Modern Dolandırıcılık Eski Karar Modelini Aştı

UK Cryptoasset Business Council’dan gelen araştırma, Birleşik Krallık bankalarının kripto borsalarına yönlendirilen ödemelerin yaklaşık ödemelerin %40’ı engellediğini veya geciktirdiğini tahmin ediyor. Tek bir borsa, geçen yıl içinde reddedilen işlemlerde yaklaşık £1 milyar gördü.

Bu kısıtlamalar FCA’ye kayıtlı işletmelere bile uygulanıyordu ve çoğu durumda müşteriler sadece kendi paralarını hareket ettirmeye çalışıyordu. 

Ve meşru yüksek riskli ödemelerin sadece Birleşik Krallık’ta bu kadar agresif bir şekilde engellendiğine dair az bir neden var. Sorunun ölçeğinin ölçüldüğü yer Birleşik Krallık.

Çoğu işletmenin uyguladığı savunmalar, rakibin son kural değişikliğinin hızına yakın bir hızda hareket ettiğini varsayar. AI araçları ucuz hale geldiğinde bu gerçek olmaktan çıktı: sahtecilik ekibi geçen hafta gördüğü desen için bir kural yazana kadar, saldırgan zaten onu binlerce kez çalıştırmış ve kuralın kaçıracağı bir versiyona geçmiştir.

Yine de varsayılan yanıt büyük ölçüde aynı kaldı: başka bir kontrol eklemek, başka bir kuralı sıkılaştırmak veya belirsiz görünen her şeyi engellemek. Bu yaklaşım bazı dolandırıcılıkları yakalar. Ancak aynı zamanda ödemeye hazır müşterileri de uzaklaştırır ve gelirleri onlarla birlikte kaybolur.

Saldırganlar Kurallar Yeniden Yazılmadan Daha Hızlı Değişebilir

Kurallar, şüpheli davranış tanınabilir bir şekilde tekrar ettiğinde en iyi şekilde çalışır. Bir desen dolandırıcılık veya iade verilerinde netleştiğinde, benzer işlemleri gelecekte işaretlemek için bu desen etrafında bir kural oluşturulabilir.

AI, bu yanıt döngüsünü ayak uydurmayı çok daha zorlaştırıyor. European Banking Authority uyardı Aralık 2025’te suçluların zaten AI’ı finansal suçun bölümlerini otomatikleştirmek ve tespitten kaçınmak için kullandığını belirtti. Saldırganlar daha az manuel çabayla daha fazla varyasyon test edebilir ve bir yöntem işe yaramaz olunca taktiklerini hemen değiştirebilir.

Yüksek riskli ödeme işletmeleri için bu, satın alma noktasında bir sorun haline gelir. Aynı sinyal hem sahte hem de meşru işlemlerde ortaya çıkabilir ve tek bir kural hangi türde olduğunu belirleyemez.Bir benzetmeye sık sık geri dönüyorum: karşı taraf lazer silahlı robotlara geçtikten sonra daha hızlı atlar ve daha kalın zırhlar istemek, yalnızca eski bir savaş için inşa edilmiş bir savunmayı güçlendirir.

Dolandırıcılık Ölçülür, Reddedilen Gelir Ölçülmez

Bir kural sahte ve meşru işlemleri ayırt edemediğinde, reddetmek genellikle işletme için daha güvenli bir seçenektir.

Yanlış bir işlemi onaylamak, kaybın iade olarak ortaya çıkmasına neden olabilir. İyi bir müşteriyi reddetmek ise, işlem gerçekleşmediği için kaybı çok daha zor görülür.

Reddetme baskısı, Visa’nın Acquirer Monitoring Program (VAMP) için en son kurallar altında sadece arttı. 1 Nisan 2026’dan beri, rapor edilen dolandırıcılık ve uzlaşmış işlemlere karşı itirazlar için aşırı satıcı eşiği 2.2%’den 1.5%’e düştü rapor edilen dolandırıcılık ve uzlaşmış işlemlere karşı itirazlar için.

Problem, VAMP’ın sadece uzlaşanları görmesidir. Onaylanan bir sahte işlem daha sonra satıcının oranını olumsuz etkileyebilir, oysa ödeme sırasında reddedilen meşru bir müşteri tamamen ölçümden kaybolur. 

Bu, nihayetinde dolandırıcılık ekiplerine daha temkinli olmaları için güçlü bir neden verir. Ne kadar katı olurlarsa, VAMP’ın ölçtüğü uzlaşan hacimden şüpheli işlemleri dışarıda tutmak o kadar kolaylaşır.

