3D Secure, internet üzerinden yapılan kart ödemelerine, kart numarasının ötesinde bir kimlik doğrulama adımı ekleyen bir protokoldür. Adındaki ‘üç alan’, işlemin doğrulanmasına katılan üç tarafı anlatır: kartı çıkaran banka, ödemeyi alan iş yerinin bankası ve ikisini bağlayan altyapı. Amaç, kart bilgilerini ele geçirmiş birinin, kart sahibinin de onayı olmadan işlemi tamamlayamamasıdır.

3D Secure, ‘kart bilgisini bilmek’ ile ‘kart sahibi olmak’ arasındaki farkı ödeme anında sınayan bir doğrulama katmanıdır.

İşlem Anında Ne Olur?

Kart bilgileri girildikten sonra iş yeri, işlemi kartı çıkaran bankaya bir doğrulama isteğiyle yönlendirir. Banka, riski değerlendirir ve gerekirse kart sahibinden ek onay ister; bu onay bugün çoğunlukla telefona gelen tek kullanımlık bir kod ya da banka uygulamasında bir biyometrik doğrulamadır. Onay geçtiğinde ödeme tamamlanır, geçmezse işlem reddedilir. Bu akış, Çok faktörlü kimlik doğrulama mantığının ödeme dünyasına uyarlanmış halidir: bilinen bir bilgiye, sahip olunan bir cihaz eklenir.

Sürtünmesiz Akış ve Risk Skorlaması

Protokolün güncel sürümleri her işlemi kesintiye uğratmaz. Banka, cihaz, konum, harcama geçmişi gibi sinyalleri değerlendirip düşük riskli işlemleri ek onay istemeden geçirir; yalnızca şüpheli görünen işlemleri doğrulama adımına düşürür. Bu arka plandaki değerlendirme, İşlem izleme ve fraud skorlama motorlarıyla beslenir ve müşteri deneyimini bozmadan riskli işlemleri süzer.

Dolandırıcılığa Karşı Yeri

3D Secure, çalınmış kart verisiyle yapılan yetkisiz işlemlerin önemli bir kısmını daha ödeme anında durdurur; kart numarası sızmış olsa bile saldırgan, kart sahibinin telefonundaki koda erişemez. Bu yüzden bir Bankacılıkta dolandırıcılık tespiti mimarisinin ilk savunma hatlarından biridir. Protokol ayrıca sorumluluğu kaydırır: doğrulanmış bir işlemde itiraz riski çoğunlukla iş yerinden bankaya geçer.

Buna karşın 3D Secure tek başına yeterli değildir; saldırganlar kart sahibini kandırıp doğrulama kodunu ele geçirmeye çalışan sosyal mühendislik yöntemlerine yönelir. Bu nedenle protokol, işlem izleme ve müşteri bilinçlendirmesiyle birlikte katmanlı bir bütünün parçası olarak çalışır.

Ödeme akışının güvenliği yalnızca protokolde değil, onu barındıran altyapının doğru kurgulanmasındadır; entegrasyon noktaları, anahtar yönetimi ve trafik ayrımı zayıfsa protokolün kazandırdığı güven aşınır. Bu bütünlüğü uçtan uca değerlendirmek, Altyapı ve mimari gözden geçirme hizmetimiz kapsamında ele aldığımız konulardandır.