Antalya’da bir otelci olan Selim, yurt dışından bir yazılım aboneliği aldı. Alışkın olduğu SMS kodu hiç gelmedi; işlem bir anda tamamlandı. “Şifre sorulmadı, bu güvenli mi?” diye düşündü ama üstünde durmadı. Birkaç ay sonra aynı yabancı platformdan tanımadığı ek çekimler gelmeye başladı — yine SMS yoktu. Selim bankaya gittiğinde şaşırtıcı bir şey öğrendi: 3D Secure olmadan gerçekleşen işlemlerde itiraz hakkı aslında daha güçlüydü. Sorun, çoğu kullanıcının bu hakkı bilmemesiydi.
3D Secure olmadan para çekilmesi hem yanlış anlaşılan hem de panik yaratan bir konudur. Bu rehberde meselenin iki yüzünü de ele alıyoruz: SMS kodunun neden bazen hiç sorulmadığını ve gerçekten yetkisiz bir işlemle karşılaştığınızda bankadan Tüketici Mahkemesi’ne kadar izleyebileceğiniz adımları.
İçindekiler
- 3D Secure Nedir ve Ne İşe Yarar?
- SMS Şifresi Neden Bazen Hiç Sorulmaz?
- 3D Secure Olmadan İşlemin Riskleri
- Yurt Dışı Sitelerde Durum
- SMS’siz Çekim Gördünüz: Önce Bunu Belirleyin
- Yetkisiz İşlemde Yasal Haklarınız
- Adım 1: Bankaya Chargeback (Ters İbraz) Başvurusu
- Adım 2: Banka Reddederse — Üst Mercilere Başvuru
- Adım 3: Tüketici Mahkemesi ve Suç Duyurusu
- Süre Yönetimi ve Dosya Takibi
- 3DS’siz İşlem Riskinden Korunma Yöntemleri
- Sık Sorulan Sorular
3D Secure Nedir ve Ne İşe Yarar?
3D Secure (kısaca 3DS), online kart ödemelerinde ek bir kimlik doğrulama katmanı sağlayan güvenlik protokolüdür. Türkiye’de genellikle “SMS şifresi” veya “OTP” (One Time Password — tek kullanımlık şifre) olarak bilinir.
İşleyişi basittir: online ödeme sırasında bankanız, kayıtlı telefon numaranıza tek kullanımlık bir kod gönderir. Bu kodu giren kişinin gerçek kart sahibi olduğu varsayılır. Böylece kart bilgileri çalınsa bile, bu kod olmadan işlem tamamlanamaz.
Visa bu sistemi “Verified by Visa”, Mastercard ise “Mastercard Identity Check” adıyla sunar. Türkiye’de BDDK düzenlemeleri kapsamında yurt içi online ödemelerin büyük çoğunluğunda 3DS zorunludur.
SMS Şifresi Neden Bazen Hiç Sorulmaz?
Her işlemde 3D Secure devreye girmez. Bunun birkaç tamamen meşru nedeni vardır ve bu durumları bilmek gereksiz panikten korur:
- Yurt dışı satıcılar: Türkiye dışındaki bazı satıcılar 3DS protokolünü desteklemez. Bu satıcılarda kart bilgileri girildiğinde işlem SMS kodu olmadan tamamlanır.
- Tekrarlayan abonelik ödemeleri: Bir aboneliğe ilk kaydolurken 3DS doğrulaması yaparsınız. Sonraki aylık çekimlerde genellikle 3DS sorulmaz; çünkü ilk onayın tüm tekrarlayan işlemleri kapsadığı kabul edilir.
- Saklanmış kart bilgileri: Bir platforma kartınızı kaydettiyseniz, sonraki alışverişlerde “hızlı ödeme” özelliğiyle 3DS atlanabilir.
- Düşük tutarlı işlemler: Bazı ödeme sistemleri, belirli bir tutarın altındaki işlemlerde kullanıcı deneyimini hızlandırmak için 3DS uygulamayabilir.
- Kart şemasının risk değerlendirmesi: Visa ve Mastercard’ın akıllı risk sistemleri, düşük riskli buldukları rutin işlemlerde 3DS’i atlayabilir (frictionless flow).
