Archive for the ‘Kredi Kartları’ Category

PCI DSS Kart No saklama

Ocak 30, 2019

işletmenize ( third party processing center, banka, ödeme kuruluşu, elektronik para kuruluşu, vs…) PCI DSS sertifikası alacaksanız kart numarasını sisteminizde nasıl saklayacağınız büyük bir dert.

Eğer sisteminizi sıfırdan kuruyorsanız, aşağıdaki yöntem çok temiz bir şekilde çalışıyor.

*Kart numarasını açık-clear bir şekilde hiçbir tabloda tutmayın.

*Kart tablosunda kart no nun HSM de encrypt halini ve hash’li halini tutun

*Diğer tüm tablolarda( provizyon, işyeri tabloları, vs…) her bir kart numarasına atadığınız bir ID değerini kullanın.

*Kart numarasının clear haline erişilmesi zorunlu ise ( takasa çıkılırken, vs…) HSM e gidip, kart numarasının clear halini alın.

*Kart numaraları için sürekli HSM IO’su yapmamak için kart için bir hash üretin, takas yüklerken varlık kontrolü gibi olayları HSM siz halledin.

Kart numaları konusunda, %100 PCI DSS Compliance -Uyumlu olun.

“İlk Online İşlem” ne demek?

Ocak 29, 2019

Bankanızın internet/mobil şubesi yada Telefon bankacılığı vasıtasıyla bir PIN değiştirme işlemi yaptığınızda, genelde “Yeni şifreniz, katınızla yapacağınız ilk online işlemden yada ilk işlemden sonra kartınıza yüklenecektir” şeklinde bir mesaj verilir.

Burada online işlem ile;

Çipli kartın, çip okuma kapasiteli bir pos ya da atm ile yapacağı ilk temaslı işlem kastedilmektedir.

Bu işlemden sonra kartın sahibi-issuer kartın çipine bir emv-script göndererek yeni pin bilgisini karta iletmektedir.

E-Ticaret siteleri kart bilgilerinizi saklıyor olabilir

Aralık 1, 2016

Bu aralar büyük bir e-ticaret sitesinden çok sayıda müşterinin kart bilgilerinin çalındığı yönünde haberler duymaya başladık.

Çok doğal. Size garip gelse de çok doğal. Sebebi de çok basit.

Bir web sitesinden bir işlem yaparken kartla yaptığınız ödemelerde girmiş olduğunuz kart bilgilerinin ilgili işyeri tarafından saklanmadığının hiçbir “garantisi” yok.

Piyasada çok bilindik devasa e-ticaret sitelerinin bile kart bilgisi sakladığını duyuyoruz.

Kart sahipleri bu konuda en az bir kere dolandırılmadıkça / zarar uğratılmadıkça “Sanal Kart” ya da “BKM Epxress” gibi çözümleri duymuyorlar bile.

Vaka Analizi “Ön provizyon kapamada ekstra limit blokesi”

