Visa, Mastercard ve TROY kartlarında casino ve bahis işlemlerini düzenleyen MCC 7995 bloğu, 2025–2026 enforcement döneminde Türkiye’deki her kart kullanıcısının anlaması gereken yapısal bir mekanizmaya dönüştü. Şimdi bir tüketicinin gündelik hayatında kart, en pratik ödeme aracıdır: markette, restoranda, online alışverişte. Ama aynı kart, çevrimiçi kumar bağlamında bambaşka bir kurala girer — ve bu kuralın sonuçları oldukça somuttur.

Türk kart ekosistemi 2025’te önemli bir dönüşüm yaşadı. BKM’nin Kasım 2025 verisi, POS işlemlerinin yaklaşık %80’inin NFC temassız gerçekleştiğini gösteriyor. TROY, geç 2025’te Google Pay ile Android entegrasyonunu tamamladı. Apple Pay ise Mayıs 2026 itibarıyla Türkiye’de hâlâ mevcut değil; komisyon anlaşmazlığı çözümsüz kalmaya devam ediyor. Bu olumlu gelişmelere karşın, offshore kumar için kartın rolü giderek geriliyor: BDDK, Visa/Mastercard ağ kuralları ve MCC 7995 üçlüsü altında Ziraat, İş Bankası, Garanti BBVA, Akbank, Halkbank ve VakıfBank kartlarında %90’ı aşan işlem reddi zorunlu; Yapı Kredi ise kısmi blok sürecinde. Kart, offshore casino mevduat kanalları arasında yalnızca yaklaşık %5–8’lik pay taşıyan, gerileyen bir kanal konumundadır.

Bu rehber şu başlıkları kapsar: üç kart şemasının teknik farkı; MCC 7995’in nasıl çalıştığı; büyük banka politikaları (kategori bazında, tarafsız); NFC temassız ve cüzdan ekosistemi gerçekleri; offshore kumarda kartın yapısal başarısızlığı; ve kart bilgisi sızdıysa ya da hesap donduysa izlenecek güvenlik ve hukuki rotası.

Yasal bilgilendirme: Bu rehber yalnızca tüketici farkındalığı, kart şeması teknik bilgisi ve yasal kullanım çerçevesinde hazırlanmıştır. Türkiye’de özel çevrimiçi kumar ve bahis yasa dışıdır (7258 sayılı Kanun). Yasal bahis için tek meşru kanal İDDAA (Bilyoner, Nesine, Misli, OleyBahis, Tuttur, NeoBahis), devlet loterileri için MPİ, at yarışı için TJK’dır.

Sorumlu oyun: Kumar oynama davranışı kontrolünüzü aşıyorsa, bağımlılık bir irade zayıflığı değil, tedavi edilebilen bir beyin hastalığıdır. ALO 182 (Yeşilay, 7/24 ücretsiz) ve yesilay.org.tr 81 ilde destek sunar; YEDAM (yedam.org.tr) klinik ve psikososyal programlar yürütür.

İçindekiler

Visa, Mastercard ve TROY: üç şema, üç ayrı kapsam

Türkiye’deki kart ödemelerinin büyük çoğunluğunu üç şema yönetir: Visa, Mastercard ve TROY. Yani aslında bu üç adın arkasında çok farklı operasyonel gerçekler yatıyor — ve bu farklar, özellikle kumar kategorisinde kritik önem taşıyor.

Visa Inc. (uluslararası şema), Türkiye kart pazarında yaklaşık %55 pay ile en yaygın seçenektir. Tüm Türk bankalarının Visa kartı çıkarma yetkisi bulunur; ATM ve uluslararası POS ağında evrensel kabul geçerlidir. Gambling kategorisi için Visa Integrity Risk Program (VIRP) çerçevesinde artırılmış izleme ve due diligence zorunludur.

Mastercard Worldwide (uluslararası şema), pazarın yaklaşık %35’ini oluşturur. Kabul kapsamı ve ATM erişimi Visa ile karşılaştırılabilir düzeydedir. Business Risk Assessment and Mitigation (BRAM) programı, gambling merchant’ları için zorunlu artırılmış KYC ve işlem örüntüsü izlemesini zorunlu kılar.

