Olay, saldırganın 12 ve 13 Ağustos 2026 tarihlerinde DGFiP bilgi sistemlerine daha önce yetkisiz erişim sağladığını öne sürmesinin ardından kapsamlı biçimde incelenmeye başladı. Yapılan araştırmalar, yetkisiz erişimlerin Haziran ve Temmuz aylarında gerçekleştiğini ortaya çıkardı.
Saldırganlar sisteme nasıl erişti?
DGFiP tarafından açıklanan bilgilere göre olay, kurumun kamuya açık internet sitesindeki basit bir güvenlik açığının istismar edilmesinden ziyade yetkili hesap bilgilerinin kötüye kullanılmasıyla bağlantılı.
Saldırılarda bir DGFiP çalışanına ve sisteme erişim yetkisi bulunan üçüncü bir tarafa ait kimlik bilgilerinin ele geçirilerek kullanıldığı belirtildi.
Kurum, söz konusu yetkisiz erişimleri tespit ettikten sonra olaylarda kullanılan hesapların erişimini durdurdu. Ancak ilk kontroller sırasında saldırganların veri çıkardığı tespit edilemedi.
12 Ağustos'tan itibaren yürütülen daha ayrıntılı incelemeler ise durumun başlangıçta tahmin edilenden daha ciddi olduğunu ortaya koydu.
678 bin kişi ve işletmenin verileri etkilendi
DGFiP'nin soruşturması sonucunda saldırganların erişimleri kesilmeden önce toplam 678 bin birey ve profesyonele ilişkin bazı bilgileri görüntülediği ve dışarı aktardığı belirlendi.
Etkilenen veriler arasında özellikle vergi sistemlerinde bulunan hassas bilgiler dikkat çekiyor.
Yetkililerin açıklamasına göre olay kapsamında;
referans vergi geliri,
aile katsayısı,
gelir üzerinden kaynakta kesinti oranı,
işletmelerin ticari unvanları,
SIREN şirket kimlik bilgileri,
taşınmazların adresleri,
taşınmazların yüzölçümü gibi kadastro bilgileri
gibi verilerin görüntülenmiş veya dışarı aktarılmış olabileceği belirlendi.
Bu tür verilerin tek başına bir hesaba doğrudan erişim sağlamaması, olayın düşük riskli olduğu anlamına gelmiyor. Özellikle kişiye özel dolandırıcılık ve sosyal mühendislik saldırılarında gerçek verilerin kullanılması, sahte mesajların çok daha inandırıcı görünmesine neden olabiliyor.
Saldırı neden önemli?
Siber saldırılarda ele geçirilen verilerin değeri yalnızca parola veya kredi kartı numaralarıyla ölçülmüyor.
Bir saldırganın hedef kişinin vergi durumu, aile yapısı, adresi veya sahip olduğu gayrimenkullere ilişkin gerçek bilgilere ulaşması, son derece ikna edici phishing ve sosyal mühendislik saldırıları hazırlamasına yardımcı olabilir.
Örneğin saldırganlar, kendilerini vergi idaresi çalışanı olarak tanıtarak gerçek verilerden bazılarını mesaj içerisinde kullanabilir. Kullanıcı, mesajdaki bilgilerin doğruluğunu gördüğünde sahte bağlantıya veya ödeme talebine güvenmeye daha yatkın hale gelebilir.
Bu nedenle veri ihlalinin etkileri yalnızca olayın gerçekleştiği dönemle sınırlı kalmayabilir.
DGFiP, CNIL'i bilgilendirdi
Fransız vergi idaresi, veri hırsızlığının tespit edilmesinin ardından ülkenin veri koruma otoritesi CNIL'i olay hakkında bilgilendirdi.
DGFiP ayrıca olayla ilgili resmi şikâyette bulunacağını ve soruşturma ilerledikçe yeni bilgileri kamuoyuyla paylaşacağını açıkladı.
Siber olayın teknik incelemesinde Fransa'nın kamu kurumlarıyla birlikte ulusal siber güvenlik ekosisteminin de sürece dahil olduğu bildiriliyor.
Etkilenen kişiler doğrudan bilgilendirilecek
DGFiP, olaydan etkilendiği tespit edilen bireyler ve işletmelerle doğrudan iletişime geçileceğini açıkladı.
Bildirimlerin e-posta veya posta yoluyla yapılması ve kişilere hangi verilerinin görüntülenmiş ya da dışarı aktarılmış olabileceğine ilişkin bilgi verilmesi planlanıyor.
Gerekli görülmesi durumunda kullanıcıların alması gereken güvenlik önlemleri de bildirimlerde aktarılacak.
Phishing saldırılarına karşı dikkat
Veri ihlalinin ardından en önemli risklerden biri, ele geçirilen bilgilerin dolandırıcılık amacıyla kullanılması.
Özellikle Fransa'daki vergi mükelleflerinin önümüzdeki dönemde vergi iadesi, eksik ödeme, hesap doğrulama veya kişisel bilgilerin güncellenmesi gibi gerekçelerle gönderilen sahte e-posta ve SMS'lere karşı dikkatli olması gerekiyor.
Kullanıcıların mesajlarda bulunan bağlantılardan giriş yapmak yerine kamu kurumlarının resmi internet adreslerini doğrudan tarayıcıya yazarak ziyaret etmeleri daha güvenli bir yöntem.
Beklenmedik şekilde parola, ödeme veya kişisel bilgi isteyen mesajlara da şüpheyle yaklaşılması gerekiyor.
Fransa'nın vergi sistemleri 2026'da ikinci kez gündemde
DGFiP açısından olayın önemi, kurumun 2026 yılı içerisinde daha önce de ciddi bir veri güvenliği vakasıyla karşılaşmış olmasından kaynaklanıyor.
Şubat 2026'da Fransa'nın ulusal banka hesapları veritabanı FICOBA'ya yetkisiz erişim sağlandığı açıklanmıştı. Bu olayda yaklaşık 1,2 milyon banka hesabına ilişkin bilgilerin görüntülenmiş veya dışarı aktarılmış olabileceği belirtilmişti.
Ağustos ayında ortaya çıkan son olay ise farklı sistem ve veri türlerini kapsıyor. Dolayısıyla iki olayın birbirinden ayrılması gerekiyor.
Yaşanan son ihlal, kritik kamu altyapılarında yalnızca yazılım açıklarının değil, kimlik ve erişim yönetiminin de siber güvenliğin temel unsurlarından biri olduğunu bir kez daha gösteriyor.
Saldırganların geçerli bir kullanıcı hesabını ele geçirmesi durumunda geleneksel güvenlik kontrollerini aşabilmesi, çok faktörlü kimlik doğrulama, ayrıcalıklı erişim yönetimi, davranışsal analiz ve veri dışa aktarma kontrollerinin önemini artırıyor.
DGFiP tarafından yürütülen soruşturmanın devam etmesi nedeniyle olayın teknik ayrıntıları ve saldırganların erişiminin tam kapsamına ilişkin yeni bilgilerin önümüzdeki günlerde açıklanması bekleniyor.
TR Siber Ekibi