VAMP’ın paradoksu, satıcıların kararın her iki tarafında da maliyeti hissetmesidir. Kaçırılan dolandırıcılık iade riski yaratabilir, yanlış reddetmeler ise meşru geliri işine ulaşmadan keser.

Düzenleyiciler Kapsamlı Risk Kontrollerinden Uzaklaşıyor

Yıllardır, daha fazla sürtünme finansal suçlara karşı en güvenli yanıt olarak görülmüştür. Ancak küresel standart belirleyici Financial Action Task Force (FATF), firmalara ve denetleyicilere yönettikleri riski daha kesin belirlemelerini söylüyor.

Şubat 2025’te, FATF değiştirdi risk temelli standartlarında “commensurate” ifadesini “proportionate” ile değiştirdi. FATF’nin kendi tanımına göre, orantılı bir önlem belirlenen risk seviyesine karşılık gelmeli ve onu etkili bir şekilde azaltmalıdır. Düşük riskli vakalar da basitleştirilmiş önlemlerden yararlanabilmelidir.

Güncellenmiş rehberi itiyor aynı fikri daha da ileri taşıyarak, müşterileri kesen bir risk azaltma yaklaşımına karşı uyarıyor; riskleri önlerinde değerlendirmek yerine.

Başka bir kontrol eklenmeden önce bu ayrımı yapmak, çoğu sistemin zorlandığı noktadır. Bunu yapmanın iyi bir yolu pasif niyet puanlamasıdır; çünkü firmalara başka bir kontrolün gerçekten gerekli olup olmadığına karar vermeden önce daha fazla bağlam sağlar.

Davranışsal ve bağlamsal sinyaller arka planda değerlendirilir, böylece düşük riskli aktiviteler daha az sürtünmeyle geçebilir ve gerçekten şüpheli ödemeler daha yakından incelenir.

Dolandırıcılık Kararları Bağlam İster, Daha Fazla Doğrulama Değil

Risk belirsiz olduğunda geniş kısıtlamalar bir geri dönüşüm ise, asıl sorun bir işletmenin daha kesin bir karar verecek kadar kendine güven kazanmasıdır.

KYC, uyumluluk için yerinde kalır ve müşterinin kim olduğunu doğrulamak dolandırıcılık sorununun bir kısmını çözer. Geri kalan kısmı, kimlik kontrolünün asla görmediği bağlama bağlıdır. Doğrulanmış bir müşterinin alışılmadık bir ödeme yapması, yalnızca o müşteri için alışılmadık ise bir sorun teşkil eder ve kimlik kontrolünün onların normalinin neye benzediğini bilme yolu yoktur.

Faydalı bilgi, bu sinyallerin gerçek zamanlı olarak nasıl bir araya geldiğinden gelir.

Sadece tutara bakarak alışılmadık görünen bir ödeme, müşterinin geçmişi, cihazı, zamanlaması ve eylem sırasını dikkate aldığınızda tamamen mantıklı olabilir. Diğeri ise her ölçütte sıradan görünebilir ve yalnızca bu parçalar bir arada değerlendirildiğinde şüpheli hâle gelebilir.

Davranışsal makine öğrenimi, bu değerlendirmeyi işlemin gerçekleştiği anda yapar ve bu da satıcıya karar için çok daha net bir temel sağlar.

Bu aynı zamanda yapay zekanın bir kural motoruna bağlandığında yetersiz kaldığı yerdir. Sabit eşik değerler hâlâ nihai kararı veriyorsa, yapay zeka sadece aynı eski karar sürecine daha fazla bilgi eklemektedir. Saldırganlar davranışlarını sürekli değiştirebilirken, altındaki kurallar hâlâ işletmenin zaten bildiği kalıplara dayanır.

Daha Fazla Red Etmek Temel Sorunu Çözmez

Agresif şekilde reddeden sistemler, sahte reddetmeler dolandırıcılık raporlarında iz bırakmadığı için kağıt üzerinde daha güvenli görünür. Bu kör nokta, ödeme ekonomisini çok uzun süredir şekillendirmektedir.

Satıcılar, risk motorlarını toplam ekonomik getiriyi göz önünde bulundurarak, onaylanan marjı dolandırıcılık kayıpları ve reddedilen müşterinin yaşam boyu değeriyle dengeleyerek değerlendirmelidir.

Dahası, ödeme platformları satıcıların mevcut durumunu sorgulamalıdır. Sağlayıcılar, onay kararlarını etkilememeli ve satıcıların geri ödeme riskinin %100’ünü üstlenmelerine izin vermemelidir. Gerçek stratejik ortaklar, karar süreçlerini gerçek bilanço teminatı ile destekler, tam finansal sorumluluk transferini üstlenir ve onay oranlarını garanti eder.