Baba, 9 yaşındaki oğlunun kayıtlı şirket kartından 118.000 dolarlık YouTube reklam ücreti çıkardığını söylüyor

Ne oldu

Tom's Hardware'ın haberine göre, yalnızca "Dave" adını kullanan bir baba, dokuz yaşındaki oğlunun yaklaşık üç hafta içinde YouTube reklamlarına kabaca 118.000 dolar harcadığını söylüyor; tüm ödemeler, Dave'in kendi Google hesabına kaydettiği — oğlunun da kullandığı — bir şirket kredi kartına yansımış.

Dave olayı, 15 Eylül'de çocuğun Minecraft ve Roblox oynanış videolarını yayınladığı kanala yüklediği "Message from Dad…Mighty Mike Plays is Over" başlıklı videoda anlattı. Anlattığına göre ilk kötü haber iş yerindeki bir toplantıda gelmiş; müdürü, kurumsal personel ve finans departmanı ona ödemeleri madde madde göstermiş. Plan, görünüşe göre çocuğun videolarından birine yalnızca 20 dolarlık tek seferlik bir tanıtım yapmakmış.

20 dolarlık tanıtım nasıl altı haneye ulaşıyor

Haber, harcamanın nasıl bu kadar büyüdüğünü tam olarak açıklamıyor; ancak olayın seyri self-servis reklacılıkta tanıdık bir örüntü izliyor. Kart bir kez kaydedildiğinde, reklam platformu kampanyalar devam ettiği sürece karttan tahsilata devam eder; bütçe tükendikçe her seferinde yeniden yetkilendirme, kart bilgilerini yeniden girme ya da banka onayı söz konusu değildir. Hiç durdurulmayan bir kampanya harcamaya devam eder. Kabaca üç haftaya yayılan 118.000 dolar, ortalama günde 5.000 dolardan fazla demek.

YouTube'un tanıtım araçları tasarımı gereği self-servis: kayıtlı ödeme yöntemi olan bir hesaba erişimi olan herkes dakikalar içinde kampanya başlatabilir. Platformun kontrolleri hesabın ödeme yapabildiğini doğrular, klavye başındaki kişinin o kartın parasını harcamaya yetkili olup olmadığını değil.

Üst üste binen üç hata

Hikâye tek bir dalgın tıklamadan çok, birbirini büyüten zayıf noktalar zinciri hakkında.

İlki kimlik bilgisi paylaşımı. Çocuk, babasının Google hesabını denetimli bir çocuk profili yerine kullandı. Satın alma onayı isteme gibi aile özellikleri yalnızca çocuk gerçekten denetimli bir hesap kullandığında işler; çocuk bir yetişkinin hesabına girdiğinde hiçbir işe yaramaz.

İkincisi kayıtlı ödeme yöntemi. Kartı kaydetmek, ödeme yetkilendirmesini işlem başına alınan bir karardan tek seferlik bir olaya dönüştürür; sonrasında her şey onaylanmış sayılır.

Üçüncüsü ise kişisel bir tüketici hesabına park edilmiş kurumsal kart. Kişisel bir Google profiline kaydedilen şirket ödeme bilgileri normal şirket kontrollerinin dışında kalır ve kurumsal kart ekstreleri ancak ayda bir incelenir — bu da Dave'in işvereninde birilerinin faaliyeti farklamadan geçen yaklaşık üç haftalık gecikmeyle tutarlı.

Neden önemli

Hacker News'te görünerek geniş ilgi çeken olay, bir ödeme yöntemini yetkilendirmek ile her ödemeyi ayrı ayrı yetkilendirmek arasındaki boşluğu gözler önüne seriyor. Kayıtlı kimlik bilgileri bu boşluğu normal kullanımda görünmez, anormal kullanımda ise felaket boyutuna getiriyor.

Ebeveynler için pratik ders şu: denetim araçları yalnızca çocuklar kendi hesaplarını kullandığında işler; bir ebeveynin girişini paylaşmak onları sessizce devre dışı bırakır. İşverenler içinse bu, şirket kartlarının kolaylık olsun diye kişisel hesaplara asla kaydedilmemesi gerektiğinin bir hatırlatması. Platformlar içinse soru daha zor: self-servis reklam sistemleri yeni kampanyalara harcama limitleri, doğrulama adımları veya anormallik uyarıları getirebilir; ama bu tür engeller dönüşüm oranına ters.

ABD düzenleyicileri daha önce Apple ve Amazon'u çocukların yaptığı yetkisiz uygulama içi satın alımları iade etmeye zorlamıştı; ancak reklam harcaması daha belirsiz bir alanda, çünkü para hesap sahibinin nominal olarak kontrol ettiği bir hizmeti satın aldı. Haberde ödemelerin itiraz edilip edilmediği ya da Google'dan müdahale istenip istenmediği belirtilmiyor ve tüm rakamlar babanın kendi anlatımından geliyor. Tartışma dışı olan tek şey, buna izin veren mimarinin — paylaşılan bir giriş, kayıtlı bir kart ve sonu açık bir faturalandırma ilişkisi — tamamen sıradan olduğudur.