3D Secure Olmadan İşlemin Riskleri
3DS olmadan gerçekleşen işlemler ek güvenlik katmanından yoksun olduğu için belirli riskler taşır:
- Çalınan kart bilgileriyle işlem: Kart numarası, son kullanma tarihi ve CVV ele geçirilmişse, 3DS gerektirmeyen bir platformda bu bilgilerle doğrudan işlem yapılabilir. SMS engeli olmadığından saldırgan kolayca harcama gerçekleştirir.
- BIN saldırısı: 3DS gerektirmeyen platformlar, dolandırıcıların kart numarası test ettiği yerlerdir. Çalışan bir numara bulduklarında engel olmadığından hızla işlem yaparlar.
- Yetkisiz tekrarlayan çekimler: Selim’in vakasında olduğu gibi, bir abonelik kapsamında ilk onaydan sonraki çekimler 3DS gerektirmez. Bu da iptal edilmiş bir aboneliğin sessizce para çekmeye devam etmesini fark etmeyi zorlaştırır.
Yurt Dışı Sitelerde Durum
SMS kodu gelmeden işlem yapılması en sık yurt dışı sitelerde görülür. Bunun nedeni ülkelerin farklı düzenlemelere tabi olmasıdır. Avrupa Birliği’nde PSD2 düzenlemesi güçlü kimlik doğrulamayı (SCA) zorunlu kıldığı için AB satıcıları genellikle 3DS kullanır. Ancak ABD ve bazı diğer bölgelerdeki satıcılar bu zorunluluğa tabi değildir.
Pratik sonuç: Yurt dışı bir siteden alışverişte SMS gelmemesi her zaman sorun değildir; o satıcının 3DS desteklememesi anlamına gelebilir. Ama bu, kart bilgilerinizin 3DS koruması olmadan kullanıldığı anlamına da gelir. Bu yüzden yurt dışı alışverişlerde mümkünse sanal kart kullanın — düşük limiti ve anında silinebilirliği, 3DS eksikliğinin açtığı boşluğu kapatan en güçlü savunmadır.
SMS’siz Çekim Gördünüz: Önce Bunu Belirleyin
Hak aramaya geçmeden önce durumu doğru sınıflandırmak gerekir. İki ihtimal vardır:
İhtimal 1 — Meşru işlem: İşlemi siz yaptınız ama yukarıdaki nedenlerden biri (yurt dışı satıcı, abonelik, saklanmış kart) yüzünden SMS gelmedi. Bu normaldir, yapılacak bir şey yoktur.
İhtimal 2 — Yetkisiz işlem: Siz hiçbir işlem yapmadınız ve SMS’siz bir çekim gördünüz. Bu yetkisiz bir işlemdir; kart bilgileriniz ele geçirilmiş olabilir. Hangi kategoriye girerse girsin, tanımadığınız bir çekim yetkisizdir ve harekete geçmeniz gerekir.
Yetkisiz İşlemde Yasal Haklarınız
İyi haber şu: 3DS olmadan gerçekleşen yetkisiz bir işlemde haklarınız aslında daha güçlüdür. Bunu birkaç kaynak birlikte sağlar:
- Sorumluluk kayması (liability shift): Visa ve Mastercard kurallarına göre, 3DS ile onaylanan işlemlerde sorumluluk kart sahibine doğru kayar. 3DS uygulanmayan işlemlerde ise bu kayma gerçekleşmez; sorumluluk işlemi yeterince doğrulamadan kabul eden satıcı ve onun bankasında kalır.
- 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu: Kart hamilinin bilgi ve rızası dışında gerçekleşen işlemlerde tüketiciyi korur.
- 6502 sayılı Tüketicinin Korunması Hakkında Kanun: Tüketici Hakem Heyetleri ve Tüketici Mahkemeleri’nin uyuşmazlıkları çözmesinin yasal dayanağıdır.
- BDDK düzenlemeleri: Bankaların şikayetleri belirli sürelerde yanıtlama ve haksız uygulamadan kaçınma yükümlülüğünü düzenler.
Özetle: 3DS’siz yetkisiz bir işlemde satıcının elinde sizi işleme bağlayan güçlü bir delil yoktur. Bu da itirazınızı sağlam bir zemine oturtur.
Adım 1: Bankaya Chargeback (Ters İbraz) Başvurusu
Yetkisiz bir 3DS’siz işlem fark ettiğinizde ilk durağınız bankadır.
