Kart Test Saldırısı (Card Testing) Nedir?
Kart test saldırısı (card testing), dolandırıcıların çalıntı kart bilgilerinin geçerli olup olmadığını, bir e-ticaret sitesinde küçük tutarlı ve çok sayıda ödeme denemesiyle yoklaması saldırısıdır.
Kart Test Saldırısı Nasıl Çalışır?
Çalınan kart verisi çoğu zaman geçerli olup olmadığı bilinmeden satılır. Dolandırıcı, verileri doğrulamak için düşük riskli ve ödeme formu kolay erişilebilir siteleri hedef alır; otomatik bir botla düşük tutarlı siparişleri art arda dener. Başarılı olanlar geçerli kart olarak işaretlenir ve başka yerde asıl dolandırıcılık için kullanılır. Hedef alınan işletme ise ödeme sağlayıcıya yüksek sayıda başarısız deneme göndermiş olur.
Saldırı işaretleri:
- Kısa sürede çok sayıda başarısız ya da küçük tutarlı ödeme denemesi.
- Farklı kartların aynı IP, cihaz ya da e-postadan denenmesi.
- Ödeme başarı oranında ani düşüş (ödeme başarı oranı).
- Bağış ya da hediye kartı gibi düşük tutarlı ürünlerin yoğun hedef alınması.
- Ödeme sağlayıcıdan gelen uyarı ya da hesap kısıtlaması.
Bu saldırı yalnızca işletmeye değil kart sahiplerine de zarar verir; ayrıca ödeme sağlayıcı ya da banka tarafından uyarı ve yaptırım gelebilir.
Kart Test Saldırısı E-Ticarette Neden Önemlidir?
Saldırı sırasında ödeme sağlayıcı yüksek sayıda başarısız denemeden ek maliyet ya da kısıtlama uygulayabilir; sipariş ve ödeme verisinin bozulması, raporlamada da karışıklık yaratır. Karar noktası, önlemlerin müşteri deneyimini bozmadan nasıl kurulacağıdır: tüm kullanıcılara zor doğrulama yerine şüpheli davranışlara yönelik koruma tercih edilir.
Alınabilecek önlemler: ödeme formunda bot doğrulaması (CAPTCHA), aynı IP ve cihazdan deneme sayısını sınırlama, 3D Secure kullanımı, kısa sürede çok başarısız denemede otomatik engelleme, minimum tutar kuralları ve alarm. Ödeme sağlayıcıyla iletişim kurup risk araçlarını etkinleştirmek de yararlıdır. Kapsamlı çerçeve için dolandırıcılık önleme sayfasına bakılabilir.
Başarısız deneme oranını günlük izlemek ve eşik aşıldığında uyarı almak, saldırıyı erken yakalamayı sağlar.
Kart Test Saldırısında Sık Yapılan Hatalar
- Başarısız deneme oranını izlememek. Saldırı uzun süre fark edilmez.
- Bot doğrulaması koymamak. Otomatik denemeler sınırsız sürer.
- Tüm müşteriye ağır doğrulama uygulamak. Gerçek müşteri dönüşümü düşer.
- Ödeme sağlayıcıyı bilgilendirmemek. Risk araçları ve destek devreye girmez.
Kart Test Saldırısı Hakkında Sık Sorulan Sorular
Kart test saldırısı yapıldığı hangi işaretlerden anlaşılır?
Kısa aralıklarla gelen çok sayıda başarısız ya da düşük tutarlı ödeme denemesi en belirgin işarettir. Farklı kartların aynı IP, cihaz ya da e-posta adresinden denenmesi, ödeme başarı oranının birden düşmesi, hediye kartı gibi ucuz ürünlerin yoğun hedeflenmesi ve ödeme sağlayıcısının uyarısı da saldırıyı gösterir.
Kart test saldırısı nasıl önlenir?
Ödeme formuna bot doğrulaması koyarak, IP ve cihaz başına deneme sayısını sınırlayarak, 3D Secure kullanarak ve başarısız deneme oranını izleyerek önlenir.