Müşteri Hesabı Ele Geçirme (ATO) Saldırılarını Önlemek

E-ticarette en sinsi tehditlerden biri, sisteminizi hiç hacklemeyen bir saldırıdır: müşteri hesabının ele geçirilmesi. Buna ATO (Account Takeover) denir. Saldırgan kodunuzu kırmaz; müşterinin kullanıcı adı ve parolasını başka bir yerden ele geçirip doğrudan onun hesabına girer. İçeride kayıtlı kart, teslimat adresi, sadakat puanı ve sipariş geçmişi vardır. Hepsi hazır ve gerçek bir müşteriye ait göründüğü için de fark edilmesi zordur.

ATO hem müşteriyi hem de markayı vurur: müşteri parasını ve güvenini kaybeder, siz ise itibarınızı ve chargeback maliyetlerini üstlenirsiniz. Bu yazıda ATO'nun nasıl gerçekleştiğini, belirtilerini ve müşteriyi yormadan hesapları nasıl koruyacağınızı ele alacağız.

ATO Nasıl Gerçekleşir?

Saldırganların çoğu parolayı sizden çalmaz; başka sitelerdeki veri sızıntılarından elde ederler. İnsanlar aynı parolayı birçok yerde kullandığı için, bir sitede sızan parola başka birçok sitede çalışır. Saldırgan bu sızmış kullanıcı adı-parola çiftlerini otomatik araçlarla sizin giriş sayfanızda dener.

Başlıca ATO Yöntemleri

• Credential stuffing: Başka sitelerden sızmış parolaların otomatik olarak sizin sitenizde denenmesi.
• Kaba kuvvet: Belirli bir hesaba çok sayıda parola tahmini yapılması.
• Oltalama (phishing): Müşterinin sahte bir giriş sayfasına yönlendirilip parolasını girmesinin sağlanması.
• Oturum çalma: Güvensiz çerezler veya XSS yoluyla müşterinin oturumunun ele geçirilmesi.

Müşterinizin parolası büyük olasılıkla zaten bir yerde sızmıştır. Soru "sızacak mı?" değil, "sızan parola sizin sitenizde işe yarayacak mı?"dır.

ATO'nun Belirtileri

Bir saldırıyı erken fark etmek, hasarı sınırlamanın anahtarıdır. Sistemleriniz şu desenleri izlemeli:

1. Ani başarısız giriş dalgası: Çok sayıda hesapta kısa sürede artan başarısız denemeler, credential stuffing işaretidir.
2. Alışılmadık konum/cihaz: Bir hesaba her zamankinden farklı ülke, cihaz veya tarayıcıdan giriş.
3. Hesap ayarı değişiklikleri: Giriş sonrası hemen e-posta, parola veya teslimat adresinin değiştirilmesi klasik ATO desenidir.
4. Kayıtlı kartla ani sipariş: Uzun süredir pasif bir hesaptan aniden yüksek tutarlı sipariş.

Özellikle "giriş, ardından e-posta ve adres değişikliği, ardından sipariş" sıralaması güçlü bir alarmdır; saldırgan hesabı ele geçirip gerçek sahibinin uyarı almasını engellemeye çalışır.

Savunma Katmanları

ATO'ya karşı tek bir çözüm yoktur; birkaç katman birlikte çalışmalıdır.

1. Giriş Güvenliğini Sertleştirin

• Oran sınırlama: Aynı IP veya hesap için başarısız giriş denemelerini sınırlayın.
• CAPTCHA (akıllıca): Şüpheli giriş desenlerinde devreye giren, ama her müşteriyi yormayan bir doğrulama.
• Sızmış parola kontrolü: Kayıt ve parola değişiminde bilinen sızıntı listelerindeki parolaları reddedin.

2. İki Faktörlü Doğrulama Sunun

2FA, ATO'ya karşı en güçlü tek savunmadır. Parola çalınsa bile saldırganın ikinci faktöre (telefon kodu, uygulama onayı) erişimi yoktur. Müşteriyi yormamak için 2FA'yı her girişte değil, riskli durumlarda (yeni cihaz, hassas işlem) devreye sokabilirsiniz.

3. Anomali Tespiti Kurun

Her müşterinin normal bir davranış deseni vardır: hangi cihazdan, hangi şehirden, hangi saatlerde girer. Bu desenden sapma tespit edildiğinde ek doğrulama isteyebilir veya işlemi bekletebilirsiniz.

Amaç her müşteriye engel koymak değil, olağandışı olanı yakalamaktır. Güvenli müşteri hiçbir zorluk hissetmemeli; şüpheli giriş ise ek bir kapıyla karşılaşmalıdır.

Hassas İşlemleri Koruma Altına Almak

Saldırgan hesaba girse bile, en değerli işlemleri ek bir kilitle korumak hasarı önler.

• Adres/e-posta değişimi: Bu değişiklikler için parola veya 2FA'yı yeniden isteyin ve eski e-posta adresine bildirim gönderin.
• Kayıtlı kartla ödeme: Yeni bir adrese, yeni bir cihazdan yapılan işlemde ek doğrulama isteyin.
• Bildirim gönderin: Her önemli değişiklikte müşteriye anında e-posta/SMS ile haber verin; gerçek sahibi anında fark eder.

Özellikle e-posta değişikliğinde eski adrese "hesabınızın e-postası değiştirildi, siz yapmadıysanız hemen tıklayın" uyarısı göndermek, ATO'yu daha başlamadan durdurabilir.

Müşteriyi Sürece Dahil Etmek

Güvenlik yalnızca sizin işiniz değildir; müşteriyi de bilinçlendirmek gerekir. Ancak bunu suçlayıcı değil, yardımcı bir dille yapın. Kayıt sırasında güçlü parola teşviki, farklı sitede aynı parolayı kullanmama uyarısı ve 2FA'nın kolay kurulumu, müşterinin kendini korumasına yardım eder.

KVKK açısından, giriş kayıtları ve cihaz bilgileri gibi güvenlik verilerini işlerken bunun meşru menfaat kapsamında ve şeffaf biçimde yapıldığından emin olun; verileri yalnızca güvenlik amacıyla ve gereken süre kadar saklayın.

Kontrol Listesi: Hesaplarınız Ne Kadar Güvenli?

• Başarısız giriş denemeleri oran sınırlamasıyla kısıtlanıyor mu?
• Müşterilere 2FA seçeneği sunuluyor mu?
• Kayıtta sızmış parolalar reddediliyor mu?
• E-posta/adres değişiminde ek doğrulama ve bildirim var mı?
• Yeni cihaz/konumdan girişler tespit edilip işaretleniyor mu?
• Şüpheli desenlerde CAPTCHA veya ek doğrulama devreye giriyor mu?

Sık Sorulan Sorular

2FA müşterileri kaçırır mı? Zorunlu ve kaba bir 2FA sürtünme yaratabilir; ama isteğe bağlı ve risk temelli sunulan 2FA çoğu müşteriyi rahatsız etmez, güven ise artar.

Küçük mağazam credential stuffing hedefi olur mu? Evet. Bu saldırılar otomatiktir ve mağaza büyüklüğüne bakmaz; sızmış parola listeleri her giriş sayfasında denenir.

Hesap ele geçirme, sisteminiz kusursuz olsa bile müşteriniz üzerinden gelen bir tehdittir. Katmanlı savunma, akıllı 2FA ve anomali tespiti ile müşterilerinizi yormadan hesaplarını koruyabilirsiniz. Hesap güvenliği mimarinizi güçlendirmek için projenizi konuşalım.