önüne duvar örmek değildir. Riskli siparişi incelemeye almak, gerçek müşteriyi bekletmemek ve itiraz geldiğinde kanıt sunabilmektir.

3D Secure kullanın, ancak bununla yetinmeyin. Ödeme sayfasını sade tutun. Şüpheli siparişleri sinyallere göre ayırın, kapıda ödeme için kademeli kurallar oluşturun ve ürün depodan çıkarken kanıt kaydı üretin. İade sürecini de müşteri haklarına saygılı, ancak kayıtsız olmayan bir akışa dönüştürün.