Sorun hangisi; E-imza kopyalama, siber saldırı, sahte kimlik dolandırıcılığı mı?

Son günlerde kamuoyunda tartışılan e-imza odaklı olaya yönelik gelişmeleri izliyoruz. Adım adım konuyu açıklamaya çalıştım.

Nasıl bir durumla karşı karşıyayız?

Resmi kaynaklara göre doğru tanım, “sah­te kimlik ve belgelerle e-imza üretici şirketlere başvuru yapılması” şeklinde açıklanmakta. Olay sahte kimlik belgeleriyle e-imza başvuru yoluyla gerçekleşmiştir.

Yani bir altyapı ihlali ya da veri sızıntısı değil; kimlik doğrulama süreçlerinin kötüye kullanıl­masıyla yapılan organize bir sahtecilik. Prosedür ve mevzuat boşlukları kandırılarak yanlış kişiye yeni e-imza sertifika ürettirilmiş.

E-imza nerelerde kullanılıyor?

E-imza; kurum içi yazışmalar, ihale/teklif, sözleşme onayı, resmî başvuru-cevap gibi bel­ge ve işlem onayı gerektiren akışlarda kullanıl­makta. Kapalı kurumların sistemlerine “kulla­nıcı girişi” çoğu yerde yalnızca e-imza ile yapıl­maz; bu sistemler ayrıca rol-yetki kontrolü, ağ/ IP kısıtları, ikinci doğrulamalar gibi katmanlar çalıştırır. E-imza, “bu işlemi şu kişi, şu zamanda şu kişi yaptı” bilgisini hukuken ispatlayan anah­tar işlevi görür.

E-imza sistemi nasıl çalışır?

BTK’dan yetkili ESHS’lerce verilir. Birey­sel sertifikada yalnızca T.C. kimlik numarası ve ad-soyad bulunur; görev/ünvan yazılmaz. ESHS, başvuru sahibinin hangi kurumda hangi yetkiy­le işlem yapacağını bilmez, yönetmez; bu yetkiler e-imza ile işlemin yapılacağı ilgili kurumun ya­zılımında kurallar ve prosedürler ile tanımlanır. Başvuru, resmi kimlik belgeleriyle yapılır; e-im­za, SIM kart boyutunda bir akıllı kart ve USB oku­yucuyla teslim edilir. Kullanıcı, PIN koduyla bel­geleri imzalar.

E-imza kopyalanabilir mi?

Hayır. Akıllı kartlar, asimetrik şifreleme ve do­nanım tabanlı güvenlik modülleri (HSM) ile ko­runur; özel anahtar akıllı kartın güvenli elema­nında kartın içinde üretilir, dışarı çıkarılamaz ve çoğaltılamaz. İmza sırasında belgenin özeti kar­ta gönderilir; kart içindeki kripto işlemci imzayı oluşturur ve sadece imza sonucu geri döner. ES­HS sistemlerinde kullanıcıya ait özel anahtarın ikinci bir nüshası tutulmaz. Kartlar PIN deneme sayısı sınırlıdır; çoklu yanlış denemede kilitlenir. Bu da veri sızıntısını teknik olarak imkansız kılar.

Kırılma noktası kimlik doğrulama zinciri mi?

Kimlik doğrulama kimlik belgesi ile yapılır. Ka­yıt otoritesi uygunluk verirse sertifika üretilir. Kart/okuyucu teslim edilir.

Uzaktan Kimlik Doğrulama iki temel yöntem “Kimlik kartı + PIN ve e-Devlet / mobil bankacı­lık onayı” ile yapılıyor.

İstismar tam da ikinci adımda yaşanmış. Ger­çek bir kişinin T.C. kimlik numarası ve adı, sahte fotoğraflı evrak ile birleştirilerek başvuru yapıl­mış; böylece kayıt aşaması yanıltılmıştır.

Ne değişti, hangi tedbirler devrede?

BTK, Ekim 2024’ten itibaren yüz yüze kimlik doğrulamasını kaldırarak elektronik yöntemlere geçmiş, sahte e-imzaların iptali ve denetimlerin sıkılaştırılması için ek talimatlar verilmiş, YÖK ve MEB, kendi sistemlerindeki sahte kayıtları te­mizlemek için denetimlerini artırmıştır. Ağustos 2024’te şüpheli işlemlerin fark edilmesiyle tespit edilen sahte e-imzaları mahkeme kararlarıyla ip­tal edilmiş.

E-imza sağlayıcıları bu akışlara canlılık tespi­ti (liveness) ve yüz karşılaştırma gibi biyometrik adımlar ekleyerek “başvuran kişi gerçekten ken­disi mi?” sorusunu ikinci kanaldan doğrulamak­ta. 5 Mayıs 2025’ten bu yana, bir kişi adına e-imza başvurusunda kayıtlı tüm hatlara bilgilendirme SMS’i gönderiliyor. 6 saatlik güvenlik süresi baş­lıyor. Bu süre, kişinin bilgisi dışındaki başvurula­rı fark edip sağlayıcıya, kuruma bildirmesine im­kân veriyor; sahte işlem durumunda bu aralıkta askıya alınabiliyor.

Vatandaş nelere dikkat etmeli?

e-Devlet’te adınıza düzenlenmiş sertifikala­rı düzenli kontrol edin, “Adınıza e-imza başvu­rusu yapıldı” içerikli SMS size ait değilse derhâl ESHS’nize ve BTK’ya bildirin, onay ekranlarını aceleyle kabul etmeyin; neyi onayladığınızı oku­yun, şüpheli durumda ESHS’den işlem dökümü­nü alın, savcılığa başvurun.

Son söz ve işbirliği çağrısı:

Bu olay, kriptografinin değil, süreç tasarımı­nın sınandığı bu zincirde insan ve süreç kaynaklı zafiyet olduğunu göstermiştir. Dijital egemenliği korumak için devlet kurumları, STK’lar, üniver­siteler ve özel sektör işbirliği yapmalıyız. Bazı gö­revler de STK’lara delege edilmeli.