Çevrimiçi Alışveriş Güvenliği

Geçen sene bir kampanya günü, telefonumdan aldığım bir spor ayakkabıyı ödedikten yaklaşık on dakika sonra bankamdan gelen ikinci bir provizyon mesajı ile irkilmiştim. Meğer siteye girdiğim sanılan adres, arama sonuçlarındaki reklam bloğundan tıkladığım bir kopyaydı. Kart bilgilerimi hemen iptal ettirdim, para kaybım olmadı ama o gün şunu anladım: internet alışveriş güvenliği, "dikkatli olmak"tan ibaret bir tavsiye değil, her satın almada aynı sırayla uyguladığım bir kontrol listesi olmalı. Aşağıda kendi alışkanlıklarımı, hangi adımı neden yaptığımı anlatarak paylaşıyorum.

Ödemeye geçmeden önce siteyi tartıya koyuyorum

Sepeti doldurmak kolay, zor olan "bu satıcı gerçek mi?" sorusuna makul bir cevap vermek. Ben tanımadığım bir siteden ilk kez alışveriş yapacaksam ödeme sayfasına gitmeden şu üç şeye bakıyorum: adres çubuğundaki alan adının harf harf doğru olması, iletişim sayfasında gerçek bir adres ve vergi/ticaret bilgisinin bulunması, iade koşullarının açıkça yazılmış olması. Kopya siteler genellikle bu üçüncüsünde çöker; iade metni ya hiç yoktur ya da başka bir siteden kopyalanmış, marka adı bile uyuşmayan bir yazıdır.

Alan adı meselesinde en sık tuzağa düştüğüm yer arama motoru reklamları oldu. Artık sık alışveriş ettiğim yerleri tarayıcıda yer imi olarak tutuyorum ve oraya arama yaparak değil, doğrudan yer imimden giriyorum. Uygulama tarafında ise indirme kaynağını değiştirmiyorum: yalnızca resmî uygulama mağazasından, geliştirici adını kontrol ederek kuruyorum. "APK dosyası olarak da var" diyen linkler bu konuda en hızlı baş ağrısı kaynağı.

• Adres çubuğunda kilit simgesi olsun ama kilit tek başına yeterli değil; dolandırıcı siteler de sertifika alabiliyor.
• Fiyat piyasadan uçuk şekilde düşükse önce ürün adını arayıp aynı görselin başka sitelerde kullanılıp kullanılmadığına bakıyorum.
• Ödeme yöntemi olarak yalnızca havale/IBAN veya kripto isteyen satıcıdan alışveriş yapmıyorum. Kartla ödeme, itiraz hakkı demek.
• Uygulama izinlerine göz atıyorum: bir giyim uygulamasının rehberime ya da SMS'lerime erişmesi için hiçbir sebep yok.

Kart bilgilerimi nasıl veriyorum (ve nasıl vermiyorum)

En büyük değişikliği, gerçek kartımı her yere yazma alışkanlığını bırakarak yaptım. Bankaların mobil uygulamalarında sunduğu sanal kart özelliğini kullanıyorum: limitini yalnızca alacağım tutar kadar ayarlıyorum, işlem bittikten sonra limiti sıfırlıyorum. Böylece bilgiler bir şekilde sızsa bile çekilecek bir şey kalmıyor. Aynı mantıkla, düzenli abonelikler için ayrı bir sanal kart tutuyorum; hangi aboneliğin ne çektiğini de böylece net görüyorum.

Ödeme ekranındaki 3D Secure adımını atlamama izin veren siteler bana hep şüpheli gelir. Doğrulama SMS'i ya da bankamın uygulamasından onay istenmiyorsa, o alışverişte itiraz süreci de zorlaşıyor. Bir de şu var: kartın arkasındaki üç haneli kodu asla bir sohbet penceresine, e-postaya veya telefonda kimseye söylemiyorum. "Bankanızdan arıyoruz" diyen biri bu kodu isterse, konuşma orada bitiyor.

• Sitelerin "kartımı kaydet" seçeneğini yalnızca çok sık kullandığım, büyük ve kurumsal platformlarda işaretliyorum.
• Tek seferlik alışverişlerde kapıda ödeme ya da sanal kart tercihim ilk sırada.
• Banka bildirimlerini SMS ve uygulama bildirimi olarak açık tutuyorum; kaçak bir provizyonu dakikalar içinde görmek çok değerli.

Bağlantı ve cihaz tarafı: gözden kaçan kısım

Ödeme adımını kusursuz yapıp cihazı ihmal etmek çok yaygın bir hata. Kafede, havalimanında, alışveriş merkezinde şifresiz açık ağlara bağlıyken ödeme yapmıyorum; o an gerekiyorsa telefonun mobil verisine geçiyorum. Evdeki modemin yönetim şifresini değiştirmiş olmak, ağ adına misafirler için ayrı bir bölüm tanımlamak da bu işin bir parçası — Wi-Fi hızını artırmayı anlattığımız yazıdaki ayarların birçoğu aynı zamanda güvenlik ayarı. Bağlantı sürekli kopuyorsa ve ödeme ekranı yarıda kalıyorsa iki kez çekim riski de doğuyor; o durumda önce bankadan hareketleri kontrol ediyorum, "bir daha deneyeyim" demiyorum.

Cihaz tarafında üç madde benim için pazarlık konusu değil:

1. İşletim sistemi ve tarayıcı güncel olacak. Android güncellemelerini geciktirmenin bedeli genelde tam olarak bu tür açıklar.
2. Ekran kilidi ve biyometrik doğrulama açık olacak. Telefonu kaybettiğimde kaydettiğim kartlar birinin eline geçmesin.
3. Kaynağı belirsiz uygulama kurulmayacak; "indirim kuponu getiren" uygulamalar bu listede başı çekiyor.

Hesaplar, şifreler ve sonrasında yapılacaklar

Alışveriş güvenliğinin yarısı aslında hesap güvenliği. E-posta hesabım ele geçerse, alışveriş sitelerindeki şifreleri sıfırlamak isteyen kişiye kapıyı ben açmış olurum. Bu yüzden e-postada ve alışveriş hesaplarında iki adımlı doğrulama açık, şifreler ise birbirinden farklı ve bir şifre yöneticisinde saklı. Güvenli şifre oluşturma ve yönetme konusundaki yaklaşımı sitede ayrıca anlatıyoruz; kısacası aynı şifreyi iki yerde kullanmıyorum.

Satın alma sonrası da bir rutinim var: kargo takip bildirimi diye gelen SMS'lerdeki linklere dokunmuyorum, takip numarasını kopyalayıp kargo firmasının kendi sitesine ben yazıyorum. Ay sonunda kart ekstresini satır satır okuyorum; tanımadığım küçük tutarlar genelde deneme amaçlı çekimlerdir ve hemen itiraz edilmesi gerekir. Bir de f