Dijital bankacılık ve güvenlik hakkında doğru bilinen yanlışlar

Dijital bankacılık, para transferi, fatura ödeme, kart işlemleri, yatırım yönetimi ve uzaktan müşteri edinimi gibi çok sayıda finansal işlemi tek bir ekran üzerinden yürütmeyi sağlar. Buna karşılık güvenlik konusu, yalnızca güçlü bir şifre belirlemekle sınırlı kalmaz. Kullanılan cihazın güvenliği, işlem onay yöntemi, sahte bağlantılarla temas, kişisel verilerin korunması ve bankanın uyguladığı doğrulama adımları birlikte değerlendirilir. Bu yazıda, dijital bankacılık ve güvenlik hakkında doğru bilinen yanlışları temel güvenlik uygulamaları ve güncel yaklaşım çerçevesinde bulabilirsin.

1) Dijital bankacılıkta güvenlik sadece bankanın sorumluluğunda olur yanlışı

Dijital bankacılıkta güvenlik, yalnızca bankanın teknik altyapısıyla sınırlı bir konu değil. Banka, işlem güvenliği için sistem kurar, doğrulama adımları tasarlar ve şüpheli hareketleri izler. Türkiye Bankalar Birliği’nin Dolandırıcılık Eylemleri ve Korunma Yöntemleri e-kitabında da, bankalar tarafından alınan güvenlik önlemlerinin tek başına yeterli olmayacağı ve banka müşterilerinin de önlemlere dikkat etmesi gerektiği belirtilir. Aynı yayında, bankacılık işlemlerinde kullanılan şifre ve parola bilgilerinin gizliliğinin müşteri sorumluluğunda olduğu, bankacılık işlemi yapılan cihazların güvenliğinin de müşteri tarafında korunması gereken bir alan olduğu belirtiliyor. Cihazın üçüncü kişilere kullandırılmaması ve iletişim bilgilerinin güncel tutulması da aynı çerçevede yer alıyor. Bu nedenle dijital bankacılık güvenliğini yalnızca bankanın görevi gibi okumak eksik kalır.   

2) Mobil bankacılık uygulaması telefonda yüklüyse zaten güvenli yanlışı

Mobil bankacılık uygulamasının telefonda yüklü olması tek başına güvenlik sağlamaz. BDDK’nın 23.03.2023 tarihli ve 2023/1 sayılı, Elektronik Bankacılık Hizmetlerinde ve Elektronik Ortamda Sözleşme İlişkisinin Kurulmasında Kimlik Doğrulama ve İşlem Güvenliği için Sağlanması Gereken Kriterler Hakkında Genelgesi’nde, mobil uygulama güvenliğinin yalnızca uygulamanın varlığına değil, doğrulama kodlarının korunmasına, müşteriye özgü şifreleme gizli anahtarı kullanımına ve cihaz güvenliğine bağlı olduğu görülür. Aynı genelgede, müşteriye atanmış şifreleme gizli anahtarı ile doğrulama kodunun imzalanması, mobil uygulama PIN’i veya biyometrik doğrulama bileşeninin bu anahtara erişimde kullanılması ve  SMS ile doğrulama kodu iletilmesi gibi teknik güvenlik katmanları yer alır. Bu çerçeve, mobil bankacılık güvenliğinin uygulamayı telefona indirmekten ibaret olmadığını, işlem güvenliğinin çok katmanlı teknik kontrollerle sağlandığını gösterir.    

3) SMS doğrulama tek başına en güvenli yöntem olur yanlışı

SMS doğrulama uzun yıllardır yaygın kullanılan bir yöntem. Yine de dijital bankacılık güvenliğini tek başına sırtlayan ana araç gibi görülmez. Müşteriye özgü şifreleme anahtarı, doğrulama kodu, mobil uygulama PIN’i ve biyometrik doğrulama bileşeni gibi çok katmanlı araçlar bulunur. Bu nedenle SMS kodunu güvenliğin tek merkezi gibi görmek yerine, daha geniş bir doğrulama sisteminin parçası olunmalı.

4) Parmak izi ya da yüz tanıma varsa başka güvenlik katmanına ihtiyaç kalmaz yanlışı

Parmak izi ve yüz tanıma gibi biyometrik yöntemler kullanım kolaylığı sağlar. Buna rağmen tek başına bütün güvenlik yükünü taşımaz. Dijital bankacılıkta amaç, işlemi hızlı ve kontrollü şekilde doğrulamak. Bu yüzden biyometrik yöntemler çoğu zaman başka doğrulama katmanlarıyla birlikte çalışır. Ayrıca biyometrik veriler, kişisel veri koruma çerçevesinde daha hassas kategoride değerlendirilir. Burada, biyometrik giriş güçlü bir araç ama tek başına mutlak güvenlik anlamına gelmez.

