A. Kartl Ödeme Sistemi
2. Kartl Ödeme Sisteminde Kullanlan Cihazlar
a. ATM (Otomatik Vezne Makinesi)
Banka veya kredi kartlarnn yaygn olarak kullanld cihazlardan ilki ATM’ler olarak karmza çkmaktadr. ATM44, finansal kurulu müterisinin herhangi bir banka çalan yardmna ihtiyaç duymakszn finansal ilemleri gerçekletirmesine yarayan bilgisayar destekli cihaz olarak tanmlanabilir45. Bankalarda Bilgi Sistemleri Yönetiminde Esas Alnacak lkelere likin Tebli m. 3/1-c’de ATM, otomatik para çekme ileminin yan sra dier bankaclk ilemlerinin tamamnn veya bir bölümünün gerçekletirilmesine imkân veren elektronik ilem cihazlar eklinde tanmlanmtr. Gerçekten de bankalarn zamana ve mekana bal olmakszn hizmetlerini sunma gayreti bankaclk hizmetlerinin deiik datm kanallar ile sunulmas sonucunu dourmutur. Bu datm kanallarndan biri olan ATM’ler ile ubede gerçekletirilen birçok ilem, bir biliim sistemi olan ATM’ler araclyla da gerçekletirilebilmektedir. ATM’lerde hesap açma ya da kapatma ilemleri hariç birçok finansal ilem(Örnein, nakit çekme, nakit yatrma, havale ilemleri, fatura ödeme, bakiye sorgulama ve benzeri ilemler) gerçekletirilebilmektedir. Kart hamillerinin ATM’ler vastasyla finansal ilemler yapabilecekleri alana geçebilmeleri için kukusuz öncelikle ilem yapmay talep eden kiinin gerçekte ilemleri gerçekletirme hakkna sahip olup olmad denetlenecektir. Bu denetim ise, “kimlik dorulama” ilemi ile gerçekletirilmektedir. Kimlik dorulama, BBSYEAT m. 3/1-t’de bildirilen bir kimliin gerçekten bildiren ahsa ait olduuna dair güvence salayan mekanizma olarak tanmlanmtr. ATM’lerde ise kimlik dorulama ilemi, müterinin "bildii", müterinin "sahip olduu" veya müterinin "biyometrik bir karakteristii olan"
43
http://www.bkm.com.tr/yillara-gore-istatistiki-bilgiler.aspx (Eriim Tarihi: 14.05.2011) 44
“Automated Teller Machine”. Bu kavram Türkçe’ye “Otomatik Vezne Makinesi” ya da “Otomatik Ödeme Makinesi” eklinde çevrilebilir.
45
ENSA(European Network and Information Security Agency), “ATM Crime: Overview Of The
unsurlardan farkl ikisine ait bileenlerle gerçekletirilmesi gereklilii düzenlenmitir. Müterinin "bildii" unsur olarak PIN bilgisi gibi bileenler, "sahip olduu" unsur olarak ATM kart gibi bileenler kullanlabilir46. Kukusuz bu iki bileen teknolojik gelimelere dayal olarak farkllklar gösterebilecektir. Günümüzde ATM’lerde ilem yapabilmek için mutlaka fiziki bir kart kullanmak zorunlu deildir. Kartsz ilem ad altnda banka müterisinin cep telefonuna yükledii bir yazlm ile ya da bankadan edinilen belirli cihazla tek kullanmlk ifre üretilerek ve banka müterisine ait baz numaralar kullanlarak ATM’lerde finansal ilemler gerçekletirilebilmektedir.