TROY — Türkiye’nin Ödeme Yöntemi (yerli ulusal şema), Bankalararası Kart Merkezi (BKM) tarafından 2016’da kuruldu. Pazar payı yaklaşık %10; ancak kamu bankası portföylerinde bu oran çok daha yüksektir. TROY kartı yalnızca Türkiye içindeki ödeme noktalarında kabul edilir — uluslararası interoperability bulunmadığından offshore bir site için kart zaten teknik olarak kullanılamaz. Gambling kategorisinde Visa ve Mastercard ile aynı MCC 7995 kuralına ve BDDK zorunlu bloğuna tabidir.

TROY niçin var? Yerli kart şemasının stratejik anlamı

TROY, Türkiye’nin uluslararası ödeme ağlarına olan bağımlılığını azaltmak amacıyla tasarlandı. Yurt içi işlemlerde takas maliyetleri Türk Lirası bazlıdır; işlem verisi Türkiye sınırları içinde kalarak KVKK ve BDDK gerekliliklerini karşılar. Kamu bankaları için tercih edilen şema konumundadır ve özel banka entegrasyonu yıllar içinde kademeli olarak büyümektedir.

Visa ile Mastercard arasında pratik fark var mı?

Tüketici açısından bakıldığında pratik fark genellikle yoktur; kabul kapsamı, ATM erişimi ve kart limiti büyük ölçüde bankanın politikasına bağlıdır. Ağ düzeyinde ise her iki şemanın gambling merchant programı (VIRP / BRAM) benzer kurallarla işler; MCC 7995 işlem reddi davranışı pratikte her iki şemada da aynıdır.

MCC 7995: kumar kategorisi kodunun arkasındaki mekanik

MCC (Merchant Category Code), Visa ve Mastercard tarafından geliştirilen ISO 18245 standardı kapsamında her satıcıya atanan dört haneli bir kategori kodudur. Ödeme işlemi başlatıldığında MCC kodu, işlem mesajına eklenerek bankanın karar motoruna iletilir; banka bu kodu kural bazlı sistemde değerlendirerek onay ya da red kararı verir.

MCC 7995, “Betting, Including Lottery Tickets, Casino Gaming Chips, Off-Track Betting, and Wagers at Race Tracks” kategorisini tanımlar — yani kumar ve bahis işlemlerinin tamamı bu kod altında toplanır. Yasal İDDAA ve MPİ bayileri de teknik olarak aynı kodu kullanır; ancak bu işyerleri Spor Toto veya MPİ çerçevesinde kayıtlı ve lisanslı olduğundan banka decline uygulamaz. Sistem, yasal merchant kimliği üzerinden offshore yetkisiz satıcı ile lisanslı Türkiye operatörünü ayırt eder.

Türkiye’de BDDK zorunlu yönergesi ve 7258 sayılı Kanun çerçevesinde büyük Türk bankaları, MCC 7995 kodlu işlemleri bireysel kartlar için otomatik olarak reddeder. Bu ret oranı Ziraat, İş Bankası, Garanti BBVA, Akbank, Halkbank ve VakıfBank’ta %90’ın üzerindedir. Teorik olarak başarılı görünen işlemler ise genellikle merchant aggregator katmanı veya hatalı MCC kodlamasından kaynaklanır; bunlar Visa VIRP ve Mastercard BRAM tarafından zaman içinde tespit edilir.

Tabii ki tekrarlayan denemeler de risk taşır. Her red kararı tek başına cezai bir sonuç doğurmasa da, aynı hesaptan yapılan birkaç başarısız deneme bankanın MIS (Yönetim Bilgi Sistemi) içinde profil sapması olarak işaretlenir. İki ya da üç tekrarın ardından KYC güncellemesi tetiklenir ve müşteri hizmetleriyle bir profil görüşmesi standart protokole dahil olur.

Kartım reddedildi, sahte mi geldi acaba?