- Kartı hemen kilitleyin: Mobil uygulamadan veya müşteri hizmetlerinden kartı kilitleyin. Bilgileriniz çalınmış olabilir.
- Yazılı başvuru yapın: Telefon görüşmesi tek başına yeterli değildir. Bankaya yazılı bir chargeback dilekçesi verin ve kaydını alın.
- Doğru ifadeyi kullanın: Dilekçenizde şu cümle güçlü bir argümandır: “Söz konusu işlem 3D Secure doğrulaması yapılmaksızın gerçekleştirilmiştir. İşlemi gerçekleştirmediğimi ve onaylamadığımı beyan ederim. Sorumluluk kayması kart sahibi lehinedir.” İşlem tipine göre Visa Reason Code 10.4 veya Mastercard 4837 (yetkisiz işlem) belirtilebilir.
- Belgeleri ekleyin: İşlemin banka bildirimi/ekran görüntüsü, işlemi yapmadığınıza dair beyanınız ve varsa o tarihte başka yerde olduğunuzu gösteren kanıt.
Çoğu durumda banka, 3DS’siz yetkisiz bir işlemde iade yönünde karar verir. Chargeback başvuru süresi sınırlı olduğu için (genel kural işlemden itibaren 120 gün) vakit kaybetmeyin.
Adım 2: Banka Reddederse — Üst Mercilere Başvuru
Bankanın “hayır”ı son söz değildir. Mersin’de bir öğretmen olan Aysel’in vakası bunun iyi bir örneği: kartından SMS gelmeden 320 TL’lik tanımadığı bir çekim oldu, banka başvurusunu reddetti. Aysel pes etmedi; üst mercilere başvurdu ve birkaç hafta sonra parası iade edildi. Bankadan sonuç alamazsanız sırasıyla şu kapılar açıktır:
- BDDK (Bankacılık Düzenleme ve Denetleme Kurumu): Resmi internet sitesi üzerinden bankanın hatalı veya haksız uygulamasını şikayet edebilirsiniz. BDDK’nın bankalar üzerinde denetim yetkisi vardır ve şikayet ciddi bir baskı oluşturur.
- TBB Bireysel Müşteri Hakem Heyeti: Türkiye Bankalar Birliği’nin hakem heyeti, banka–müşteri uyuşmazlıklarını değerlendirir. Başvuru ücretsizdir ve belirli tutar sınırları dahilinde kararları banka için bağlayıcıdır.
- Tüketici Hakem Heyeti: Belirli tutar sınırı altındaki tüketici uyuşmazlıkları için. İkamet ettiğiniz yerdeki Kaymakamlık veya Ticaret İl Müdürlüğü bünyesinde bulunur, başvuru ücretsizdir ve kararları bağlayıcıdır.
Bu merciler bankanın ret kararını gözden geçirebilir ve iade yönünde karar verebilir.
Adım 3: Tüketici Mahkemesi ve Suç Duyurusu
Hakem heyetinin tutar sınırını aşan ya da heyet kararından memnun kalmadığınız durumlarda Tüketici Mahkemesi’ne başvurabilirsiniz.
- Ne zaman gerekir: Yüksek tutarlı yetkisiz işlemlerde veya hakem heyeti sürecinden sonuç çıkmadığında.
- Süreç: Bir dava dilekçesi ve delil dosyası hazırlanır. 3DS’siz işlemlerde sorumluluk kayması ilkesi davada güçlü bir argümandır. Bu aşamada bir avukattan destek almak faydalı olur.
- Suç duyurusu: Yetkisiz işlem bir dolandırıcılık eylemi içeriyorsa ayrıca Cumhuriyet Savcılığı’na suç duyurusunda bulunabilirsiniz. Ceza süreci, tüketici hukuku sürecinden bağımsız ilerler.
Süre Yönetimi ve Dosya Takibi
Hak aramada zamanlama kritiktir:
- Chargeback süresi: İşlemden itibaren genel kural 120 gündür. Bu süre içinde bankaya başvurmuş olmanız gerekir.
- Hakem heyeti süreleri: Tüketici Hakem Heyeti ve TBB Hakem Heyeti’nin kendi başvuru süreleri vardır; bunlar chargeback süresinden farklı işler.