TCK m. 245’de yer alan banka veya kredi kartlarnn kötüye kullanlmas suçu açsndan ATM güvenlii büyük önem arz etmektedir. Nitekim ATM’lerde gerçekletirilen birtakm eylemlerle bakasna ait banka veya kredi kart ele geçirilebilmekte, kopyalanabilmekte ve bunun üzerine sahte kartlar üretilip, banka ve kart hamilleri zararna ilemler gerçekletirilebilmektedir. ATM’lerin bir biliim sistemi olmas ve bilgisayar destekli ilevlerini yerine getirmesi, ayn bilgisayarlarda olduu gibi ATM’lerin hem donanm hem de yazlm unsuru açsndan güvenliinin salanmasn zorunlu klmaktadr. Bu açdan ATM’lerin fiziki güvenliinin salanmas yannda bu cihazlarn donanm unsurlarna hayat veren yazlm unsurlarnn da d müdahalelerden korunmas gerekmektedir47.
b. POS (Point Of Sale) Cihazlar
Kart çkaran kurulular çkarm olduklar kartlar ile üye iyerlerinde alveri yaplmasn salayacak birtakm mekanizmalar oluturmaktadr. Bu mekanizmann en önemli noktas ödemede kullanlan kart bilgilerinin kart çkaran kurulua iletilerek
46
Bkz. BBSYEAT m. 32/5. 47
BBSYEAT m. 32/3’de ATM’lerin yazlm unsurunun güvenliinin salanmas yükümlülüü u ekilde düzenlenmitir: “ATM cihazlar üzerine, zararl içerikli programlarn kötü niyetli kiilerce
yüklenmesini ve yetkisiz eriimi engelleyecek gerekli tedbirler alnmal, cihaza yetkisiz kiilerin herhangi bir ekilde baka bir elektronik cihaz balamasn salayacak bütün giri noktalar eriime kapatlmaldr. ATM’ler üzerine, güvenlik açklklarn gidermek amacyla otomatik olarak veya düzenli periyotlar ile gerekli güncellemeler ve yamalar yüklenir. ATM cihaz ile banka arasndaki a balantsna yetkisiz olarak dier cihazlarn balanmasn engelleyecek ek güvenlik tedbirleri uygulanr.”
yaplan ilem için onay alnmasdr. Bu ilemlerin gerçekleebilmesi için kart çkaran kurulular üye iyeri sözlemesi kapsamnda alveri yaplan iletmelere POS cihaz tahsis etmektedirler. POS cihaz, enerji ile çalan telefon ve data hatlarn kullanarak elektronik ortamda kurulumu gerçekletirilerek kurulum bankas ile iletiim salayarak, dünyadaki kartl sisteme dahil bankalarn biliim sistemlerine ulaarak 10-15 saniye gibi ksa sürede yetkilendirme (otorizasyon) alan ve kendi bellei ile de baz kontrolleri yaparak sat belgesi basabilen bir tür cihazdr48. POS cihaznn ilevi dikkate alnarak yaplm bir baka tanma göre ise POS, perakende sat yerlerinde veya hizmet edimlerinin ifa edildii yerlerde kurulu bulunan otomatik terminallerde, edim bedellerinin nakit kullanlmakszn ve belgesiz olarak, plastik kartlar araclyla elektronik yolla ödenmesidir49. POS cihazlar kartn türüne göre karta ait manyetik eride kodlanm ya da çip üzerinde yüklü bilgileri ilem için onay alnmas hususunda kart çkaran kurulua ileten cihazlardr. POS ile gerçekletirilmek istenen ilemde ileyi u ekildedir50:
1. POS sahibi bankaya ait POS üzerinden farkl bir bankaya ait kart ile ilem gerçekletirilmek istendiinde, ilem POS tarafndan önce POS sahibi bankaya iletilir.
2. POS sahibi banka kartn ait olduu banka bilgilerini kontrol edip hedefi belirledikten sonra ilgili hedefe gönderir. (Hedef BKM, Visa, MasterCard, Amex, Diners Club’de herhangi birisi olabilir. ayet yurt içi banka ise hedef BKM’dir.)
3. BKM, kart sahibi bankaya ilemi herhangi bir nedenle iletemezse (banka ile iletiimin olmamas, banka sisteminin arzal olmas, vb) ya da kart sahibi banka timeout süresi olan 15 saniye içerisinde ileme yant veremezse BKM yerine yetkilendirme modülü devreye girer.
