E-Ticaret Siber Güvenlik & Ödeme Denetimi

Bu paket, müşteri kart bilgisi ve kişisel verisini işleyen her e-ticaret operasyonu için hayati önem taşır. Aşağıdaki senaryolardan en az biri sizin için geçerliyse, güvenlik denetimini artık ertelememelisiniz:

• Kendi ödeme sayfasını barındıran mağazalar: Ödeme formu sizin sunucunuzda çalışıyorsa kart verisi sizden geçiyor demektir. Bu durum PCI-DSS kapsamınızı doğrudan genişletir ve en yüksek risk profilinizi oluşturur.
• Üçüncü taraf ödeme sağlayıcı kullanan satıcılar: iyzico veya PayTR gibi sağlayıcılar ödeme altyapısını güvence altına alsa da sizin site kodunuz, API anahtarı yönetiminiz ve müşteri verisi işleme pratiğiniz bu güvencenin dışında kalır.
• Çarjback oranı yükselen işletmeler: Anormal çarjback artışı çoğu zaman kart verisi ihlalinin öncü göstergesidir. Banka sizi uyarmadan önce kaynak tespiti yapılması kritik öneme sahiptir.
• Yeni pazaryeri entegrasyonu kuran satıcılar: Trendyol, N11, Amazon gibi platformlarla API entegrasyonu sırasında yanlış yapılandırılan webhook veya API anahtarı yönetimi ciddi açıklar yaratabilir.
• Site hızı veya davranış değişikliği fark eden satıcılar: Beklenmedik traifk artışı, yavaşlama veya alışılmadık form davranışı formjacking (kart hırsızı script enjeksiyonu) saldırısının belirtisi olabilir.
• Güvenlik sertifikasyonu veya sigorta gerektiren işletmeler: Bazı banka POS anlaşmaları ve siber sigorta poliçeleri, güvenlik denetim belgesi talep etmektedir. Bu paket raporlama altyapısını sağlar.

Siber güvenlik, yalnızca büyük işletmelerin sorunu değildir. Türkiye'deki e-ticaret saldırılarının büyük çoğunluğu, kolay hedef olarak görülen orta ve küçük ölçekli mağazalara yönelmektedir.

E-ticaret siteleri, internet üzerindeki en sık saldırıya uğrayan platform kategorisini oluşturmaktadır. Bu paketi zorunlu kılan somut riskler şunlardır:

Kart Verisi Sızıntısı & Formjacking

Saldırganlar, ödeme formunuza küçük bir JavaScript parçası enjekte ederek müşteri kart bilgilerini gerçek zamanlı olarak çalmaktadır. Bu saldırı türü, ödeme sağlayıcınızın güvenlik katmanını tamamen bypass eder çünkü veriyi form doldurulurken, sunucuya gitmeden önce ele geçirir. Site sahibi çoğu zaman aylarca farkında olmaz.

SQL Enjeksiyonu & Veritabanı Sızması

Giriş alanları, arama kutuları ve filtreler üzerinden gerçekleştirilen SQL enjeksiyonu saldırıları tüm müşteri veritabanına erişim sağlayabilir. Ad, adres, sipariş geçmişi ve şifrelenmiş parola verilerinin toplu çalınması hem KVKK ihlali hem itibar felaketi anlamına gelir.

API Güvenliği Açıkları

Pazaryeri entegrasyonları, kargo API'leri ve ödeme gateway bağlantıları için oluşturulan API anahtarlarının kod deposuna veya sunucu loglarına sızması sık karşılaşılan bir durumdur. Ele geçirilen bir API anahtarı sahte sipariş oluşturma, stok manipülasyonu veya veri dışa aktarımına kapı açar.

Yetkilendirme Hataları & Sipariş Manipülasyonu

Bir müşterinin başka müşterilerin sipariş detaylarına erişebilmesi, fiyat parametrelerini manipüle ederek indirimli satın alabilmesi veya admin paneline erişim kazanabilmesi; zayıf yetkilendirme kontrolünün tipik sonuçlarıdır.

Sunucu & Altyapı Zafiyetleri

Güncel olmayan PHP sürümleri, yanlış yapılandırılmış dosya izinleri, açık directory listing ve zayıf SSL yapılandırması gibi altyapı hataları, otomatik tarayıcıların öncelikli hedefi haline gelir. Bu paket sunucu katmanını da kapsar.

