Fransa’nın vergi idaresi DGFiP, sistemlerine yetkisiz erişim sağlandığını doğruladı ve mükelleflere ait verilerin sızdırıldığı büyük bir veri ihlali yaşandığını resmen kabul etti. Basına yansıyan bilgilere göre yaklaşık 678.000 kişi etkilendi ve idare, etkilenen kişilerle tek tek iletişime geçiyor. Saldırgan sisteme çalıntı bir kimlik bilgisiyle girmiş.
Veri ihlalinde ne oldu?
Erişim Haziran 2026 sonunda gerçekleşti ve aynı dönemde tespit edildi. Saldırgan, ele geçirdiği bir kimlik bilgisiyle iç sunuculara ulaştı; buradan kurumun VPN’ine bağlanarak idarenin kendi iç arama aracını kullanmayı başardı. Yani olay, klasik bir "sistem açığı" senaryosundan çok, meşru bir hesabın kötüye kullanılması vakası.
Kendisini "ZeroBytes" olarak tanıtan saldırgan Ağustos ayı başında olayı kamuoyuna duyurdu. Fransız makamları veri ihlalini 14 Ağustos 2026‘da resmen doğruladı.
Hangi veriler etkilendi?
Saldırganın iddiasına göre sızdırılan bilgiler arasında şunlar yer alıyor:
- Ad ve diğer kişisel bilgiler
- Vergi kimlik numaraları
- E-posta adresleri
- Aile durumuna ilişkin bilgiler
- Vergi durumuna dair ayrıntılar (stopaj oranları dahil)
Önemli bir not: DGFiP, saldırganın mağdur sayısı ve veri kapsamına ilişkin iddialarını bağımsız olarak doğrulamış değil. Bu nedenle rakamlar farklı kaynaklarda 600.000 ile 678.000 arasında değişiyor.
Bu veri ihlali neden diğerlerinden daha ciddi?
Sızan verinin türü, olayın ağırlığını belirleyen asıl etken. Parola sızdığında değiştirebilirsiniz; ancak vergi kimlik numarası, aile durumu ve gelir düzeyi gibi bilgiler değiştirilemez.
| Sızan veri türü | Değiştirilebilir mi? | Başlıca risk |
|---|---|---|
| Parola | Evet | Hesap ele geçirme |
| E-posta adresi | Zor | Hedefli oltalama |
| Vergi kimlik numarası | Hayır | Kimlik hırsızlığı |
| Gelir / vergi durumu | Hayır | İnandırıcı dolandırıcılık senaryoları |
Asıl tehlike, bu bilgilerin birleştirilerek son derece inandırıcı dolandırıcılık mesajları üretilmesi. Gelirinizi, aile durumunuzu ve vergi numaranızı bilen bir "vergi dairesi" e-postası, sıradan bir oltalama denemesinden çok daha yüksek ihtimalle işe yarar.
Kurumun yanıtı
DGFiP, verisi etkilenen kişilerle bireysel olarak iletişime geçeceğini, hangi bilgilerin sızmış olabileceğini ve alınması gereken önlemleri ileteceğini açıkladı. İdare ayrıca suç duyurusunda bulunuyor ve Fransa’nın veri koruma otoritesi CNIL’i bilgilendiriyor.
Kurumlar için asıl ders: kimlik tabanlı saldırılar
Bu olayın teknik olarak en dikkat çekici yanı, ortada sömürülen bir yazılım açığı olmaması. Saldırgan sisteme geçerli bir kimlik bilgisiyle girdi ve kurumun kendi araçlarını kullandı. Güvenlik dünyasında bu yaklaşım giderek yaygınlaşıyor: dışarıdan duvarı delmek yerine, içeriye ait bir anahtarı ele geçirmek.
Bu tür saldırıların tespiti klasik yöntemlerle zor, çünkü yapılan işlemler teknik olarak "yetkili" görünür. Sistem, kötü niyetli bir davranışla meşru bir çalışanın davranışını ayırt edemez. Kurumların bu riski azaltmak için başvurduğu başlıca önlemler şunlar:
- Çok faktörlü doğrulama: Çalınan bir parola veya oturum çerezi tek başına yeterli olmasın. Özellikle VPN erişimi için zorunlu tutulması kritik.
- En az yetki ilkesi: Her hesabın yalnızca işini yapmaya yetecek kadar erişimi olsun. Bu olayda saldırganın iç arama aracına ulaşabilmesi, yetkinin gereğinden geniş olabileceğini düşündürüyor.
- Ağ segmentasyonu: VPN’e bağlanan bir kullanıcının tüm iç sunuculara erişebilmesi yerine, erişimin bölümlere ayrılması.
- Davranış anomalisi izleme: Bir hesabın olağandışı hacimde sorgu çalıştırması, alışılmadık saatte veya konumdan bağlanması gibi sinyallerin otomatik olarak işaretlenmesi.
- Toplu veri çekme sınırları: İç araçlarda tek seferde çekilebilecek kayıt sayısına üst sınır konması, bir veri ihlalinin etkisini büyük ölçüde küçültür.
Bu önlemler bir saldırıyı imkânsız hâle getirmez; amaç, saldırganın içeride kalabildiği süreyi ve ulaşabildiği veri hacmini azaltmaktır.
Tespit ile duyuru arasındaki süre neden önemli?
