Zara Ve Iyzico’nun 3D Secure’siz Güvenlik Açığı Yetkisiz Harcama Denemesi

15 Mayıs 2026 günü saat 11.00 suları civarında, banka kartı bilgilerim bir şekilde ele geçirilerek zara.com üzerinden yaklaşık 7.800 TL tutarında yüksek meblağlı bir harcama girişiminde bulunulmuştur. Bu işlem, ödeme altyapısı sağlayıcısı iyzico üzerinden yürütülmüş, ancak ne Zara ne iyzico ne de bankam tarafından tarafıma herhangi bir güvenlik doğrulaması veya uyarı yapılmamıştır.

Kartımı kişisel tercihim olarak internet alışverişine kapalı tuttuğum için bu işlem gerçekleşememiş ve doğrudan maddi bir kaybım olmamıştır. Buna rağmen bu kadar yüksek tutarlı bir harcama girişiminin, 3D Secure onayı dahi devreye girmeden sisteme alınmaya çalışılması, kurumların sürekli övgüyle bahsettiği güvenlik altyapılarının kağıt üzerinde kaldığını ve pratikte son derece suistimale açık olduğunu göstermektedir. “Güvenli ödeme” adı altında pazarlanan bu sistemlerin en kritik anda devreye girmemesi, tüketici açısından gerçek bir güvenlikten çok bir illüzyon anlamına gelmektedir.

Bankamla görüştüğümde sorumluluğun iyzico’ya, iyzico ile iletişim kurmaya çalıştığımda ise sorumluluğun Zara’ya yönlendirildiğini gördüm. Sonuçta kartımı iptal ettirmek zorunda kaldım, ancak bu süreçte her kurumun topu diğerine atarak sorumluluktan kaçtığı, gerçek ve etkin bir güvenlik mekanizması yerine sadece göstermelik bir altyapı ile yetinildiği izlenimini edindim. Özellikle Zara tarafında müşteri hizmetlerine ulaşmanın neredeyse imkansız olması ve bu denli ciddi bir güvenlik ihlali ihtimaline rağmen kullanıcıya şeffaf bilgilendirme yapılmaması, yıllardır övgüler dizilen bu sistemlerin tüketici gözünde güvenilirliğini ciddi biçimde zedelemektedir.

Zara’dan, sistemleri üzerinden kart bilgilerimle kim veya hangi hesap üzerinden işlem yapılmaya çalışıldığının tespit edilmesini, bu girişimin kaynağı ve süreçte kullanılan ya da kullanılmayan güvenlik adımları hakkında detaylı ve yazılı bilgilendirme yapılmasını talep ediyorum. Ayrıca ödeme altyapısında 3D Secure gibi temel güvenlik adımlarının neden zorunlu tutulmadığı, bu boşluğun nasıl suistimal edilebildiği ve benzer vakaların önüne geçmek için ne tür somut ve kalıcı önlemler alındığı konusunda açık, net ve tatmin edici açıklama bekliyorum.

Maddi zarara uğramamış olmam, yaşanan bu güvenlik zafiyetinin önemsiz olduğu anlamına gelmemektedir. Bu olayın, kurumların yıllardır sürdürdüğü güvenlik söylemleri ile gerçek uygulamalar arasındaki ciddi uçurumu ortaya koyduğunu düşünüyorum. Hem benim hem de benzer durumda olan diğer tüketicilerin dijital ortamda gerçekten korunabilmesi için, söz konusu güvenlik sistemlerinin göstermelik olmaktan çıkarılıp somut, etkin ve kullanıcı lehine işleyen bir yapıya kavuşturulmasını istiyorum.