Sanal POS'a Yönelik Kart Deneme (Carding) Saldırısı Nasıl Anlaşılır ve Ödeme Ağ Geçidinde Nasıl Engellenir?

Yaşadığınız durum siber saldırganların çalıntı kredi kartı listelerini (BIN, son kullanma tarihi, CVV) test etmek için e-ticaret sitenizin ödeme formunu botlar aracılığıyla kullandığı klasik bir 'Carding / Card Testing' saldırısıdır.

Bankalar ve Visa/Mastercard, başarısız yetkilendirme oranı %15'in üzerine çıkan üye işyerlerine işlem başına ceza faturası kesebilir veya sanal POS'u doğrudan bloke edebilir. Bu saldırıyı durdurmak için şu güvenlik katmanlarını derhal devreye almalısınız:

• 1. Cloudflare Turnstile / Bot Management Entegrasyonu: Ödeme adımına görünmez (invisible) Cloudflare Turnstile veya hCaptcha ekleyin. Otomatik scriptlerin formu post etmesi engellenir.
• 2. Ödeme Formunda Rate Limiting (Hız Kısıtlama): Aynı IP adresinden, aynı oturumdan veya aynı tarayıcı parmak izinden (Fingerprint) 10 dakika içinde en fazla 3 başarısız denemeye izin verin. 3. başarısız denemeden sonra IP adresini 1 saat süreyle bloklayın.
• 3. Dinamik CSRF ve Tek Kullanımlık Form Tokenı: Ödeme sayfasında her yüklemede süresi 5 dakika olan kriptografik bir nonce/token üretin. API doğrudan tetiklenemez hale gelir.
• 4. 3D Secure 2.2 Zorunluluğu: Non-3D (3D Secure olmayan) işlemleri tamamen kapatın. 3DS ekranına düşen botlar SMS veya mobil onay aşamasını geçemediği için saldırı boşa çıkar.
• 5. Asgari Sepet Tutarı Kontrolü: Sitenizde 1 TL, 5 TL gibi test tutarlarında sipariş oluşturulmasını engelleyin; asgari sepet limitini gerçek ürün fiyatına sabitleyin.