Bu olayda erişim Haziran sonunda tespit edildi, kamuoyu duyurusu ise Ağustos ortasında yapıldı. Aradaki yaklaşık altı haftalık süre, veri ihlallerinde sık tartışılan bir konu: kurumlar genellikle önce olayın kapsamını netleştirmek ister, ancak bu süre boyunca etkilenen kişiler kendilerini koruyacak adımları atamaz. Avrupa’da GDPR, denetim otoritesine bildirimi 72 saatlik bir pencereye bağlıyor; etkilenen kişilere bildirim ise "yüksek risk" durumunda gecikmeksizin yapılmalı. Fransız veri koruma otoritesi CNIL’in bu takvimi nasıl değerlendireceği, olayın devamında izlenecek başlıklardan biri.
Benzer bir durumda ne yapmalısınız?
Bu olay Fransa’da yaşandı; ancak aynı senaryo herhangi bir ülkedeki kamu kurumu veya özel şirket için geçerli olabilir. Verilerinizin sızdığını öğrendiğinizde izlenecek pratik adımlar:
- Bildirimin gerçek olduğunu doğrulayın. Veri ihlallerinin ardından, veri ihlalini bahane eden sahte "bilgilendirme" e-postaları yaygınlaşır. Kurumun resmi sitesine adresi elle yazarak girin, e-postadaki bağlantıya tıklamayın.
- Kurumun size asla sormayacağı şeyleri bilin. Hiçbir vergi idaresi e-posta veya SMS ile parola, kart bilgisi ya da tek kullanımlık kod istemez.
- Aynı e-postayı kullandığınız hesapları güçlendirin. Sızan e-posta adresiyle giriş yaptığınız servislerde parolayı değiştirin ve çok faktörlü doğrulamayı açın.
- Finansal hareketleri takip edin. Banka ve kredi hareketlerinizi birkaç ay boyunca normalden daha sık kontrol edin.
- Telefon dolandırıcılığına hazırlıklı olun. Sizi arayan kişi kişisel bilgilerinizi biliyor olabilir; bu, aramanın gerçek olduğu anlamına gelmez. Görüşmeyi kapatıp kurumu kendi bulduğunuz numaradan arayın.
- Kayıtlarınızı saklayın. Kurumun gönderdiği bildirimi ve yaptığınız işlemleri arşivleyin; ileride bir hak talebi gerekirse işinize yarar.
Genel gizlilik önlemleri
Bu tür olayların etkisini azaltmanın en pratik yolu, kişisel verilerinizin dağıldığı yüzeyi baştan daraltmak: her serviste farklı parola kullanmak, gereksiz hesapları kapatmak ve mümkün olduğunda çok faktörlü doğrulamayı açık tutmak. Çevrimiçi gizlilik konusunda temel kavramlar için VPN Nedir, Ne İşe Yarar? ve yapay zeka hesaplarınız özelinde hesap güvenliği kontrol rehberimiz başlangıç noktası olabilir.
Sık Sorulan Sorular
Veri ihlalinden kaç kişi etkilendi?
Basına yansıyan bilgilere göre yaklaşık 678.000 kişi etkilendi; saldırgan ise 600.000’in üzerinde kişi olduğunu iddia etmişti. DGFiP bu rakamları bağımsız olarak doğrulamış değil.
Veri ihlalinde saldırgan sisteme nasıl girdi?
Saldırgan ele geçirilmiş bir kimlik bilgisiyle iç sunuculara erişti, ardından kurumun VPN’ine bağlanarak iç arama aracını kullandı.
Veri ihlalinde sızan veriler arasında parola var mı?
Açıklanan veri türleri arasında parola yer almıyor; ad, vergi kimlik numarası, e-posta adresi, aile durumu ve vergi durumu bilgileri belirtiliyor.
Türkiye’deki kullanıcılar bu veri ihlalinden etkilenir mi?
Doğrudan hayır; olay Fransız vergi idaresini ilgilendiriyor. Ancak benzer saldırı yöntemi her ülkede geçerli olduğu için alınacak önlemler herkes için aynı.
Vergi kimlik numaram sızdıysa ne yapabilirim?
Bu numara değiştirilemediği için odak noktası izleme olmalı: finansal hareketleri düzenli kontrol etmek, kimliğinizle açılan hesaplara karşı dikkatli olmak ve inandırıcı görünen dolandırıcılık girişimlerine karşı temkinli davranmak gerekir.
Kaynak: The Record ve The Connexion, Ağustos 2026.
Bu veri ihlali Fransa dışındaki mükellefleri de kapsıyor mu?
Açıklamalarda etkilenen kayıtların Fransa’da vergi mükellefi olan kişilere ait olduğu belirtiliyor. Fransa’da gelir beyan eden yabancı uyruklular da bu kapsama girebiliyor; bu nedenle ülkede çalışmış ya da mülk sahibi olan kişilerin bildirimleri takip etmesi öneriliyor.
Bir veri ihlalinin ardından ilk 48 saatte ne yapılmalı?
İlk adım, ilgili kuruma ait resmî kanaldan bildirimin doğruluğunu teyit etmek. Ardından aynı parolanın kullanıldığı tüm hesaplarda parola değişikliği yapmak ve iki adımlı doğrulamayı devreye almak gerekiyor. Vergi ve banka hesaplarında olağan dışı işlem bildirimlerini açmak da erken uyarı sağlıyor.
Sızan verilerle en sık hangi dolandırıcılık yöntemi uygulanıyor?
En yaygın yöntem, veri ihlalini bahane eden hedefli kimlik avı mesajları. Saldırganlar sızan gerçek bilgileri kullanarak “resmî bildirim” görünümlü e-postalar gönderiyor ve kurbanı sahte bir siteye yönlendiriyor. Bu nedenle bağlantılara tıklamak yerine kurumun sitesine doğrudan girmek en güvenli yol.