4. BKM, çeitli kontroller uygulayarak kart sahibi banka tarafndan belirtilmi limitler dâhilinde ileme onay verir (ya da reddeder). Sonucu POS sahibi bankaya iletir. lem, iletilen bilginin içeriine uygun olarak tamamlanr.
48
Kaya, s. 68; “POS ad verilen sat noktas terminali ise elektronik bir aygttr. Bu aygt, kredi
kartnn arka yüzündeki manyetik erit bilgilerini okuyarak, uyar listesi kontrolünü ve provizyon (otorizasyon) ilemini on-line olarak gerçekletirir. lemin sonucunda aygt, tamamen kendisinin düzenledii harcama belgesini çkarr.” YCGK. , E. 2001/6-106, K. 2001/111, T. 29.05.2001
(YKD. , C. 28, S. 1, Ocak 2002, s. 109). 49
ener Oruç Hami, Sat Noktasndan Elektronik Fon Transfer Sistemi (EFTPOS) ve Hukuki Nitelii, stanbul, 2000, s. 6.
50
Özellikle kredi kart bilgilerinin internet ortamnda mal veya hizmet almnda kullanlmas durumunda onay alnmas ileminin nasl gerçekleecei önem arz etmektedir. Özellikle teknolojik gelimeler sonucu mal veya hizmet sat gerçekletiren iletmeler ürünlerini internet ortamnda satarak geni müteri kitlelerine ulaabilmektedir. nternet ortamnda kredi kart bilgilerinin kullanlmas yoluyla gerçekletirilen alverilerde POS cihaznn görevini VPOS51 (Sanal POS) almaktadr. VPOS, internette kredi kart ile alveri yaplmasna yönelik olarak tasarlanm ve fiziksel bir POS cihaznn yerine getirebildii ilevleri olan bir yazlmdr. Standart bir POS ileminden en temel fark ilemin kart hamili tarafndan balatlmas ve bilgilerin onun tarafndan girilmesidir52.
c. mprinter Cihaz
mprinter cihaz, iyerinin kredi kart kabul ederken kulland ve kredi kartnn ön yüzündeki kabartma bilgileri (kart hamilinin ad soyad, kartn geçerlilik süresi, kart numaras gibi) sat belgesi üzerine geçiren mekanik cihazdr. Ayrca sat tutar ve tarihi gibi bilgiler de üye iyeri görevlisi tarafndan sat belgesi üzerine elle yazlr. mprinter ile yaplan ilemlerde iyeri, bankann kredi kartlar provizyon servisini telefonla arayp kart numarasn vererek ilem için onay talep eder53. Bu cihazlarn kullanm POS cihazlarn yaygnlamas ile sona ermitir.
d. Kiosklar
Banka veya kredi kart çkaran kurulular ATM, internet bankacl ya da mobil bankaclk gibi deiik kanallar ile müterilerine finansal ilemler gerçekletirilebilecek yeni imkanlar sunmaktadrlar. Bu kanallardan birisi de kiosklardr. Kiosk cihazlarnda para çekmek veya yatrmak dnda hemen hemen tüm bankaclk ilemleri gerçekletirilebilir. Bu cihaz ATM’den bu yönüyle ayrlmaktadr. Öncelikle banka müterisi banka veya kredi kartnn manyetik eridini
51
“Virtual POS” 52
BKM, “Sanal POS uygulamas Nedir?”, Pano Dergisi, S. 12, Temmuz 2003, s. 5. 53
cihazda okutarak ifresini girer. Bununla birlikte ilem yaplabilen alana geçi yaplm olunur. Bu cihazlar son derece güvenlidir çünkü parasal bir ilem gerçekletirildiinde ilemi tamamlamadan hemen önce ilemlere balarken kullanlan kart bir kez daha okuyucudan geçirilmesi istenir. Ayrca ekrann kullanm için süre kontrolü vardr. Belirli bir sürenin geçmesi durumunda otomatik olarak sistemden çklr ve sisteme giri için tekrar kartn okutulmas ve ifrenin girilmesi gerekir54.