Hayır. MCC 7995 reddi bir banka korumasıdır — kart sağlam, hesap güvenlidir. Şimdi burada dikkat edilmesi gereken nokta şu: aynı işlemi farklı kartla ya da farklı yöntemle denemek, hesap profil sapmasını hızlandırır. Banka müşteri hizmetleri aradığında genellikle yardım amacıyla değil, yasal olmayan bir merchant’a ödeme denemesi tespit edildiği için arar. Şüphe duyuluyorsa avukat eşliğinde yanıt vermek en doğrusudur.

Büyük Türk bankaları ve MCC 7995 politikası

Muhakkak ki banka seçimi bir strateji oluşturmaz; aynı MCC kodu, aynı BDDK kuralı ve aynı Visa/Mastercard ağ politikası yedi büyük bankanın tamamında aynı şekilde uygulanır. Aşağıdaki tablo, Mayıs 2026 itibarıyla yedi büyük bankanın politika durumunu kategori düzeyinde özetlemektedir.

BankaSektörMCC 7995 politikasıMobil uygulama
Ziraat BankasıKamuAktif blokZiraat Mobil
Türkiye İş BankasıÖzelAktif blokİşCep
Garanti BBVAÖzel (BBVA iştiraki)Aktif blokGaranti BBVA Mobil
AkbankÖzel (Sabancı Holding)Aktif blokAkbank Mobil
HalkbankKamuAktif blokHalkbank Mobil
VakıfBankKamu (vakıf kökenli)Aktif blokVakıfbank Mobil
Yapı KrediÖzel (Koç Holding)Kısmi blok (rolling out)Yapı Kredi Mobil

Yapı Kredi’nin “kısmi blok” durumu bir fırsat penceresi olarak değerlendirilmemelidir. Bu, politikanın diğer bankalarla aynı seviyeye gelmesi için kademeli yayılım sürecinde olduğu anlamına gelir; 2026 boyunca %90 ret eşiğine doğru ilerleme devam etmektedir. Ticari kartlar açısından durum daha da sıkıdır: KOBİ kartından offshore casino işlemi, para aklama tipolojisi olarak nitelendirilir ve bankacılık denetimi açısından bireysel kart işlemlerinden çok daha ağır değerlendirilir.

NFC temassız, Google Pay ve Apple Pay: cüzdan ekosistemi gerçeği

Türkiye’nin ödeme ekosistemine bakıldığında, NFC temassız ödemenin hâkim konuma geçtiği açıkça görülüyor. BKM’nin Kasım 2025 verisi, POS işlemlerinin yaklaşık %80’inin artık EMV temassız altyapısıyla gerçekleştiğini ortaya koyuyor. 500 TL altındaki işlemlerde PIN gerekmez; üzerindeki işlemlerde ise PSD2 uyumlu SCA (Güçlü Müşteri Doğrulaması) zorunludur.

Google Pay, Türkiye’de geç 2025 itibarıyla Android platformunda aktif hale geldi. Öncelikle TROY kartlarıyla çalışıyor; seçili Mastercard ve Visa entegrasyonu kademeli olarak genişlemektedir. Ancak Google Pay’in offshore kumar merchant’ları için kullanılabilmesi, Google Acceptable Use Policy ile doğrudan çelişir. Bunun ötesinde, tokenize kart numarası MCC 7995 kodlu bir işleme ulaştığında aynı BDDK ve ağ kuralları devreye girer — yani Google Pay, MCC 7995 bloğunu atlatmaz.

Maalesef ki Apple Pay konusunda kullanıcılara sıklıkla yanıltıcı bilgi veriliyor. Şimdi sade gerçek şu: Apple Pay, Mayıs 2026 itibarıyla Türkiye’de mevcut değildir; 2022’den bu yana süren Apple–Türk bankaları komisyon anlaşmazlığı çözüme kavuşmadı ve hiçbir Türk bankası Apple Pay partneri konumunda değil. Bir offshore site “Apple Pay ile öde” seçeneği sunduğunu iddia ediyorsa, bu üç olasılıktan birini işaret eder: kullanıcıyı yanıltma, phishing girişimi ya da yurt dışı Apple ID ve yurt dışı kart yönlendirmesi — sonuncusu BDDK ve MASAK açısından raporlama yükümlülüğü doğuran bir işlem kategorisidir.

