IBAN Doğrulama ≠ Hesap Sahipliği

Bir IBAN girip "geçerli" sonucunu gördüğünüzde, doğal olarak paranın doğru hesaba gideceğini varsaymak isteyebilirsiniz. Ne var ki bu iki durum birbirinden bağımsızdır. Bir IBAN'ın yapısal (biçimsel) geçerliliği ile o IBAN'ın arkasındaki hesabın gerçekten var, aktif ve belirtilen kişiye ait olması tamamen farklı şeylerdir. Bu ayrımı anlamak, hem yanlış gönderimi hem de dolandırıcılığı önlemenin ilk adımıdır.

MOD-97 kontrol hanesi neyi denetler?

IBAN'ın son basamağı değil, baştaki iki rakam bir kontrol hanesidir. IBAN doğrulama araçları, ISO 13616 standardındaki MOD-97 algoritmasını uygular: ülke kodu ile kontrol hanesi sona alınır, harfler sayıya çevrilir ve elde edilen büyük sayının 97'ye bölümünden kalan 1 olmalıdır. Bu kontrol, kodun kaza eseri yanlış yazılmasını (bir hane atlanması, iki hanenin yer değiştirmesi gibi) büyük ölçüde yakalar.

MOD-97 doğrulaması yalnızca şunları denetler:

• Biçim: IBAN'ın karakter yapısı standarda uygun mu (ülke kodu + kontrol hanesi + BBAN).
• Ülke uzunluğu: Her ülkenin IBAN'ı sabit uzunluktadır (örn. Almanya 22, Türkiye 26 karakter). Uzunluk bu ülkeye uyuyor mu.
• Kontrol hanesi: MOD-97 kalanı doğru mu — yani kod içsel olarak tutarlı mı.

Buna karşılık MOD-97 doğrulaması şunların hiçbirini kontrol etmez:

• Hesap gerçekten açık mı, yoksa kapatılmış / hiç açılmamış mı;
• Hesabın sahibi kim — girdiğiniz isimle eşleşiyor mu;
• Hesapta bakiye var mı, bloke mi, gelen transfere erişilebilir mi.

Kısacası MOD-97, "bu kod doğru kurgulanmış mı?" sorusuna cevap verir; "bu hesap gerçek ve doğru kişinin mi?" sorusuna değil. Aracın kendi çalışma mantığı için IBAN doğrulama nasıl yapılır sayfasına bakabilirsiniz.

Üç katmanlı doğrulama farkı

Bir ödemenin doğru yere ulaşacağından emin olmak için birbirinden ayrı üç soru vardır. Her biri farklı bir yöntemle yanıtlanır ve biri diğerinin yerine geçmez:

Katman	Cevapladığı soru	Nasıl kontrol edilir?
1. Yapısal geçerlilik	Kod biçimsel olarak doğru mu?	IBAN doğrulama aracı (MOD-97, ülke uzunluğu). Tamamen tarayıcıda, anında.
2. Hesap sahibi doğrulama	Bu IBAN girdiğim isme mi ait?	Alıcı Doğrulama — Verification of Payee (VoP). AB'de anlık ödeme regülasyonuyla (IPR) zorunlu hâle geldi; ödeme öncesi ad–IBAN eşleşmesini kontrol eder.
3. Hesabın aktif / erişilebilir olması	Hesap açık ve para ulaşabilir mi?	Ancak bir transfer denemesi veya bankanın teyidi gösterir. Hiçbir çevrimdışı araç bunu garanti edemez.

Birinci katman IBAN doğrulama aracıyla saniyeler içinde kontrol edilir. İkinci katman için Alıcı Doğrulama (VoP) simülatörümüzü kullanabilir, gerçek bir ödemede ise bankanızın VoP sonucuna bakabilirsiniz. Üçüncü katman ise ancak gerçekleşen bir transferle netleşir; bu yüzden "IBAN geçerli çıktı, o hâlde para kesin gider" varsayımı hatalıdır.

Dolandırıcılık açısından: geçerli görünüp sahte olabilir

IBAN'ın kontrol hanesi bilinen bir hesaba bağlı değildir; sadece matematiksel bir kurala dayanır. Bu nedenle kurala uyan ama gerçekte hiçbir hesaba karşılık gelmeyen bir dizi de "geçerli" görünebilir. Dolandırıcılık açısından daha önemlisi şudur: geçerli biçimdeki bir IBAN, başka birine ait olabilir. Bir dolandırıcı size kendi kontrolündeki gerçek bir hesabın bilgilerini verdiğinde, IBAN hem yapısal olarak geçerli olur hem de VoP'ta ad ile eşleşir — ama para yine dolandırıcıya gider.

Bu yüzden Alıcı Doğrulama (VoP) tek başına dolandırıcılığı önlemez; yalnızca yanlış hesaba gönderim ve bazı yönlendirme (fatura değiştirme) senaryolarını azaltır. Kime ödeme yaptığınızdan emin olmak için alıcıyı ve ödeme talebini ayrı bir kanaldan (telefon, önceden bilinen iletişim) teyit edin. "Hemen gönder" baskısına ve son dakika değişen IBAN'lara karşı özellikle dikkatli olun. VoP uyarı türleri için alıcı adı – IBAN uyuşmazlığı rehberine bakın.

Uygulamada ne yapmalısınız?

1. Önce yapıyı kontrol edin. IBAN doğrulama aracıyla kodun biçimsel geçerliliğini doğrulayın — yazım hatalarını bu adımda yakalarsınız.
2. İsmi eşleştirin. Alıcı Doğrulama (VoP) simülatörüyle ad–IBAN eşleşmesini görün; gerçek ödemede bankanızın VoP sonucuna güvenin.
3. Alıcıyı ayrıca doğrulayın. Özellikle ilk kez ödeme yaptığınız veya IBAN'ı sonradan değişen bir tarafa, bilgileri güvenilir bir kanaldan teyit edin.
4. Kesinlik beklemeyin. Hiçbir çevrimdışı araç hesabın aktif olduğunu garanti edemez; bu ancak transferle netleşir.

Özet

"Geçerli IBAN" ve "gerçek, aktif, doğru kişiye ait hesap" birbirinden bağımsız üç katmandır. MOD-97 yalnızca kodun biçimini ve iç tutarlılığını denetler; hesabın var olup olmadığını, sahibini veya bakiyesini değil. İsmi doğrulamak için Alıcı Doğrulama (VoP) kullanılır, ama o da tek başına dolandırıcılığı önlemez — alıcıyı ayrıca teyit edin. Hesabın fiilen erişilebilir olduğunu ise ancak transferin kendisi gösterir. Bu üç katmanı birbirine karıştırmamak, hem yanlış gönderimi hem de dolandırıcılık riskini azaltmanın en ucuz yoludur.