“Hatalı kart” değil, sosyal mühendislik
Bana en sık gelen mesaj türlerinden biri şu: “Paykwik PIN’imi gönderdim, sonra ödemeyi yapmadılar, kart bozuk mu acaba?” Üzgünüm ama bu sorunun cevabı neredeyse hiçbir zaman “kart bozuk” değildir. Ürünün kendisi — Paysafe Holdings altyapısıyla üretilen 19 haneli PIN — teknik olarak bozulmaz, çift kullanılmaz, sahte üretilmez. Sızdırma da olmaz; üreten taraf yetkisiz birinin koda ulaşmasını yapısal olarak engelliyor.
O zaman şikayetlerin yüzde doksan beşinin kaynağı nereden geliyor? Sosyal mühendislikten. Yani teknolojik kırılmadan değil, kullanıcının kandırılarak PIN’i kendi rızasıyla yanlış tarafa vermesinden. Bu iki kategori arasındaki fark ufak görünüyor ama hukuki ve pratik sonuçları taban tabana zıt — birinde mağdursunuz, ötekinde “PIN’i siz mi gönderdiniz?” sorusu sürecin kilidi oluyor.
Klasik dolandırıcılık senaryoları
Yıllar içinde tipoloji oluşturduğum birkaç ana senaryo var. Birincisi “fiyat avantajı tuzağı”: ortalamanın çok altında bir bozdurma oranı vaat eden — yüzde 3 gibi imkânsız bir teklifle — site, PIN’i alıyor, ödeme yapacağını söyleyip iletişimi kesiyor. Klasiktir, hâlâ işliyor çünkü kullanıcının “bir şansım daha olsun” hissi her seferinde galip geliyor.
İkincisi, “WhatsApp aracı” senaryosu: tanıdık biri üzerinden gelen mesaj, “abi ben halledebilirim, bana PIN’i gönder, akşam parayı vereyim”. Buradaki hakikati Hazine ve Maliye Bakanı Mehmet Şimşek bir açıklamasında çok net ortaya koydu — hesapların “emanet”, “geçici kullanım” veya “komisyon karşılığı” gibi gerekçelerle üçüncü kişilere verilmesi yasa dışı bahis ve aklama suçlarına iştirak anlamına gelmektedir. Aracı dediğiniz kişi parayı almakla kalmıyor, hukuki riski size de bulaştırıyor.
Üçüncüsü, “yanlış kart numarası” oyunu: bahis sitesinde PIN’i girdikten sonra “geçersiz” mesajı alıyorsunuz, sonra siteye bağlı bir “destek” PIN’i ikinci kez girmenizi istiyor — bu sefer kendi sayfalarına. Aslında ilk girişte de PIN tüketilmiş oluyor, ikincisi sadece kullanıcıya “deniyorum, olmuyor” hissi vermek için kurgu.
Dördüncüsü ve son zamanların moda olanı: sahte “Paykwik resmi destek” kanalı. Telegram’da, Instagram’da, hatta Google sponsorlu sonuçlarında çıkan “resmi” kanallar, sıkıntı yaşayan kullanıcılara “PIN’inizi gönderin, kontrol edip bakiyeyi yansıtalım” diyor. Paysafe Holdings’in böyle bir bireysel destek hattı yok, hiçbir zaman olmadı.
Bozdurma sırasındaki tuzaklar
Bozdurma süreci, dolandırıcılığın en yoğun yaşandığı an. Çünkü kullanıcı PIN’i göndereceği tarafa bir ucu açık güven ilişkisi kurmuş oluyor. Burada üç tipik tuzak görüyorum.
İlki, “kısmi ödeme” oyunu. Reseller toplam tutarın yarısını gönderiyor, “geri kalanı yarın aktaracağız, sistem onayı bekliyor” diyor. Ertesi gün iletişim kesiliyor. Mağdur kişi yüzde 50 alabildiği için “tamamen dolandırılmadım” diye düşünüyor — ama matematiksel olarak yüzde 50 komisyon ödemiş oluyor.
İkincisi, “düzeltici PIN” tuzağı: gönderdiğiniz PIN üzerinde bir “doğrulama hatası” çıkarıldığı söyleniyor, “sorunu çözmek için bir doğrulama PIN’i daha gönderin, ikisini birlikte işleyelim” deniyor. Tek bir kayıp ikiye çıkıyor.
Üçüncüsü, KYC bahanesi. “Tutar yüksek, MASAK için kimlik fotokopisi gerekiyor” deniyor; kullanıcı kimliğini gönderiyor; sonra PIN’i de gönderiyor. Sonuç: hem PIN gitti, hem kimlik bilgisi karaborsada dolaşıyor.
Dördüncü tuzak son yılların moda olanı: “test ödemesi” kurgusu. Reseller “güveninizi kazanmak için önce 50 EUR’luk küçük PIN ile deneyelim, ben hemen ödeyeyim, sonra büyük tutar gelsin” diyor. Küçük PIN’i kabul edip hızlıca ödüyor. Bu sefer kullanıcı güvenmiş oluyor, 500 EUR’luk PIN’i gönderiyor — ödeme gelmiyor. Net zarar 500 EUR eksi 50 EUR. Burada işin diyalektiği şu: dolandırıcılık küçük tutarda mantık olarak işlemiyor, ama “büyük tutar için gerçeklik testi” gibi sunulduğunda ikna edici hale geliyor.