Tokenize kart, MCC 7995’i atlatır mı?

Hayır. Google Pay veya benzer bir dijital cüzdan, kart numarasını cihaza özgü bir token ile değiştirir; ancak işlem mesajına yine MCC kodu eklenir. Banka ve ağ aynı kuralı uygular; decline aynı şekilde gerçekleşir. Tokenizasyon, kart bilgisi güvenliği sağlamak içindir — MCC bypass mekanizması değildir.

Yasal kullanım: kart hangi senaryoda hangi MCC’ye girer

Yani aslında MCC kodu tek başına bir ret gerekçesi oluşturmaz; merchant’ın yasal kayıt ve lisans statüsü asıl belirleyici faktördür. Gündelik perakende işlemleri farklı kategorilerde işlenir: market alışverişi MCC 5411, restoran MCC 5812, akaryakıt MCC 5541, online perakende MCC 5969 ve seyahat MCC 4112–3299 aralığındadır.

E-devlet ödemeleri, fatura ödemeleri (MCC 4900), eğitim (MCC 8211, MCC 8220), sağlık (MCC 8062) ve bağış işlemleri (MCC 8398) herhangi bir engele takılmadan gerçekleşir. Yeşilay, YEDAM ve Kızılay gibi nonprofit kurumlara yapılan kart ödemeleri MCC 8398 altında yer alır — aktif olarak teşvik edilen bir kategoridir.

Yasal kumar ve şans oyunları açısından şu ayrım belirleyicidir: İDDAA bayileri, MPİ ve TJK Hipodromu, yasal merchant kimliğine sahip olduğundan banka decline uygulamaz. Sistem, offshore yetkisiz merchant ile lisanslı devlet operatörünü merchant kayıt numarası üzerinden ayırt eder. Bu ayrım, 7258 sayılı Kanun’un temel mantığını yansıtır: yasallık, kod seviyesinde değil lisans ve kayıt seviyesinde belirlenir.

Offshore kullanımda kart riski: decline’ın ötesinde ne var?

Tabii ki işlem reddi tek başına bir tehdit oluşturmaz; ama decline’ın tekrarı bir profil oluşturur — ve bu profil, ileride büyük tutarda farklı bir kanal üzerinden işlem yapıldığında çok daha sert biçimde yorumlanır. Risk haritası altı katmandan oluşur.

Birinci katman, işlem reddidir (%90+ oranıyla). Hesapta aktif zarar oluşmaz; ancak banka MIS sisteminde profil sapması başlar. İkinci katman, bu profilin tetiklediği KYC güncellemesidir: müşteri hizmetleri görüşmesi, kimlik belgesi güncelleme talebi ve ticari hesaplarda daha yoğun denetim bunların arasındadır.

Üçüncü katman, kart bilgisi sızıntısıdır. Offshore platformlar PCI-DSS uyumsuz olabilir; kart numarası, CVV, son kullanma tarihi ve 3D Secure kodu bir kez paylaşıldığında dolandırıcılık riski yüksektir. Sahte ödeme sayfası üzerinden toplanan bilgilerin üçüncü taraflara satılması bu kategoride sıklıkla görülür.

Dördüncü katman, “%10 komisyon karşılığı kartını kullandır” teklifleridir. Bu teklif TCK 282 (Kara Para Aklama) kapsamında doğrudan değerlendirilir; 3 ila 7 yıl hapis ve 20.000 güne kadar adli para cezası öngörülür. 2024–2025 dönemindeki emsal kararlar, komisyon teklifini kabul etmenin TCK 282 kapsamını aktive ettiğini teyit etti.