Mart 23, 2016

https://emreerdem.me/2012/07/08/islemin-provizyonda-beklemesi-ne-demek-acik-provizyon-kavrami/
Bu yazı altına çokça yorum düşülmekte ve çok farklı sorunlar gündeme gelmekte.
Bu yorumlardan birisi son derece orjinal ve tek başına bir yazı olmayı hakediyor.
İletilen yorum;
“Selamlar
12.03.2016 tarihinde Almanyadaki Canyon firmasının internet sitesinden 2.215€’luk bir bisiklet satın aldım.Ardından Denizbank görevlisi arayarak Canyon firması ile yapılan 2.412€’luk işlemin benim tarafımdan yapılıp yapılmadığını sordu.Kendisine işlemin tarafımdan yapıldığını fakat meblağın 196€ fazla olduğunu belirttim.Bu durumu ilgili firma ile konuşmamı söyledi görevli.Firmayla irtibata geçip bu farkın nedenini sorduğumda bunun olağan bir uygulamaları olduğunu,bu paranın provizyonda rezerve olarak tutulduğunu ve bisiklet tarafıma ulaşınca bu 2.412€’nun içerisinden 2.215€ olan bisikletin parasını alıp kalan 196€’nun provizyondan düşeceğini ifade ettiler. 16.03.2016 tarihinde bisiklet tarafıma ulaştı ve kartımdan 2.215€ “daha” çekildi ve bu çekilen para 2 saat içinde dönem içi işlemlere düştü.Bu durum kartımın limitinin dolmasına neden oldu.Dönem içindeki 2.215€+provizyondaki 2.412€ kartımın limitini bloke etti.Denizbank’ı aradığımda provizyondaki tutarı firma iptal etmedikçe kendileri tarafından yapabilecekleri hiçbirşey olmadığını söylüyorlar.Firmayı aradığımda ise bana reserve edilen 2.412€’nun içerisinden 2.215€’yu tahsil ettiklerini ve kalan 196€’yu provizyondan düştüklerini gösteren dekontları yolladılar.Kendileri tarafından provizyonda hiç para bırakmadıklarını ısrarla belirtiyorlar.Denizbank ise öyle firmanın belirttiği gibi bir durum olmadığını, çekilen iki ayrı meblağ olduğunu ve bu meblağlardan 2.215€ olanın dönemiçi işlemlere yansıtıldığını söylüyorlar.Provizyon numaralarını da iletiyorlar.Açıkcası bu Canyon firması öyle sahtekar bir firma değil,pek çok ülkeye bisiklet satan uluslararası bir firma.Adamlar ısrarla provizyonda para bırakmadıklarını söylüyorlar.Sizden tahsilatı yaptık diyorlar.Sanırım sorun firmanın kendi bankasıyla firma arasında.Yani o Alman bankası işlemi benim kartımdan Denizbank’ın söylediği lekilde yapıp firmaya da firmanın zannettiği şekilde yapmış gibi bir bilgi vermiş olabilir.
Sorum şu;
Provizyondaki şu 2.412€’ya hiçbir işlem yapılmazsa provizyondan iptal olur mu?
Denizbank çağrı merkezi görevlileri bu konuda bir felaket.Kimi hesap kesim tarihinde borç olarak yansır diyor,kimi iptal edilene kadar provizyonda kalır diyor kimi ise 14 günde otomatik düşer diyor.Lütfen yardım.

Buna cevabım;

Selamlar.
Yaşadığıniz durum, ön provizyon ve provizyon kapama işlemi gibi geldi bana.
Klasik bir kur marji uygulamasi olamaz, benim bildigim ne kral fark %1.5, sizin durumda %8 e yakın.
Ön provizyon işlemlerinde önden alinan provizyon tutarindan sonra ikinci bir provizyon daha alinir. Fakat bu genelde sizin örneginizdeki gibi yeniden limite bloke koyan türden olmaz.
Burada bir hata olduğu kesin.
hatanin sebebini bulmak ise biraz güç. Hata ihtimali düşükte olsa bankada da olabilir,
ilgili işyerinde de. işyerinin büyük olmasi sizi yanıltmasın.
Ülkemizde hizmet veren büyük firmalarda bu tür sorunlar daha az yaşanır.
Böyle durumun sonucunda genelde limit mağduriyeti oluşur.
Bu tür işlemler yapildiklari yere göre( yury dışı, avrupa, amerika) farklı sürelerde provizyonda beklerler.
Bu sürenin sonunda da limiti kart iade ederler.

İgili bankaya limit mağduriyeti yaşadığınızı ifade ederseniz, insan incelemesi ile ( bu durum otomatik yakalanamaz) limit mağduriyetinizi giderebilirler.
Fakat bu durumu çağrı merkezlerine izah etmek, maalesef, kolay olmayacaktır.
Başka bir bankadan daha kart ücreti olmayan bir karti cebinizde bulundurmaniz farkli bir çözüm olabilir.

provizyondaki işlemler ne demek

Kasım 19, 2015

google dan sık sık gelen bir soru.
Kart sahibi olarak bir pos cihazından ya da internetten bir işlem yaptığınızda bu işlemler hemen dönemiçi hareketlerinize yansımazlar.
İşlem yapıldığı andan itibaren işlemin dönemiçine girmesine kadar geçen sürede bu işlemlere “provizyondaki işlemler” denmektedir.

