Mobil Ödeme Uygulamaları: Güvenlik Açısından Karşılaştırma
Mobil ödeme, artık cüzdan taşımanın alternatifi değil; çoğu kişi için varsayılan yöntem. Ancak "hangisi daha pratik" sorusu kadar "hangisi daha güvenli" sorusu da önemli. Uygulamalar arasındaki fark; arayüz değil, kimlik doğrulama katmanları, para nerede duruyor ve bir sorun çıktığında sorumluluğun kimde olduğu. Aşağıda mobil ödeme güvenliği açısından uygulamalar dört ana kategoriye ayrılıyor, riskleri ve avantajları karşılaştırılıyor.
Uygulama Tipleri ve Temel Güvenlik Mimarisi
Piyasadaki çözümleri aynı kefeye koymak yanlış. Her birinin arkasındaki yapı farklı:
- Banka mobil uygulamaları: Para doğrudan mevduat hesabında. En sıkı denetim burada. Genellikle çok katmanlı doğrulama, cihaz kaydı ve işlem limiti yönetimi sunar.
- Cihaz cüzdanları (telefon üreticisinin çözümü): Kart numarası cihazda saklanmaz; token adı verilen tek kullanımlık bir temsilci kullanılır. Fiziksel kart bilgisi satıcıya gitmez.
- Ödeme/e-para kuruluşu uygulamaları: Bakiye bir ödeme kuruluşunda tutulur. Bu kuruluşlar Türkiye Cumhuriyet Merkez Bankası tarafından yetkilendirilir. Önemli fark: e-para bakiyesi mevduat değildir ve mevduat sigortası kapsamında değildir.
- Operatör faturasına yansıyan mobil ödeme: Kart bilgisi paylaşılmaz, bu bir avantaj. Ama abonelik tuzakları ve SIM kart devralma saldırıları en çok burada acıtır.
Karşılaştırma: Hangi Katman Nerede Güçlü?
| Kriter | Banka uygulaması | Cihaz cüzdanı | E-para uygulaması | Operatör ödemesi |
|---|---|---|---|---|
| Kart bilgisinin gizlenmesi | Orta | Yüksek (tokenizasyon) | Orta-Yüksek | Kart yok |
| Biyometrik doğrulama | Var | Zorunlu denebilir | Çoğunda var | Genellikle yok |
| Bakiye koruması | Mevduat sigortası | Bakiye tutmaz | Sigorta kapsamı dışı | Fatura riski |
| İtiraz / chargeback | Güçlü | Karta bağlı, güçlü | Değişken | Zayıf |
| Kayıp telefon riski | Orta | Düşük (uzaktan silme) | Orta | Yüksek |
Tablodan çıkan pratik sonuç şu: günlük harcamada cihaz cüzdanı ve tokenizasyon en iyi koruma katmanını sağlar. Büyük tutarlarda ise banka uygulaması, itiraz mekanizması ve mevduat güvencesi nedeniyle öne çıkar. E-para uygulamalarını "harçlık cüzdanı" gibi kullanmak, birikimi orada tutmaktan çok daha mantıklı.
Gerçek Riskler Uygulamada Değil, Kullanıcıda
Saldırıların büyük kısmı uygulamanın şifrelemesini kırarak değil, kullanıcıyı ikna ederek gerçekleşir. Sık görülen senaryolar:
- Sahte SMS ve linkler: "Hesabınız kapatılacak" tarzı mesajlar. Bankalar SMS içinde giriş linki göndermez.
- Uzaktan erişim tuzağı: Telefonda ekran paylaşımı veya destek uygulaması kurdurma. Kurulan an her şey görünür hale gelir.
- SIM kart devralma: Numaranız başka SIM'e taşınır, SMS doğrulama kodları saldırgana gider. Bu yüzden SMS yerine uygulama içi onay daha güvenlidir.
- Resmî mağaza dışı kurulum: APK dosyasıyla kurulan "hızlı ödeme" uygulamaları en tehlikeli gruptur.
- Otomatik yenilenen abonelikler: Özellikle operatör ödemesinde fark edilmesi aylar alabilir.
Uygulama seçerken bakılacak somut maddeler
- Kuruluş BDDK veya TCMB listelerinde yer alıyor mu?
- Cihaz eşleştirme (yeni telefonda ek onay) var mı?
- Biyometrik giriş zorunlu tutulabiliyor mu?
- İşlem başına ve günlük limit ayarlanabiliyor mu?
- Anlık bildirim tüm işlemlerde geliyor mu, yoksa belirli tutarın üstünde mi?
- Sanal kart üretme özelliği var mı? Aboneliklerde bunu kullanmak çok değerli.
- Kayıp durumunda kartı uygulamadan anında dondurup açabiliyor musunuz?
- Müşteri hizmetlerine 7/24 insanla ulaşma imkânı var mı?