E-İmza Sahtekarlığı ve Korunma

2024–2025 döneminde kamuoyuna yansıyan ve Ankara Cumhuriyet Başsavcılığı tarafından yürütülen soruşturma, Mayıs 2026’da mahkûmiyet kararlarıyla sonuçlanan organize bir suç örgütünün e-imzayı nasıl kötüye kullandığını netleştirdi. Önemli nokta şudur: saldırganlar nitelikli elektronik imzanın kriptografik çekirdeğini kırmadı. Hedef, insan faktörü, kimlik doğrulama ve bayi süreçleriydi. Bu yazıda şebekenin teknik aşamalarını özetliyor; ardından İmzaOnay ürününün kurumsal ve bireysel kullanımda bu risklere karşı sunduğu somut çözümleri anlatıyoruz.

Neden “e-imza kırıldı” demek yanlış?

5070 sayılı Elektronik İmza Kanunu kapsamındaki güvenli elektronik imza, anahtarların akıllı kart / USB token içinde tutulması ve imzanın kriptografik olarak doğrulanabilir olması üzerine kuruludur. Bu olayda kırılan şey algoritma değil; sertifikanın kime verildiği ve o sertifikanın kim tarafından kullanıldığı denetimiydi. Bu yüzden kurumsal güvenlik, yalnızca “imza geçerli mi?” sorusuna değil, “bu imza gerçekten doğru kişi ve süreçle mi atıldı?” sorusuna da cevap vermelidir.

Organize suçun teknik aşamaları

1. Aşama: Kamu görevlilerinin bilgilerinin toplanması

Örgüt, BTK, YÖK, MEB ve çok sayıda üniversitede mezuniyet onayı, not değişikliği veya diploma basımı yetkisi taşıyan kritik personeli hedefledi. T.C. kimlik numarası, unvan, doğum tarihi gibi kimlik doğrulamada kullanılan kişisel veriler toplandı. Bu aşama, sonraki sahte kimlik üretiminin hammaddesini oluşturdu.

2. Aşama: Sahte kimlik kartları (sosyal mühendislik)

E-imza altyapısının kriptografik katmanını kırmak pratikte mümkün olmadığı için şebeke, zayıf halkaya yöneldi:

• Hedef kamu görevlilerinin bilgileriyle profesyonel sahte T.C. kimlik kartı ve sürücü belgesi basıldı,
• Kartlara, e-imza teslimatına gidecek kurye / örgüt üyelerinin fotoğrafları yerleştirildi.

Böylece bayide “görünen yüz” ile sistemdeki “kimlik kaydı” eşleştirilmeye çalışıldı; asıl kamu görevlisi süreç dışında bırakıldı.

3. Aşama: Yetkili bayilerden yasal e-imza çıkarılması (kritik nokta)

Sahte kimliklerle önde gelen ESHS’lerin Adana, Mersin, Hatay, Ankara, İstanbul gibi şehirlerdeki bayilerine başvuruldu. Personel, karşılarındaki kişiyi gerçek kamu görevlisi sanarak kimlik onayladı. Sonuç: onlarca kamu görevlisi adına (rektör, öğrenci işleri yöneticisi vb.) yasal olarak üretilmiş ancak şebekenin elinde olan nitelikli elektronik sertifikalar.

Bu aşama “sahte sertifika ürettiler” değil; yanlış kişiye gerçek sertifika verdiler demektir. Doğrulama motorları imzayı kriptografik olarak geçerli görebilir — çünkü sertifika gerçek ESHS’ten çıkmıştır.

4. Aşama: Sistemlere yetkisiz erişim ve veri manipülasyonu

Ele geçirilen e-imza token’larıyla üniversite ve YÖK sistemlerine “yetkili personel” kimliğiyle uzaktan giriş yapıldı:

• İz silme: Bazı üniversitelerde (ör. Yıldız Teknik Üniversitesi) kaydı silinmiş, dondurulmuş veya vefat etmiş eski öğrenci kayıtlarının temizlenmesi,
• Veri girişi / not değişimi: Hiç okula gitmemiş kişiler adına kayıt ve “başarılı” notlar,
• Resmi onay: Sahte mezuniyet ve diploma verilerinin ele geçirilen resmi e-imzalarla imzalanarak sistemde meşru görünmesi.

5. Aşama: e-Devlet entegrasyonu ve teslimat

Üniversite otomasyonları onaylı veriyi YÖKSİS ve e-Devlet’e aktardığı için, diplomayı satın alan kişiler e-Devlet’te hukuk, psikoloji, eczacılık, inşaat mühendisliği gibi branşlarda barkodlu / sorgulanabilir diploma görebildi. Aynı yöntemle MEB sistemleri manipüle edilerek çok sayıda sahte sürücü belgesi tanımlandığı da soruşturma kapsamında yer aldı.