Bazı durumlarda bu işlemler dönemiçi hareketlerinize hiç yansımazlar.

Daha detaylı bilgi için aşağıdaki yazıyı ve özellikle yorumları inceleyebilirsiniz.
Açık Provizyon Kavramı

Vaka Analizi “Kartınızda 13 Milyon TL puan var, işleminizi puan kullanarak yapmak ister misiniz?”

Eylül 21, 2015

Bir kartta bu kadar puan olur mu? Ya da kartta puan olur mu? Puan kullanımında ilgili bakiye nereden düşer? vs sorular sorulabilir…

Sahada yeni basılmış bir kartta bizzat gördüğüm bir sıkıntı. Kart üzerinde gerçekten 13 milyon tl bonus var diyordu.
Meselenin doğrusu şudur;
Bazı kartlar ( örnek olarak bonus) kendi üzerlerinde puan bilgisi tutarlar.
Bunun sebebi; Kartı takar takmaz “Puan Bakiyeniz XXX TL” mesajını vermek ve bu puanı OFFLINE olarak kullandırtmak için.
Fakat şu an puanı OFFLINE olarak kullandırtan banka ya yok ya da kullandırtanlar da bundan vazgeçmek üzere.

Kartın üzerinde ne kadar puan olduğu bilgisi önemli değil, önemli olan kart sahibinin banka nezdinde kaç puanı olduğu.
Bu örnekte, %100 ( dikkat %99 değil 🙂 ), kartın bankasındaki puanı bu seviyede değildir, çünki slip te “Kullanılabilir Puanınız 0.07 TL” yazıyordu.

Offline Satış Limitleri

Şubat 21, 2015

Merak edilen bir konu.

Soru: Pos cihazımdan 35 TL nin üzerinde offline işlem geçirebilir miyim? Mesela 1000$

Cevap: Evet, geçirilebilir. Ama kart ve pos offline limitlerinin artırılması gerekir.

Nasıl: Bankanız ile irtibata geçeceksiniz ve posunuzun offline işlem limitlerini istediğiniz değere çekme talebi yapacaksınız. Bu talep uygun görüle de bilir, görülmeye de bilir. Bankanızın fraud ve risk yönetim mekanizmaları bu talebinizi değerlendirecektir.

Pos unuza offline işlem limiti aldıktan sonra, mesela 1000$, bu kapasitede offline işlem yapabilen bir kart ta bulmanız lazım.

Kartların offline işlem limitleri varsayılan değer olarak ülkemizde de 35 TL dir. Bu değer müşteri bazlı özelleştirilebilir. Mesela ben bankasya DIT kartımın offline işlem limitini artırabilmiştim.

Burada önemli olabilecek bir ayrıntı; Kartınız ile ard arda yapabileceğiniz offline işlemlerde de bir sınır olabilir. Bu kartın kişiselleştirilmesi aşamasında belirtilebilen değerlerden biridir. Uygulanışı şöyle olabilir; Kartınızla ard arda 5 kez offline işlem yaptığınızda, kartınızın offline limiti dolmasa da bir sonraki işleminiz offline olarak gerçekleşmeyebilir ve kart mutlaka bankanız ulaşmak isteyebilir. Böyle bir örnekte kart bankanızdan bir kere Online onay aldıktan sonra, üzerindeki offlien ilem sayaçlarını sıfırlayacaktır.

Önemli Not: Offline işlemler fraud konularına açık bir işlem türüdür. Kontrol mekanizmalarına hızlıca takılırlar.

HSM Utility Application – CryptoTool

Şubat 7, 2015

Arge amaçlı geliştirdiğim bir uygulamadan bahsedeceğim.

Uygulama adına CryptoTool dedim.

HSM ler anahtar güvenliğinde rakipsiz cihazlar. Ödeme sistemleri dünyasında güvenliğin bel kemikleri. HSM lerde key üretmek prosedürleri olan bir süreç, üretilen key in ilgili yerlere ulaştırılması bir başka prosedürel bir süreç. Lakin bunlar production için mevzu bahis.
HSM ler Test ortamlarında kısmen daha erişilebilirler. Kısmen diyorum, çünki HSM e Console’dan bağlanmadıktan sonra HSM ile birşeyler yapmak biraz zahmetli.

