Fransa DGFiP Veri İhlali: 678 Bin Mükellef ve Resmî Bulgular

Fransa Ekonomi Bakanlığının 14 Ağustos açıklaması, DGFiP ihlalinde 678.000 bireysel ve kurumsal mükellefe ait verilerin sorgulanıp çıkarıldığını bildiriyor. Bu sayı yalnızca saldırgan iddiası değildir. Vatandaş ve işletmelerin kullanıcı adı/parolalarının ve kendi çevrimiçi hesaplarının ele geçirilmediği belirtiliyor.

Veri ihlalinde ne oldu?

Bakanlık, Haziran–Temmuz erişimlerinde bir DGFiP çalışanının ve yetkili bir üçüncü tarafın kimlik bilgilerinin kötüye kullanıldığını bildiriyor. Erişimlerin kesilmesi, veri çıkarımının aynı anda anlaşıldığı anlamına gelmedi; kapsam 12 Ağustos sonrası incelemede belirlendi.

İlk kamuoyu iddiaları 12 ve 13 Ağustos’ta ortaya çıktı. 29 Eylül’de yayımlanan ANSSI raporu Mayıs–Ağustos faaliyetlerini ve iki veri çıkarımı kapsamını inceliyor; tek bir Haziran erişimi olayın tamamını anlatmıyor.

Hangi veriler etkilendi?

Resmî açıklamada vergi geliri, aile katsayısı ve stopaj oranları; işletmeler için şirket unvanı ve SIREN; ayrıca gayrimenkul adres ve yüzölçümü verileri yer alıyor. Her kaydın bütün alanları içerdiği varsayılmamalı.

İlk iddialarla daha sonraki resmî kapsamı ayırın.

Vergi Verilerinin Sızması Hangi Riskleri Doğurur?

Sızan verinin türü, olayın ağırlığını belirleyen asıl etken. Parola sızdığında değiştirebilirsiniz; ancak vergi kimlik numarası, aile durumu ve gelir düzeyi gibi bilgiler değiştirilemez.

Asıl tehlike, bu bilgilerin birleştirilerek son derece inandırıcı dolandırıcılık mesajları üretilmesi. Gelirinizi, aile durumunuzu ve vergi numaranızı bilen bir "vergi dairesi" e-postası, sıradan bir oltalama denemesinden çok daha yüksek ihtimalle işe yarar.

Kurumun yanıtı

DGFiP, verisi etkilenen kişilerle bireysel olarak iletişime geçeceğini, hangi bilgilerin sızmış olabileceğini ve alınması gereken önlemleri ileteceğini açıkladı. İdare ayrıca suç duyurusunda bulunuyor ve Fransa’nın veri koruma otoritesi CNIL’i bilgilendiriyor.

Kurumlar için asıl ders: kimlik tabanlı saldırılar

ANSSI; kimlik yönetimi, mimari ve tespit eksiklerini birlikte tanımlıyor. Kişisel cihazlarda kullanılan kimlik bilgilerinin çalınması ve hassas portallarda güçlü doğrulama eksikliği vurgulanıyor. İki veri çıkarımı dalgasının da güvenlik izleme araçlarıyla tespit edilmediği belirtiliyor.

Geçerli bir hesapla yapılan işlemler de anomali analiziyle şüpheli bulunabilir. Sorun, böyle davranışların ilke olarak ayırt edilememesi değildir; kayıt kapsamı, korelasyon ve müdahale süreçleri yetersiz kalabilir.

• Güçlü doğrulama: Hassas uzaktan erişimde mümkünse oltalamaya dayanıklı yöntem kullanın. MFA her çalınmış oturum belirtecini geçersiz kılmaz; oturum ve cihaz kontrolleri de gerekir.
• En az yetki ilkesi: Her hesabın yalnızca işini yapmaya yetecek kadar erişimi olsun. Bu olayda saldırganın iç arama aracına ulaşabilmesi, yetkinin gereğinden geniş olabileceğini düşündürüyor.
• Ağ segmentasyonu: VPN’e bağlanan bir kullanıcının tüm iç sunuculara erişebilmesi yerine, erişimin bölümlere ayrılması.
• Davranış anomalisi izleme: Bir hesabın olağandışı hacimde sorgu çalıştırması, alışılmadık saatte veya konumdan bağlanması gibi sinyallerin otomatik olarak işaretlenmesi.
• Toplu veri çekme sınırları: İç araçlarda tek seferde çekilebilecek kayıt sayısına üst sınır konması, bir veri ihlalinin etkisini büyük ölçüde küçültür.

Bu önlemler bir saldırıyı imkânsız hâle getirmez; amaç, saldırganın içeride kalabildiği süreyi ve ulaşabildiği veri hacmini azaltmaktır.

Tespit ile duyuru arasındaki süre neden önemli?

İhlali öğrenme zamanı, erişimin kesilmesi ve mükellefin bilgilendirilmesi ayrı tarihlerdir. CNIL 14 Ağustos bildirimi sonrası inceleme yaptığını açıkladı. Yalnızca basına duyuru tarihinden hareketle yasal bildirim süresinin ihlal edildiği sonucuna varılamaz.

Benzer bir durumda ne yapmalısınız?

