Metro turnikesinde arkandan biri yanaşıyor, otobüste omuz omuza sıkışıyorsun, cebindeki kart cüzdanın içinde. Temassız ödeme için birkaç santimetre yeterli. Peki kalabalıkta, sen fark etmeden, kartın uzaktaki bir kasada harcanabilir mi?
Kısa cevap: laboratuvarda ve saha araştırmalarında bu senaryo mümkün gösterildi. Ama "cüzdanından sessizce binlerce lira emiliyor" korkusu, çoğu zaman gerçek riski abartıyor. Bakılacak yer, temassız sistemin neye güvendiği.
- Temassız kartın güvendiği şey mesafe değil, "yakındaysa meşrudur" varsayımı.
- İki cihazla yapılan aktarma saldırısı bu varsayımı kırıyor; kalabalık toplu taşıma elverişli bir zemin.
- Ulaşım için açılan hızlı geçiş kolaylıkları, bazen mağaza ödemesine de sızabiliyor.
- Türkiye'de şifresiz tavan ve banka izlemesi riski sınırlıyor; panik değil, ölçülü önlem işe yarıyor.
Kartın güvendiği şey mesafe değil
Temassız ödeme, yakın alan iletişimi yani NFC ile çalışır. Kartın içindeki anten, okuyucunun ürettiği alana birkaç santimetrede cevap verir; tipik çalışma mesafesi dört santimetre civarıdır.1 Güvenlik modeli uzun süre şuna yaslandı: bu kadar kısa menzilde kart sahibinin izni vardır. Kart çalınmadıysa, PIN istenmediyse, işlem meşrudur.
Sorun şu: mesafe bir kilit değil, bir varsayımdır. Kart, karşısındakinin "gerçek bir kasa" mı yoksa "başka bir yere mesaj taşıyan bir köprü" mü olduğunu kendi başına ayırt etmez. Kriptografi mesajın bütünlüğünü korur; ama mesajın nereden geldiğini, fiziksel olarak senin yanında mı üretildiğini her zaman ölçmez.
Aktarma saldırısı: köprü kurmak
Araştırmacılar bu boşluğa aktarma saldırısı diyor. İki cihaz birlikte çalışır. Biri senin kartına yaklaşır, diğeri uzaktaki gerçek bir POS'a veya turnikeye yaklaşır. İkisi internet veya kablosuz ağ üzerinden birbirine bağlanır. Kart, yakındaki cihazı okuyucu sanır; terminal, uzaktaki cihazı kart sanır. Ortada şifre kırılmaz; yalnızca "yakındayım" iddiası taşınır.2
2011'de Royal Holloway'den Lishoy Francis ve ekibi, özel anten veya kartı açmadan, sıradan NFC telefonlara yazılım yükleyerek bu aktarmayı pratikte gösterdi.2 Çalışma, temassız ödemeden kimlik ve erişim sistemlerine kadar aynı mantığın geçerli olduğunu yazıyordu. Sonraki yıllarda açık kaynak araçlar ve dolandırıcılık istihbarat raporlarıyla "laboratuvar tuhaflığı" iddiası zayıfladı: aktarma, sokağa indi.3
Toplu taşıma neden özel?
Kalabalık, yakın cihazı görünmez kılar. Metro peronu, otobüs kapısı, tramvay yoğunluğu: omuz mesafesi zaten normaldir. Aynı anda turnike ve mağaza ödemeleri de NFC konuşur. Yani saldırganın hedefi yalnızca yolculuk bakiyesi olmak zorunda değil; kalabalıkta yakalanan kart, birkaç blok ötede markette de harcanabilir.
Daha ince bir katman da var. Birçok şehirde telefon cüzdanları, turnikede kilidi açmadan hızlı geçiş için özel bir ulaşım modu sunar. Birmingham ve Surrey üniversitelerinden araştırmacılar, Londra'daki turnike okuyucularının gönderdiği özel bayt dizisini yeniden oynatarak, kilitli bir iPhone'un Visa kartıyla mağaza terminalinde işlem başlatılabildiğini gösterdi.4 Çalışmada, temassız tavanın üstüne çıkmak için kartın "cihazda doğrulama yapıldı" bayrağının da değiştirilebildiği anlatılıyor; testlerde yüksek tutarlı işlemler denendi. Üreticiler sonradan yamalar yayınladı; ama ders net: ulaşım kolaylığı, ödeme güvenliğinin kenarından açılabiliyor.
Pekin belediye kartı gibi otomatik ücret toplama sistemlerinde de NFC telefonların ağı dışarıdan içeri bir kanal açtığı, akademik çalışmalarda gösterildi.5 Yani konu yalnızca kredi kartı değil; akıllı ulaşım kartı ekosistemi de aynı kısa mesafe varsayımına yaslanıyor.
Limitler paniği nereye çekiyor?