Sahte reseller siteleri: tanıma ipuçları
Sahte siteyi gerçek siteden ayırmak için kullandığım çabuk kontroller var. İlki, alan adının yaşı. Süresi 30 gün önce alınmış bir reseller’a güvenmem gerektiği bir dünyada yaşamıyoruz. WHOIS sorgusu — alan adı kayıt tarihini gösteren basit araç — birçok sahte siteyi anında ayıklar. 2024’te kapatılan bir yasa dışı bahis sitesinin yıl içinde 22 kez yeniden açıldığını TBMM kayıtları gösteriyor; reseller’lar için de aynı örüntü geçerli.
İkinci kontrol, iletişim kanalı çoğulluğu. Sadece WhatsApp üzerinden iletişim kuran, web sitesinde telefon ya da kayıtlı şirket bilgisi olmayan platformlar tehlike sinyali. Üçüncüsü, sosyal medya yorumları — ama burada dikkat: gerçek negatif yorumlar genellikle hızlıca silinir, “harika site, anında ödedi” yorumlarının tarih aralığı çok dar olur. Bu örüntüler en az olumsuz yorum kadar ipucudur.
Dördüncüsü, ödeme yöntemi sayısı. Sahte site genellikle tek ödeme kanalı sunar — sadece bir bankaya havale, sadece bir kripto cüzdanına transfer. Gerçek operasyon hem gelen hem giden için en az üç–dört kanal işletir, çünkü likiditesi gerçektir.
Beşinci ipucu, dil. Sahte reseller’lar genellikle Türkçe metinlerinde sistematik hatalar barındırır — büyük harf kullanımı, noktalama, kelime tercihi. Profesyonel görünüm sağlamak için Telegram’dan veya başka kaynaklardan kopyalanmış metin parçaları yamalı şekilde göze çarpar. Tek başına yeterli sinyal değil ama diğer ipuçlarıyla birleştiğinde belirleyici olabilir.
Karşı önlemler: PIN paylaşmamak, doğrulama
Dolandırıcılığın ilk savunması teknik değil, davranışsal. PIN’i kimseye sözlü, mesajla, ses kaydıyla göndermeyin — herhangi bir doğrulama formu hariç. Telefonda PIN okutan herkes tanım itibarıyla dolandırıcıdır, çünkü hiçbir gerçek doğrulama akışı sesli iletişimi gerektirmez.
İkinci kural: önce küçük bir test işlemi. Yeni bir reseller’la çalışacaksanız ilk seferde 25–50 EUR’luk küçük bir PIN’le başlayın. Süreç sorunsuz işlerse büyük tutarlara geçin. Bu yöntem dolandırıcı için kârsızdır — küçük tutarda ödemeyi yaparlar, büyük geldiğinde kaçarlar. Bu tuzağa düşmemenin yolu büyük tutarda da aynı tedbiri sürdürmektir.
Üçüncüsü, yazışma kayıtları. Komisyon oranı, ödeme süresi, transfer kanalı — hepsi yazılı teyit edilmeli. Sözlü mutabakat hiçbir hukuki anlam taşımıyor.
Şikâyet kanalları: BTK, MASAK, savcılık
Mağduriyet yaşadıysanız ne yapacağınız konusunda gerçekçi olalım. Birinci adres, e-Devlet üzerinden BTK’ya tüketici şikayeti — alan adıyla ilgili site kapatma süreci için. 2025 yılında yasa dışı bahisle mücadele kapsamında uygulanan idari para cezalarının toplamı 42 milyon TL’yi aştı; bu kayıtlar sizin şikâyet dosyanızla beraber işliyor.
İkincisi, Cumhuriyet Başsavcılığı’na suç duyurusu. Burada gerçekçi olmak gerekiyor: yurt içinde kayıtsız çalışan ve hızlıca alan adı değiştiren bir reseller’dan paranızı geri alma şansı pratik olarak çok düşük. Ama suç duyurusu geleceğin operasyonları için delil oluşturuyor; sizin dosyanız aynı çete hakkında daha geniş bir soruşturmaya katkı sağlayabilir.
Üçüncüsü, aldatıldığınız platformun kullandığı bankaya itiraz. Banka, MASAK kapsamında şüpheli işlem bildirimi yapma yükümlülüğüne sahip — ki bu çerçeve Paykwik bozdurma süreci içinde detaylı olarak işliyor. Mağdur ifadeniz bu zincire katkı sağlar.
Dördüncüsü, sosyal kanıt biriktirme. Aynı reseller’dan dolandırılan başka kullanıcılarla iletişime geçmek — Şikayetvar, ekşisözlük gibi platformlarda yorum bırakmak — toplu hareket için zemin oluşturur. Tek başına bir 800 TL’lik mağduriyet hukuken takipsizlik kararı alabilir; aynı sanık hakkında 50 ayrı şikâyet birleştirildiğinde kovuşturma başlar. Bu yüzden mağduriyet yaşadığınızda sessiz kalmak yerine kaydı somutlaştırın: ekran görüntüleri, banka dekontu, yazışma kayıtları — hepsi şikâyet ekine konabilir.
Beşincisi ve geniş çerçeve olarak: bu örüntülerin bir bütünün parçası olduğunu unutmayın. MASAK 2025 verilerine göre 940 kişi hakkında verilen erteleme kararı ve 393 kişinin mal varlığına el konulması — bunların önemli bir kısmı yasa dışı bahis ödeme zincirlerinden çıkmış soruşturmalar. Sizin şikayetiniz tek başına bir damla gibi görünebilir; ama aynı zincire dair on, yirmi, beş yüz şikayet bir araya geldiğinde tablonun şekli değişir.