Bu olay Fransa’da yaşandı; ancak aynı senaryo herhangi bir ülkedeki kamu kurumu veya özel şirket için geçerli olabilir. Verilerinizin sızdığını öğrendiğinizde izlenecek pratik adımlar:

1. Bildirimin gerçek olduğunu doğrulayın. Veri ihlallerinin ardından, veri ihlalini bahane eden sahte "bilgilendirme" e-postaları yaygınlaşır. Kurumun resmi sitesine adresi elle yazarak girin, e-postadaki bağlantıya tıklamayın.
2. Kurumun size asla sormayacağı şeyleri bilin. Hiçbir vergi idaresi e-posta veya SMS ile parola, kart bilgisi ya da tek kullanımlık kod istemez.
3. Hesaplarınızı kontrol edin. E-posta adresinizin açığa çıkması tek başına bütün parolalarınızın sızdığı anlamına gelmez. Yeniden kullanılan, sızdığı bilinen veya şüpheli giriş görülen parolaları değiştirin; güçlü doğrulamayı açın.
4. Finansal hareketleri takip edin. Banka ve kredi hareketlerinizi birkaç ay boyunca normalden daha sık kontrol edin.
5. Telefon dolandırıcılığına hazırlıklı olun. Sizi arayan kişi kişisel bilgilerinizi biliyor olabilir; bu, aramanın gerçek olduğu anlamına gelmez. Görüşmeyi kapatıp kurumu kendi bulduğunuz numaradan arayın.
6. Kayıtlarınızı saklayın. Kurumun gönderdiği bildirimi ve yaptığınız işlemleri arşivleyin; ileride bir hak talebi gerekirse işinize yarar.

Genel gizlilik önlemleri

Farklı hesaplarda farklı parola kullanın, kullanılmayan hesapları kapatın ve oturumları gözden geçirin. VPN, bir kurumdan sızmış kayıtları geri çekmez ve oltalama mesajını güvenilir yapmaz. Hesap güvenliği kontrol rehberi temel kontrolleri açıklar.

Sık Sorulan Sorular

Veri ihlalinden kaç kişi etkilendi?

Bakanlığın açıkladığı toplam 678.000 bireysel ve kurumsal mükellef kaydı kapsamıdır; kişi sayısı ile şirket sayısı ayrıntısını bu toplamdan çıkaramayız.

Veri ihlalinde saldırgan sisteme nasıl girdi?

Teknik nedenler için ANSSI’nin Eylül raporunu okuyun.

Veri ihlalinde sızan veriler arasında parola var mı?

Bakanlık, bireysel ve kurumsal mükelleflerin kullanıcı adı ve parolalarının ele geçirilmediğini belirtiyor; saldırıda kullanılan çalışan/üçüncü taraf kimliklerinden bunları ayırın.

Türkiye’deki kullanıcılar bu veri ihlalinden etkilenir mi?

Uyruk tek başına belirleyici değildir. Fransa’da vergi kaydı bulunan Türkiye vatandaşları da kurumdan gelen kişisel bildirimi kontrol etmelidir; kapsamı vatandaşlık üzerinden dışlamayın.

Vergi kimlik numaram sızdıysa ne yapabilirim?

Bu numara değiştirilemediği için odak noktası izleme olmalı: finansal hareketleri düzenli kontrol etmek, kimliğinizle açılan hesaplara karşı dikkatli olmak ve inandırıcı görünen dolandırıcılık girişimlerine karşı temkinli davranmak gerekir.

Kaynak: The Record ve The Connexion, Ağustos 2026.

Bu veri ihlali Fransa dışındaki mükellefleri de kapsıyor mu?

Açıklamalarda etkilenen kayıtların Fransa’da vergi mükellefi olan kişilere ait olduğu belirtiliyor. Fransa’da gelir beyan eden yabancı uyruklular da bu kapsama girebiliyor; bu nedenle ülkede çalışmış ya da mülk sahibi olan kişilerin bildirimleri takip etmesi öneriliyor.

Bir veri ihlalinin ardından ilk 48 saatte ne yapılmalı?

İlk adım, ilgili kuruma ait resmî kanaldan bildirimin doğruluğunu teyit etmek. Ardından aynı parolanın kullanıldığı tüm hesaplarda parola değişikliği yapmak ve iki adımlı doğrulamayı devreye almak gerekiyor. Vergi ve banka hesaplarında olağan dışı işlem bildirimlerini açmak da erken uyarı sağlıyor.

Sızan verilerle en sık hangi dolandırıcılık yöntemi uygulanıyor?

En yaygın yöntem, veri ihlalini bahane eden hedefli kimlik avı mesajları. Saldırganlar sızan gerçek bilgileri kullanarak “resmî bildirim” görünümlü e-postalar gönderiyor ve kurbanı sahte bir siteye yönlendiriyor. Bu nedenle bağlantılara tıklamak yerine kurumun sitesine doğrudan girmek en güvenli yol.

Kaynaklar ve İleri Okuma

• Fransa Ekonomi Bakanlığı: 14 Ağustos resmî açıklaması
• DGFiP: Güncel mükellef bilgi sayfası
• ANSSI: 29 Eylül olay raporu açıklaması
• CNIL: İhlale ilişkin inceleme

İlgili Yazılar

• Yapay zekâ hesabı güvenlik kontrolü