Davranışsal Risk Analizi Nedir? Ödeme Güvenliğindeki Rolü

Davranışsal risk analizi, ödeme güvenliğinde son yılların en belirleyici değişimi. Klasik yaklaşım "şu koşullar oluşursa engelle" biçiminde yazılmış sabit kurallara dayanıyordu. Davranışsal yaklaşım ise farklı bir soru soruyor: bu işlem, bu kullanıcının normaline uyuyor mu?

Bu yazıda yöntemin nasıl çalıştığını, hangi göstergeleri okuduğunu, neyi başaramadığını ve yanlış alarm sorununun neden en az tespit kadar önemli olduğunu ele alıyoruz.

Kural tabanlıdan davranış tabanlıya

Sabit kurallar anlaşılırdır ve denetlenebilir: "10.000 TL üzeri yurt dışı işlemde ek doğrulama iste." Sorun, dolandırıcının bu eşiği deneme yanılmayla bulabilmesidir. Kural sabitse aşılması da öğrenilebilir; 9.900 TL'lik işlem eşiğin altında kalır.

Davranışsal yaklaşımda referans noktası bir eşik değil, kullanıcının kendi geçmişidir. Aynı 9.900 TL, yıllardır ayda birkaç yüz lira harcayan bir kullanıcı için olağan dışıdır; düzenli olarak bu tutarlarda işlem yapan biri içinse sıradan. Kural herkes için aynıdır, davranış herkes için farklıdır — saldırganın kopyalayamayacağı şey de budur.

Hangi göstergeler okunuyor?

Bir ödeme başladığında tek başına anlam taşımayan bir dizi gösterge birlikte değerlendirilir:

• Tutar. Kendi başına değil, kullanıcının olağan harcama aralığına göre.
• İşyeri kategorisi. Market ile kripto satın alımı aynı risk profilini taşımaz.
• Konum. Alışılmış coğrafyanın dışına çıkılması, özellikle kısa süre içinde iki uzak noktadan işlem geldiğinde.
• Cihaz. İşlemin daha önce görülmüş bir cihazdan mı yoksa ilk kez görülen bir cihazdan mı geldiği.
• Zaman. Kullanıcının tipik işlem saatleri.
• Yakın geçmiş. Son dakikalarda kaç deneme yapıldığı, başarısız denemelerin varlığı.

Kritik nokta şu: bu göstergelerin hiçbiri tek başına karar vermez. Geç saatte yapılan bir alışveriş sıradandır. Yurt dışından gelen bir talep sıradandır. Yeni bir cihaz sıradandır. Üçü aynı anda ve alışılmış tutarın çok üzerinde bir işlemde bir araya geldiğinde resim değişir.

Risk skoru bir hüküm değildir

Değerlendirmenin çıktısı "dolandırıcılık" ya da "temiz" ikilisi değil, bir olasılık ölçüsüdür. Söz konusu ödeme, kullanıcının olağan davranış aralığına ne kadar uzak düşüyor?

Bu ayrım pratikte önemlidir. Skor bir hüküm olsaydı sistemin her hatası bir kullanıcının parasını bloke etmek anlamına gelirdi. Skor bir olasılık olduğunda ise ona verilecek tepki kademelendirilebilir:

1. Uzaklık düşükse: ödeme kesintisiz tamamlanır ve kullanıcı hiçbir ek adımla karşılaşmaz. Vakaların ezici çoğunluğu bu gruptadır.
2. Uzaklık orta düzeydeyse: ödeme yine tamamlanır, ancak kullanıcıya bilgilendirme iletilir. Böylece hatalı bir işlem varsa erken fark edilir.
3. Uzaklık yüksekse: ödemeden önce ek bir doğrulama adımı devreye girer. Tutar büyüdükçe bu adımın atlanmaması beklenir.

Değerlendirmenin ödeme tamamlanmadan bitmesi gerekir. Aksi hâlde ortaya çıkan şey bir koruma değil, sonradan okunan bir rapordur — ve rapor, gerçekleşmiş bir işlemi geri getirmez.

Yanlış alarm, tespit kadar önemli

Davranışsal analizin en az konuşulan ama en belirleyici tarafı budur.

Bir sistem her şüpheli görüneni işaretlemeye ayarlanırsa tespit oranı yükselir; ancak kullanıcı, marketteki her alışverişinde doğrulama istenmeye başladığında sistemi ya kapatır ya da gelen uyarıları okumadan onaylamaya alışır. İkinci sonuç daha tehlikelidir: gerçekten önemli olan uyarı geldiğinde de aynı refleksle onaylanır.

Bu yüzden olgun bir risk sistemi iki yönlü ayarlanır. Daha önce rastlanmamış bir saldırı biçimi ortaya çıktığında kapsam genişletilir. Buna karşılık, gereksiz yere sürtünme yaratan eşikler bulunup gevşetilir. İkinci iş, birincisi kadar emek ister ve çoğu zaman daha az konuşulur.