5) Her e-posta, SMS ya da link güvenli yanlışı

Dijital dolandırıcılıkta en sık kullanılan yöntemlerden biri, bankanın adı ya da görsel dili kullanılarak güven duygusu oluşturulması olur. Türkiye Bankalar Birliği’nin güvenlik uyarılarında, kaynağından emin olunmayan mesajların açılmaması, bu mesajlarda yer alan bağlantılara tıklanmaması ve kişisel bilgilerin bu kanallar üzerinden paylaşılmaması gerektiği açık şekilde anlatılır. Bir mesajın banka logosu taşıması, kurumsal görünmesi ya da resmi bir dil kullanması tek başına güvenli olduğu anlamına gelmez. Asıl önemli olan, işlemi bankanın resmi uygulaması ya da doğrulanmış kanalı üzerinden başlatman.

İpucu: Oltalama saldırıları, sahte linkler ve kötü amaçlı yazılımlarla ilgili daha detaylı bilgi almak için Dolandırıcılıktan korunma yöntemleri neler? yazımıza göz at.

6) Ortak Wi-Fi ya da ortak bilgisayardan bankacılık işlemi yapmak ciddi risk oluşturmaz yanlışı

Ortak kullanıma açık bilgisayarlar ve kamuya açık kablosuz ağlar, dijital bankacılık açısından riskli alanlar arasında yer alır. Çünkü bu ortamlarda bağlantının güvenliği, cihazın yazılım durumu ve işlem sırasında kaydedilen bilgilerin kontrolü tamamen sende olmaz. Bu nedenle dijital bankacılık işlemlerini kişisel cihaz ve güvenli bağlantı üzerinden yürütmek daha sağlıklı bir yaklaşım olur.

7) Şifreni kimseyle paylaşmıyorsan dolandırılman zor olur yanlışı

Şifre paylaşmamak güvenliğin temel adımlarından biri. Yine de tek başına yeterli koruma sağlamaz. Dolandırıcılık girişimleri yalnızca parola istemekle sınırlı kalmaz. Sahte linkler, sahte çağrı merkezi senaryoları, zararlı yazılımlar, ekran paylaşımı talepleri ve sosyal mühendislik yöntemleri de sık kullanılır. Güvenliği yalnızca şifre saklamakla sınırlamak yerine, bağlantı doğrulama, cihaz kontrolü ve işlem alışkanlıklarını da aynı düzeyde önemsemek gerekir.

8) Uygulama ve cihaz güncellemeleri güvenlik açısından ikincil önemdedir yanlışı

Cihaz ve uygulama güncellemeleri, yalnızca performans iyileştirmesi anlamına gelmez. Güvenlik açıklarının kapatılması da bu güncellemelerin en önemli işlevlerinden biri olur. İşletim sistemi güncel olmayan telefonlar, eski sürüm tarayıcılar ya da korunmayan cihazlar, dijital bankacılık işlemlerinde daha yüksek risk yaratabilir.  Bu nedenle güncelleme konusu ertelenebilir teknik ayrıntı gibi değil, güvenlik rutininin parçası gibi görülmeli.

9) Dijital bankacılıkta kişisel veri sadece kart numarası ve şifreden ibaret olur yanlışı

Dijital bankacılıkta korunan veri alanı çok daha geniş. Kimlik bilgileri, iletişim verileri, işlem kayıtları, cihaz bilgileri ve bazı durumlarda biyometrik veriler de bu kapsamın içinde yer alabilir. Bundan dolayı, dijital bankacılık güvenliğini yalnızca şifre saklamak olarak görmek yerine, kişisel verilerin bütününe yayılan bir koruma alanı olarak değerlendirmek gerekir.

10) Uzaktan müşteri edinimi ve uzaktan kimlik doğrulama sadece formalite olur yanlışı

Uzaktan müşteri edinimi, yalnızca kamerayı açıp kimlik göstermekten ibaret değil. Bu süreçte görüntülü görüşmenin gerçek zamanlı yapılması, kimlik belgesinin güvenlik unsurlarının kontrol edilmesi, işlemin eğitimli müşteri temsilcisi eşliğinde yürütülmesi ve gerekli risk değerlendirmelerinin yapılması gibi adımlar bulunur. Bu nedenle uzaktan kimlik doğrulama, hızlı ilerleyen bir işlem olsa da kontrolsüz ya da yüzeysel bir süreç olarak değerlendirilmemeli. Dijital ortamda uygulanıyor olması, doğrulama adımlarının zayıf olduğu anlamına gelmez.

Bu sayfadaki bilgiler yalnızca genel bilgilendirme amacıyla sunulmuştur. Yatırım tavsiyesi olarak değerlendirilmemelidir.