Türkiye Cumhuriyet Merkez Bankasının Dolandırıcılık Eylemlerine İlişkin 01/11/2023 Tarihli Talimatı

Yönetmeliğin "İşyerlerine sunulan hizmetler" başlıklı 10 uncu maddesinin birinci fıkrasında;

"(1) Ödeme hizmeti sağlayıcısı, işyerine ödeme hizmeti kapsamına giren bir ödeme yöntemi ile mal ve hizmet satışı yapabilmesini sağlamak için sunacağı hizmetlerin sunumuna başlamadan önce, hizmet sunulacak işyerinin 9 uncu maddenin beşinci fıkrası uyarınca kurulan sistemde kayıtlı olup olmadığını kontrol eder, işyerinin kayıtlı olmaması durumunda kaydolmasını sağlar, kayıtlı olması durumunda ise sistemde anlaşma yapmak istediği işyerine ilişkin olumsuz bir kayıt olup olmadığını kontrol eder ve olumsuz bir kayıt bulunması durumunda, olumsuz kaydın içeriği nedeniyle işyerine ilişkin mevzuatla getirilmiş bir hizmet sunma yasağı bulunması durumunda buna uygun hareket eder, bu tür bir zorunluluk bulunmaması durumunda kayıtların içeriğini göz önünde bulundurarak risk yönetimi çerçevesinde gerekli değerlendirmeleri yapar. Ödeme hizmeti sağlayıcısı, 9 uncu maddenin beşinci fıkrası uyarınca kurulan sistemde hizmet sunduğu işyerlerine ilişkin olumsuz bir kayıt olup olmadığını yılda en az bir defa olmak üzere düzenli aralıklarla kontrol eder ve kayıt bulunması durumunda kaydın içeriğine göre gerekli önlemleri alır." hükmü,

Tebliğin "Yüksek riskli işlemlerin takibi" başlıklı 19 uncu maddesinde;

"(1) Kuruluş, sahtekârlık ya da dolandırıcılık amaçlı işlemler ile mali suç kapsamında değerlendirilebilecek işlemleri tespit etmek ve önlemek amacıyla işleme taraf müşteriler ile temsilciler, işyerleri ve insansız hizmet noktalarından gerçekleştirilen tüm işlemler için takip mekanizmaları tesis eder. Bu kapsamda şüpheli veya yüksek riskli işlemleri detaylı olarak değerlendirir. Kuruluş, gerçekleşen işlemlere yönelik işleme taraf işyeri ve sunduğu hizmete yönelik etkin bir takip yürütmekle sorumludur. Bu kapsamda kuruluş, işyerine yönelik risk değerlendirme çalışması yapmak, işyerinin sunduğu hizmetin sosyal mühendislik faaliyetlerine konu olmadığı ve belirtilen hizmet ile gerçekte sunulan hizmetin uyumluluğu konusunda bilgi sahibi olmak, hizmetlere ilişkin yoğun müşteri şikâyeti olması durumunda risk değerlendirmesini gözden geçirerek gerekli tedbirleri almaktan sorumludur.

(2) 5549 sayılı Kanuna ilişkin yükümlülükler saklı kalmak üzere kuruluş, olağan dışı, şüpheli ya da yüksek riskli işlemlerin gerçekleştirildiğini tespit etmesi halinde telefon ya da SMS gibi uygun yöntemlerle müşterilerin en kısa sürede uyarılmasını sağlar. Müşteriye kısa sürede ulaşılabilecek bir iletişim bilgisinin kuruluş ile paylaşılmamış olması halinde bu fıkra hükmü uygulanmaz.

(3) Düşük değerli olan ödeme işlemlerinin kısa bir süre içinde sıklıkla gerçekleştirilmesi ya da düşük değerli ödeme aracının kısa bir süre içinde sıklıkla kullanılması yüksek riskli işlem olarak değerlendirilir.

(4) Kuruluş, Kanun kapsamında elektronik kanallar üzerinden sunduğu hizmetlerle ilgili olarak gerçekleşen olağan dışı, sahtekârlık amaçlı veya dolandırıcılık riski bulunan işlemleri tespit etmeye ve bunları önlemeye yönelik işlem takip mekanizmaları kurar. İşlem takip mekanizması kapsamında uygun olan durumlarda asgari olarak aşağıdaki risk unsurları takip edilir:

a) Finansal sonuç doğuran işlemlere yönelik bilinen dolandırıcılık yöntemleri.

b) Gerçekleştirilen her bir ödeme işleminin tutarı ve bu tutarlara göre müşterinin, fiziki ortamlarda gerçekleştirilen tüm işlemlerde, elektronik kanallar üzerinden gerçekleştirilen işlemlerde ise müşterinin onay vermesi durumunda konum bilgisi de kullanılarak normal dışı bir ödeme, fon transferi ya da davranış deseni gösterip göstermediği.

c) Kaybolmuş, çalınmış ya da yetkisiz kişilerce ele geçirilmiş kimlik doğrulama unsurlarının listesi.

ç) Her bir kimlik doğrulama oturumuna yönelik olarak zararlı yazılımların bulaşmış olabileceğini gösteren belirtiler.