Kurumlar için dersler

1. Sertifika sahibi ≠ işlem yapan kişi — Token çalınmış veya sahte kimlikle alınmış olabilir; ikinci faktör ve işlem onayı şarttır.
2. İmza geçerli ≠ işlem meşru — PKCS#7 / PAdES doğrulaması kriptografiyi doğrular; süreç ve yetki denetimi ayrı katmandır.
3. PIN ve cihaz ayrımı — PIN’in her zaman aynı güvensiz ortamda girilmesi riski artırır; alternatif onay kanalları ve oturum sınırları gerekir.
4. Doğrulama kültürü — Gelen imzalı dosya ve EYP paketleri rutin olarak bağımsız doğrulanmalıdır.

İmzaOnay’da yer alan çözümler

İmzaOnay, nitelikli e-imza ile belge imzalama, doğrulama ve kurumsal entegrasyonu tek ürün ailesinde toplar. Aşağıdaki özellikler, yukarıdaki saldırı modeline doğrudan veya dolaylı cevap üretir.

1) Web hesap 2FA

Web hesap Authenticator (TOTP), oturum açma ve web işlemleri öncesinde hesaba ikinci bir doğrulama ekler. Sertifikanın kendisinden bağımsızdır; web oturumunun ele geçirilmesini zorlaştırır.

2) Mobil imza onayı (push) — PIN ve sertifika seçimi telefonda

Profilde İmza yöntemi ile Desktop ve/veya Mobile seçilebilir. Mobile açıkken masaüstünde İmzala denildiğinde kayıtlı telefona onay isteği gider; sertifika seçimi ve PIN telefonda yapılır, imza yine PC’deki yerel agent ve takılı kart ile tamamlanır. PIN sunucuda düz metin tutulmaz; agent’a E2E şifreli iletilir.

Böylece PIN’in her zaman aynı güvensiz klavyede / paylaşılan PC’de girilmesi zorunluluğu kalkar; ikinci bir fiziksel cihaz (telefon) onay zincirine girer.

3) Yerel agent — anahtar ve kart PC’de kalır

İmzaOnay, tarayıcıdan yerel WebSocket ile çalışan e-imza agent’ı kullanır. Özel anahtar buluta çıkmaz; kart okuyucu ve PKCS#11 oturumu yerel makinededir. Kurumsal kurulum ve indirilebilir agent paketleri İndirme sayfasındadır.

4) İmza ve EYP doğrulama — “geçerli görünüyor” tuzağına karşı

Ele geçirilmiş gerçek sertifikayla atılmış imza kriptografik olarak geçerli çıkabilir. Bu yüzden gelen belgeleri bağımsız doğrulamak şarttır:

• E-İmzalı doküman doğrulama (CAdES / PAdES / XAdES),
• EYP dosyası doğrulama,
• E-yazışma / belge Id sorgusu.

Doğrulama; imza ağacı, sertifika, zaman damgası ve paket bütünlüğünü gösterir. Şüpheli diploma / resmi yazı iddialarında dosyanın kendisini yükleyerek teknik kanıt üretmek mümkündür.

5) Sertifika görünürlüğü ve bilinçli seçim

Sertifikalar ve imza anındaki sertifika seçim ekranı, hangi kartın / hangi nitelikli sertifikanın kullanıldığını şeffaf gösterir. Kurumsal süreçlerde “yanlış slot / yanlış kişi” riskini azaltmak için bilinçli seçim ve PIN onayı zorunludur.

6) Kurumsal API ve denetim izi

Toplu doğrulama ve entegrasyon için kurumsal API ve üyelik modeli sunulur. Uygulama logları ve istemci olay kayıtları, imza / doğrulama işlemlerinin izlenebilirliğine katkı sağlar — iç soruşturma ve uyum için kritik bir katmandır.

Pratik kontrol listesi (kurumlar)

• E-imza bayisi / ESHS süreçlerinde yüz yüze kimlik ve yetki belgesi denetimini güçlendirin; “kurye ile alım” politikalarını gözden geçirin.
• Kritik YÖKSİS / öğrenci işleri / diploma onay hesaplarında e-imza + uygulama 2FA + işlem logu zorunlu olsun.
• İmzaOnay’da web hesap 2FA’yı açın; mobil onay yöntemini ikinci kanal olarak tanımlayın.
• Gelen imzalı PDF / CAdES / EYP dosyalarını doğrulama araçlarıyla rutin kontrol edin.
• Personel ayrılışında e-imza iptali ve token iadesini insan kaynakları sürecine bağlayın.

Sonuç

2024–2025 e-imza sahtekarlığı vakası, teknolojinin “kırılmaz” sanılan kısımlarının değil; kimlik, bayi ve yetki yönetiminin hedef alındığını gösterdi. Kriptografi çalışmaya devam ederken, sahte kimlikle alınmış gerçek sertifika sistemi kandırabilir. İmzaOnay; yerel agent, web hesap 2FA, mobil PIN onayı ve bağımsız imza/EYP doğrulama ile hem güvenli imzalama hem de şüpheli belgeleri teknik olarak sorgulama imkânı sunar.

Hemen denemek için İmzala, belgeleri kontrol etmek için Doğrula, güvenlik ayarları için Profil sayfalarını kullanabilirsiniz.