Bu uygulamanın kilit özelliği “Yeni HSM Komutları” öğrenebilmesi ve HSM de bu komutları çalıştırabilmesi.

Uygulama aşağıdaki 6 komut ile beraber kullanılabilir haldedir.

Kcv Checker, Random Pin Generation, Generate a Card Verification Code/Value ( CVV ), Decrypt an Encrypted PIN, Encrypt a Clear PIN, Generate a Key

Ayar dosyasını bir şekilde bozarsanız yeni ayar dosyasını buradan indirebilirsiniz.Settings.xml(Dikkat dosya uzantısındaki “key” ifadesini kaldırınız.)
Uygulamanın çalışabilmesi için makinanızda .netFramework 4.5 kurulu olmalıdır.
Uygulamanın kaynak kodlarını da paylaşabilirim.
Uygulamayı buradan indirilebilirsiniz. CryptoTool_V1.01.rar(Dikkat dosya uzantısındaki “key” ifadesini kaldırınız.)

Not: Şu an için yalnızca bir Thales Hsm ile denenmiştir. SafeNet hazırlanma aşamasındadır.

 

Uygulamadan bazı ekran görüntüleri aşağıdadır.

Uygulamaya HSM Tanıtma

Hsm Definition

Yeni HSM Komutu Tanımlama

HowExecuteCommand

HSM Komutu Çalıştırma

HsmCommandLearning

Versiyon Geçmişi

v1.00 07-02-2015 First published

v1.01 09-02-2015 A bug is fixed

 

Kartım kayboldu, kartımla işlem yapılmış, ne yapabilirim?

Ağustos 21, 2014

Google dan gelen sorulardan biri.

Kart kayıp/çalıntı durumlarında bankanın ivedi olarak haberdar edilmesi hayati önem taşır.

Sizin bildiriminizi yaptığınız andan itibaren kartınızla gerçekleşem neredeyse tüm işlemlerden bankanız sorumludur.

Fakat kayıp/çalıntı durumunun hemen tespit edilemediği durumlarda neler olabilir? Hatta hemen kartla işlem yapılmış ise ne yapabilirim?

Kartınız ile şifreli ( Pinli  ) işlem(ler) yapılmış ise itirazını genelde aleyhinize sonuçlanacaktır. Bu nedenle kart pin’lerini kolay tahmin edilebilen doğum günü-önemli tarihler gibi bilgilerden oluşturmayınız. Kartlar 3 defa hatalı pin’den sonra şifrelerini bloke ederler, bunun anlamı, kartın pin’inin açılması için kart bankasının devreye girmesi gerekliliğidir.

Kartınız ile şifresiz ( manyetik şeritten, fallback, moto vs..)  işlemler yapılmış ise direkt bankanıza itiraz ediniz. Büyük ihtimal lehinize sonuçlanır.

Burada kötü durumlardan biri;

Bazı bankalarda yapılan işlemlerden doğan borçları geçici de olsa ödemek zorunda kalabilirsiniz. Genelde bu tutarlar sonradan hesaba iade edilirler.

 

Sanal Kart

Temmuz 16, 2014

Sanal kart uzunca bir süredir hayatımızda olan bir kart çeşidi.

İşlevsellik olarak fiziksel basılı bir karttan farkı yoktur.

Kilit özellikleri;

-Fiziksel olarak basılmayan bir karttır.

-Limit yönetimi fiziksel kartlardan farklıdır. Bu kartların genelde sürekli bir limiti yoktur. İşlem anında açılır ya da belirli parametrelerle belirli zamanlar için limit tahsis edilir.

-Banka internet şubelerinde kartın güvenlik kodu bilgisine genelde ulaşılamaz. Hatta bu bilgi genelde bankalarda da saklanmaz. Basım dosyasında gönderilir ve başka bir yere kaydedilmez. Bu kartlar fiziksel olarak basılmadıkları için güvenlik kodu bilgisine de banka internet şubeleri üzerinden ulaşılabilir.

-Yerine otorizasyon ( STIP ) lar için offline limitleri SIFIR dır.