İyi haber: çoğu ülkede temassız işlem, şifresiz bir tavana bağlı. Türkiye'de BDDK düzenlemesiyle 15 Ocak 2026'dan itibaren şifresiz temassız tavan 2.500 TL. Üzerinde POS şifre ister.6 Birleşik Krallık'ta uzun süre tek işlem için 100 sterlin ve art arda işlemlerde ek doğrulama kuralları vardı.7 Kart ağları ayrıca işlem süresine, konum tutarsızlığına ve hız desenlerine bakıyor. Mastercard'ın mesafe sınırlama protokolü gibi ek katmanlar aktarmayı zorlaştırmak için tasarlandı; araştırmacılar yine de kaçış yolları bulduğunu yazıyor, yani kalkan mükemmel değil.3
Pratikte bu şu anlama geliyor: sessizce cüzdanı boşaltmak, filmlerdeki kadar kolay değil. Yüksek tutar çoğu zaman PIN veya biyometri ister. Art arda küçük işlemler bankanın risk motorunu tetikleyebilir. Yetkisiz işlemde birçok ülkede, dolandırıcılık kanıtlanırsa kart hamili değil ödeme hizmeti sağlayıcısı zarar görür; yine de itiraz süreci ve zaman kaybı gerçek bir maliyettir.
Ne işe yarar, ne abartı?
RFID cüzdanların bir kısmı gerçekten alanı zayıflatır; hepsi eşit değildir, kalın metal katman işe yarar, ince "sihirli" kılıflar bazen yetmez. Banka uygulamasından temassızı kapatmak veya tavanı düşürmek, kalabalıkta en ucuz kontroldür. Telefon cüzdanında ulaşım kolaylığını açtıysan, hangi kartın kilitsiz geçişe bağlı olduğunu bilmek gerekir. Bildirimleri açık tutmak, tuhaf bir işlemi dakikalar içinde görmeni sağlar.
Asıl abartı şu: "kalabalıktan geçince kartın okundu, hesabın gitti." Temassız okuma için cihazın bilinçli yaklaşması gerekir; rastgele omuz sürtünmesi tek başına işlem üretmez. Risk, iki kişilik koordineli bir aktarma veya çalınmış cüzdan kurulumudur; her yolculukta otomatik bir vergi değildir.
Mesafe bir kilit değil, bir varsayımdır; köprü kurulunca varsayım çöker. bu yazının tek cümlelik özeti
Toplu taşımada temassız dolandırıcılık mümkün mü? Evet, çünkü sistem mesafe varsayımına güveniyor ve o varsayım köprüyle aşılabiliyor. Ama "mümkün" ile "her gün herkese oluyor" aynı cümle değil. Limitler, art arda işlem kuralları, banka izlemesi ve senin küçük ayarların, riski film senaryosundan günlük bir ihtimale indiriyor. Kalabalıkta kartını vücuduna yakın tutmak paranoya değil; varsayımı biraz daha senin lehine çevirmek.
Dipnotlar ve Kaynaklar
- ISO/IEC 14443 ve NFC Forum spesifikasyonları; tipik temassız ödeme mesafesi birkaç santimetre (sıkça ~4 cm) olarak anılır. EMV Contactless Book A, EMVCo. ↩
- Francis, L., Hancke, G., Mayes, K. ve Markantonakis, K. (2011/2012). "Practical Relay Attack on Contactless Transactions by Using NFC Mobile Phones", Cryptology ePrint Archive 2011/618; RFIDsec 2012 Asia, IOS Press. ↩
- Ali, A. ve ark. (2025). "SoK: Security of EMV Contactless Payment Systems", arXiv:2504.12812. Aktarma korumaları, RRP ve bilinen kaçışlar üzerine sistematik derleme; ayrıca Recorded Future Insikt Group, ghost-tapping / NFC aktarma dolandırıcılığı raporları. ↩
- Basin, D. ve ark. / Birmingham–Surrey ekibi (2021). "Practical EMV Relay Protection" (practical_emv.gitlab.io). Apple Pay Express Transit "magic bytes", TTQ/CTQ manipülasyonu ve kilitli telefonda yüksek tutar denemeleri. ↩
- Wang, Y. ve ark. (2017). "NFC-enabled Attack on Cyber Physical Systems: A Case Study on Automated Fare Collection System", IEEE INFOCOM MiSeNet; ayrıca "LessPay" mesafe tabanlı AFC saldırısı, IEEE Transactions on Mobile Computing (2018). ↩
- BDDK düzenlemesi: 15 Ocak 2026 itibarıyla Türkiye'de şifresiz temassız işlem tavanı 2.500 TL (bankalar üst sınırın altında kendi politikalarını uygulayabilir). ↩
- Financial Conduct Authority (2021). PS21/2: contactless single threshold £100 ve kümülatif eşikler; 2025 Engagement Paper aynı çerçeveyi özetler. ↩
Bu içerik bilgilendirme amaçlıdır; suç işlemeyi öğretmez. Kart güvenliği için bankanızın resmi kanallarını kullanın; yetkisiz işlemde bankanıza bildirin.
kafa1milyon
Meraklı bir kafa. Bilimsel makaleleri, arşiv belgelerini ve saha notlarını okuyup gündelik dile çeviriyor; bilinmeyeni bilinmiyor diye yazmaktan çekinmiyor.