1. Kapsam Belirleme & Keşif Toplantısı (1. Hafta): Site mimarisi, kullanılan teknoloji yığını, entegrasyon noktaları ve daha önce yaşanan güvenlik olayları belgelenir. Test kapsamı (black-box / grey-box), hedef URL'ler ve izin alınan saldırı vektörleri yazılı olarak mutabık kalınır. Üretim ortamının etkilenmemesi için test zaman planı hazırlanır.
2. Otomatik Güvenlik Taraması (1–2. Hafta): OWASP ZAP, Nikto ve özel araçlarla web uygulaması güvenlik taraması yapılır. SQL enjeksiyonu, XSS, CSRF, directory traversal, open redirect ve güvensiz doğrudan nesne referansı (IDOR) dahil OWASP Top 10 tam kapsamda taranır. Ödeme formu URL'leri ve API uç noktaları ayrıca hedeflenir.
3. Manuel Penetrasyon Testi (2–3. Hafta): Otomatik araçların kaçırabileceği mantık hataları, yetkilendirme atlamaları ve iş mantığı açıkları deneyimli güvenlik uzmanları tarafından manuel olarak test edilir. Sipariş manipülasyonu, kupon sistemi açıkları ve admin panel güvenliği bu aşamada değerlendirilir.
4. PCI-DSS Uyum Boşluk Analizi (3–4. Hafta): Ödeme akışınız PCI-DSS gereksinimleri karşısında değerlendirilir. Kart verisi depolanıp depolanmadığı, iletim şifrelemesi, erişim kontrolü ve log yönetimi denetlenir. Boşluklar öncelik sırasıyla raporlanır.
5. Bulgu Raporlama & Düzeltme Desteği (4–5. Hafta): Kritik, yüksek, orta ve düşük öncelikli bulgular; teknik detay, CVSS skoru, etkilenen URL ve düzeltme önerisiyle birlikte raporlanır. Kritik bulgular için geliştirici ekibinizle koordineli düzeltme rehberliği ve doğrulama testi dahildir. Teknik olmayan paydaşlar için yönetici özeti ayrıca sunulur.
6. Yeniden Test & Kapanış (5–6. Hafta): Düzeltilen açıklar yeniden test edilir. Temiz rapor ve güvenlik sertifikasyon belgesi teslim edilir. Sürekli izleme kurulumu için öneri planı sunulur.

Güvenlik denetimi hizmeti, kendi başına hassas veri gerektiren bir süreçtir. Bu süreci güvenle yönetmek için aldığımız önlemler şunlardır:

Test İzin Belgesi

Her proje, kapsamı ve izin verilen test yöntemlerini açıkça belgeleyen yazılı bir test yetkilendirme belgesiyle başlar. Bu belge hem sizi hem de test ekibimizi yasal çerçevede korur; hangi sistemlerin, hangi yöntemlerle ve hangi zaman diliminde test edileceği yazılı olarak mutabık kalınır.

Üretim Koruma Protokolü

Yıkıcı testler (yük testi, denial-of-service simülasyonu) üretim ortamında uygulanmaz; yalnızca staging ortamında veya kademeli yaklaşımla gerçekleştirilir. Test saatleri düşük trafikli zaman dilimleriyle örtüşür. Beklenmedik bir etki gözlemlendiğinde testi anlık durdurabilecek protokol önceden kurulur.

Test Verisi Güvenliği

Test sürecinde elde edilen gerçek müşteri verileri maskelenir veya anonimleştirilir. Test bulguları şifreli kanallar üzerinden iletilir ve proje tamamlandığında güvenli biçimde imha edilir. Bulgu raporları yalnızca yetkili kişilerle paylaşılır ve üçüncü taraflara açıklanmaz.

KVKK Kapsamı

Güvenlik açıklarının büyük bölümü aynı zamanda KVKK kapsamındaki kişisel veri ihlali riskidir. Bulgular bu çerçevede de değerlendirilir ve KVKK Madde 12 uyumu açısından önceliklendirilir. Veri ihlali bildirim yükümlülüğü gerektiren kritik bulgular özellikle işaretlenir. Nihai hukuki değerlendirme her zaman işletmenize ve hukuk danışmanınıza aittir.