Beşinci katman, MASAK hesap dondurma mekanizmasıdır. Tekrarlayan kart denemelerinin ardından gelen alternatif kanal üzerinden yüksek tutar transferi (USDT, havale), MASAK’ın STR (Şüpheli İşlem Bildirimi) sürecini tetikler. 2024 yılı toplam hesap dondurma rakamı 2,2 milyar TL iken, Ocak–Temmuz 2025 döneminde bu rakam 3,6 milyar TL’ye ulaştı — %63’lük artış. Kasım 2025 itibarıyla kümülatif suç duyurusu sayısı 419.158 oldu.

Altıncı katman yasal yaptırımdır. Offshore kumar oyuncusu olarak tespit edilmek 5.000–20.000 TL idari para cezasına yol açar (7258 sayılı Kanun). Aktif operatör katılımı, hesap kiralama veya komisyon ilişkisi ise TCK 282 kapsamına girer.

Kart bilgisi sızdıysa veya hesap donduysa: ilk 48 saatte ne yapılır?

Kart bilgisinin offshore bir siteye girildiği ya da hesapta olağandışı işlem fark edildiği durumda, ilk kırk sekiz saat belirleyicidir.

Kart bilgisi sızdıysa şu adımlar izlenmelidir:

  1. Banka çağrı merkezi hemen aranarak kart bloke edilmeli; yeni kart talebi 1–3 iş günü içinde teslim alınabilir.
  2. siber.gov.tr üzerinden Türkiye Siber Suçlarla Mücadele Merkezi’ne kart bilgisi sızıntısı ve sahte site raporu iletilmelidir.
  3. Banka ile chargeback süreci başlatılabilir (Visa ve Mastercard için 120 günlük pencere geçerlidir); ancak offshore kumar işlemlerinde chargeback kabulünün düşük olduğu bilinmelidir — Visa Dispute Resolution Rules çerçevesinde yasadışı işlemde tüketici koruması zayıftır.
  4. Şifre, e-posta ve sosyal medya hesap güvenliği ayrıca denetlenmelidir; kart bilgisi sızıntısı çoğunlukla kapsamlı bir veri ihlalinin işaretidir.
  5. PCI-DSS ihlali şüphesi varsa BDDK ve KVKK Kurumu’na (kvkk.gov.tr) bilgi verilmesi önerilir.

Hesap donduysa (MASAK kararı geldi ise) süreç farklıdır. Öz savunma başarısız olma riski taşır; TCK 282 ve MASAK davaları uzman hukuki destek gerektirir. Türkiye Barolar Birliği (barobirlik.org.tr) aracılığıyla uzman avukatlığa ulaşmak mümkündür. Tüm banka dekontları, kart hareket dökümleri ve açıklamalar titizlikle arşivlenmelidir. Eş zamanlı klinik destek — ALO 182 (Yeşilay, 7/24 ücretsiz) ve YEDAM (yedam.org.tr) — bağımlılıkla ilişkili durumlarda paralel bir kurtarma yolu sunmaktadır.

Sonuç

Visa, Mastercard ve TROY kart şemalarının teknik gerçeği ve MCC 7995 bloğunun yapısallığı, offshore Türk pazarında kart kanalının niçin gerilediğini net biçimde ortaya koyuyor. Şimdi bir kez daha söylemek gerekiyor: Türkiye’de özel çevrimiçi kumar yasa dışıdır (7258 sayılı Kanun); banka kontrolleri bir engel değil, bireye yönelik yapısal bir koruma mekanizmasıdır. Kart bilgisinin offshore sitelere girilmesi phishing ve dolandırıcılık riski taşıdığı gibi, TCK 282 ve MASAK yaptırımlarına da zemin hazırlayabilir.

Dört temel başvuru noktası her zaman erişilebilir durumda: ALO 182 (Yeşilay, 7/24 ücretsiz) ve yedam.org.tr klinik destek için; siber.gov.tr kart sızıntısı bildirimi için; barobirlik.org.tr uzman avukat erişimi için; kvkk.gov.tr kişisel veri ihlali bildirimi için. Bağımlılık tedavi edilebilen bir beyin hastalığıdır; yardım almak güçlülüktür.