- Her şeyin kaydını tutun: Hangi tarihte nereye başvurduğunuzu ve aldığınız yanıtları yazılı saklayın. Bir önceki aşamanın kayıtları, üst merciye giderken en güçlü delilinizdir.
3DS’siz İşlem Riskinden Korunma Yöntemleri
- Sanal kart kullanın: 3DS koruması olmayan platformlarda düşük limitli sanal kart en güçlü savunmadır.
- Yurt dışı işlem iznini yönetin: Yurt dışı alışveriş yapmadığınız dönemlerde kartınızın yurt dışı işlem iznini kapatın. 3DS gerektirmeyen yabancı işlemleri böylece tamamen engellersiniz.
- Anlık bildirimleri açık tutun: 3DS olmadan gerçekleşen bir işlemi fark etmenin tek yolu anlık bildirimdir. Her işlem için bildirim alın.
- Saklanmış kart bilgilerini sınırlayın: Kartınızı yalnızca güvendiğiniz büyük platformlara kaydedin; saklanmış kartlar 3DS atlanarak kullanılabilir.
- Aboneliklerinizi düzenli kontrol edin: Tekrarlayan ödemeler 3DS gerektirmediğinden, ekstrenizi düzenli inceleyerek iptal ettiğiniz hizmetlerden gelen çekimleri yakalayın.
Sık Sorulan Sorular
SMS şifresi gelmeden işlem yapıldı, bu normal mi?
Yurt dışı satıcılar, tekrarlayan abonelikler veya saklanmış kart bilgileriyle yapılan işlemlerde 3DS sorulmayabilir — bunlar normaldir. Ancak siz hiçbir işlem yapmadan SMS’siz bir çekim gördüyseniz bu yetkisiz bir işlem olabilir; kartı kilitleyip hemen bankayı arayın.
3DS olmadan yapılan yetkisiz işlemde param geri gelir mi?
Büyük olasılıkla evet, hatta daha kolay. 3DS olmayan işlemlerde sorumluluk kayması kart sahibi lehinedir; satıcı işlemi sizin yaptığınızı ispatlayamaz. Bu, chargeback başvurunuzu 3DS’li işlemlere kıyasla daha güçlü bir zemine oturtur.
Banka başvurumu reddetti, hakkım bitti mi?
Hayır. Bankanın ret kararı son söz değildir. BDDK’ya şikayet, TBB Bireysel Müşteri Hakem Heyeti ve Tüketici Hakem Heyeti’ne başvuru yapabilirsiniz; bu yollar ücretsizdir ve bankanın kararını bozabilir. Yüksek tutarlarda Tüketici Mahkemesi yolu da açıktır.
Hakem heyetine başvuru ücretli mi?
Hayır. Tüketici Hakem Heyeti ve TBB Bireysel Müşteri Hakem Heyeti’ne başvuru ücretsizdir ve kararlar belirli tutar sınırları dahilinde bağlayıcıdır. Sistem, tüketicinin hak aramasını kolaylaştırmak için tasarlanmıştır.
3D Secure’u kendim zorunlu hale getirebilir miyim?
Yurt içi işlemlerde 3DS zaten büyük ölçüde zorunludur. Yurt dışı işlemlerde ise 3DS’in devreye girmesi satıcının desteğine bağlıdır ve kart sahibi olarak bunu zorlayamazsınız. Bu yüzden yurt dışı işlemlerde en etkili koruma sanal kart kullanmaktır.
Aboneliğim 3DS sormadan ücret kesiyor, bu normal mi?
Evet, normaldir. İlk kayıtta yaptığınız 3DS doğrulaması sonraki tekrarlayan çekimleri kapsar. Ancak aboneliği iptal ettiğiniz halde çekim devam ediyorsa bu yetkisizdir; bu durumda chargeback başvurusu yapın.
Yurt dışı bir siteden 3DS’siz çekim oldu, Türkiye’den müdahale edebilir miyim?
Evet. Türk bankanız, Visa/Mastercard kanalları üzerinden yurt dışı satıcılara karşı da chargeback işletebilir. İşlemin yurt dışı olması hakkınızı ortadan kaldırmaz; BDDK ve hakem heyeti yolları da geçerlidir.
Bu içerik yalnızca bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımaz. İşlem ve başvuru süreçleri için kendi bankanız ve ilgili resmi kurumlarla teyit yapmanız önerilir.