Örneğin yurt dışında yapılan ilk ödeme, geçmişinizde benzeri bulunmadığı için sistem açısından uzak bir noktadadır; ek doğrulama istenmesi bir arıza değil, beklenen sonuçtur. Aynı işlem, ayarlarınızdan yurt dışı kullanımına izin verdikten sonra artık olağan sayılır. Yani kullanıcının kendi tercihleri de değerlendirmenin girdilerinden biridir.

Hız neden bu kadar kritik?

Bir risk değerlendirmesinin değeri, ne kadar doğru olduğu kadar ne zaman bittiğine bağlıdır. Ödeme akışı saniyenin altında tamamlanır; değerlendirme bu pencereye sığmazsa iki kötü seçenekten biri kalır: ya işlem beklemeye alınır ve kullanıcı deneyimi bozulur, ya da işlem geçer ve değerlendirme sonradan yapılır.

İkincisi hâlâ işe yarar — sonradan tespit, kartın kapatılmasını ve zararın büyümemesini sağlar — ama önlemek yerine sınırlamaktır. Bu yüzden gerçek zamanlı sistemlerde hedef, değerlendirmenin milisaniyeler mertebesinde tamamlanması ve ödeme sonuçlanmadan bir karara varılmasıdır.

Bu kısıt, model tasarımını da belirler. Ne kadar isabetli olursa olsun, akışa yetişemeyen bir değerlendirme pratikte devre dışıdır.

Cihaz parmak izi ne anlama geliyor?

Göstergeler arasında en çok yanlış anlaşılanı budur, açmakta fayda var.

Cihaz parmak izi, bir cihazı diğerlerinden ayırmaya yarayan teknik özelliklerin birleşimidir: işletim sistemi sürümü, ekran özellikleri, dil ayarı, tarayıcı yapılandırması gibi. Tek tek hiçbiri kimliğe işaret etmez; birlikte ise "bu, daha önce gördüğümüz cihaz mı?" sorusuna makul bir cevap verir.

Ödeme güvenliğindeki işlevi, kart bilgisinin doğru olmasının tek başına yeterli olmadığı durumları ayırmaktır. Kart numarası çalınmış olabilir; ancak çalan kişi sizin cihazınızı kullanmıyordur. Yıllardır aynı iki cihazdan işlem yapan bir hesapta, hiç görülmemiş bir cihazdan gelen yüksek tutarlı bir talep tek başına anlamlı bir farktır.

Sınırı da var: cihaz değiştirmek olağan bir davranıştır. Yeni telefon alan bir kullanıcı da "hiç görülmemiş cihaz" görünür. Bu yüzden cihaz sinyali tek başına engelleme gerekçesi olmaz, diğer göstergelerle birlikte okunur.

Yapay zekânın rolü ve sınırı

Bu göstergeleri milisaniyeler içinde birlikte değerlendirmek, elle yazılmış kurallarla ölçeklenmeyen bir iştir. Yapay zekâ destekli ödeme güvenliği yaklaşımının katkısı burada: tek tek anlamsız görünen sinyallerin oluşturduğu örüntüyü, kural listesinde birebir karşılığı olmasa bile fark edebilmek.

Sınırlarını da açıkça söylemek gerekir:

• Kusursuz değildir. Olağan bir işlemi olağan dışı, olağan dışı bir işlemi olağan sayabilir.
• Geçmiş gerektirir. Yeni bir hesapta karşılaştırılacak bir örüntü henüz yoktur; ilk haftalar en zor dönemdir.
• Rızayla yapılan işlemi ayırt edemez. Kullanıcı ikna edilip parayı kendi gönderdiyse, işlem onun alışkanlığına uyduğu ölçüde olağan görünür. Oltalamanın hâlâ etkili olmasının nedeni budur.
• Finansal tavsiye vermez. Yaptığı iş bir harcamanın doğru olup olmadığına karar vermek değil, güvenlik açısından olağan olup olmadığını değerlendirmektir.

Veri tarafında ne olmalı?

Davranış analizi tanımı gereği veri okur, dolayısıyla mahremiyet sorusu meşrudur. Değerlendirilmesi gereken üç ölçüt var:

Kapsam. Kurallar işlem davranışı üzerine yazılmalıdır; kişisel içeriğe genişlemesi için bir gerekçe yoktur.

Amaç sınırı. Risk değerlendirmesi için toplanan verinin pazarlamaya açılmaması ya da üçüncü taraflara satılmaması, teknik değil kurumsal bir taahhüttür ve açıkça yazılmış olmalıdır.

Şeffaflık. Bir işlem işaretlendiğinde kullanıcının bunu öğrenmesi ve itiraz edebilmesi gerekir. Gerekçesiz duran ve açıklanmayan bir sistem, kullanıcı açısından arızadan ayırt edilemez.

Özet

Davranışsal risk analizi, sabit eşikleri kullanıcının kendi geçmişiyle değiştirerek dolandırıcının öğrenip aşabileceği bir hedefi ortadan kaldırır. Bunu yaparken kusursuz olmaz; hedefi doğru işaretlemeyi artırırken gereksiz kesintiyi düşürmektir.

Ödeme güvenliğinin diğer katmanlarını güvenlik sayfasında, kullanıcı tarafında alınabilecek önlemleri ise dijital cüzdan güvenliği yazısında bulabilirsiniz.