Fransa’nın Vergi Verileri Sızıntısı Yedi Hafta Boyunca Gizli Kaldı

Fransız vergi idaresinin yüz binlerce mükellef ve işletmeye ait hassas verilerinin çalındığı büyük bir siber saldırı, ilk ihlalin üzerinden yedi hafta geçmesine rağmen fark edilmedi. Haziran ve temmuz aylarında gerçekleşen bu sızıntı, kurum çalışanlarına ait çalınmış parolaların kullanılmasıyla mümkün oldu. Ülkenin ulusal siber güvenlik ajansı ANSSI’nin raporuna göre, saldırının karmaşık olmaktan ziyade, sistemdeki temel güvenlik zafiyetlerinden kaynaklandığı ortaya çıktı. Bu durum, kamu kurumlarının dijital altyapılarındaki güvenlik açıklarına dair ciddi soruları gündeme getiriyor ve modern siber tehditler karşısında siber güvenlik olgunluğunun ne kadar kritik olduğunu çarpıcı bir şekilde ortaya koyuyor. Yedi hafta boyunca fark edilmeyen bir ihlal, saldırganlara sistemde derinlemesine hareket etme ve çok daha geniş çaplı veri toplama imkanı tanır ki bu da olay yanıt süreci açısından büyük bir zafiyettir.

Sızıntının Boyutu ve Etkilenen Veri Kapsamı

Fransa’nın Vergi ve Kamu Hesapları Genel Müdürlüğü (DGFIP) tarafından yapılan açıklamaya göre, siber saldırıdan yaklaşık 350.000 bireysel mükellef ve 250.000’den fazla işletme etkilendi. Çalınan veriler, doğrudan mükelleflerin çevrimiçi hesaplarının veya parolalarının ele geçirilmesiyle değil, kurum içi erişim sistemleri üzerinden alındı. Bu durum, siber saldırganların hedefine ulaşmak için farklı bir vektör kullandığını gösteriyor; yani iç sistemlere sızarak veritabanlarından veya uygulama arayüzlerinden toplu veri çekme yolunu tercih ettikleri anlaşılıyor.

Bireysel mükellefler için, vergi kimlik numarası, iletişim bilgileri, aile durumu, referans vergilendirilebilir gelir ve vergi tevkifat oranı gibi bilgiler risk altında kaldı. Bu tür kişisel veriler, kimlik hırsızlığı, hedefli oltalama (spear phishing) saldırıları ve finansal dolandırıcılık gibi kötü niyetli faaliyetler için saldırganlara çok değerli araçlar sunar. Örneğin, bir kişinin vergi kimlik numarası ve aile durumu bilgisi, sahte kredi başvuruları veya yetkisiz finansal işlemler için kullanılabilir. Ayrıca DGFIP ile yapılan mesajlaşmaların listesi de ele geçirilmiş olabilir. Çok daha az sayıda, yaklaşık 250 kişi için ise mesaj içeriklerinin de görüntülendiği veya kopyalandığı iddia ediliyor.

İşletmeler açısından bakıldığında, şirket adı, SIREN kayıt numarası, adres ve mesajlaşmaların temel detayları sızdırılan bilgiler arasında yer alıyor. Bu bilgiler, rakipler tarafından istihbarat toplama, tedarik zinciri saldırıları veya işletmelere yönelik daha sofistike siber saldırılar için zemin hazırlayabilir. Şirketlerin finansal durumları hakkında ipuçları içeren mesajlaşmaların sızdırılması ise piyasa manipülasyonu veya itibar kaybı gibi daha ciddi sonuçlara yol açabilir. 2.076’dan az işletmenin mesaj içeriklerinin de görülmüş olabileceği belirtiliyor. Bu geniş kapsamlı veri çalımı, hem bireyler hem de şirketler için önemli gizlilik ve güvenlik endişeleri yaratıyor.

Saldırı Yöntemleri ve Güvenlik Zafiyetleri

ANSSI’nin incelemeleri, saldırının temelinde zayıf oturum açma korumalarının, kötü ayrılmış ağ yapılarının ve izleme sistemlerindeki boşlukların yattığını gözler önüne seriyor. Zayıf oturum açma korumaları, genellikle karmaşık olmayan parolaların kullanımını, parola politikalarının yetersizliğini ve özellikle de çok faktörlü kimlik doğrulamanın (MFA) yaygın olarak uygulanmamasını ifade eder. Bu durum, çalınan parolaların kolayca kötüye kullanılmasına zemin hazırlar.

Saldırganlar, DGFIP personelinin çalınan düzinelerce parolasını kullanarak sisteme sızmayı başardı. Bu parolaların, büyük olasılıkla kurum tarafından yönetilmeyen, çalışanların kişisel cihazlarına bulaşan bilgi hırsızı (infostealer) yazılımlar aracılığıyla ele geçirildiği düşünülüyor. Infostealer yazılımlar, genellikle e-posta ekleri, sahte web siteleri veya crack’li yazılımlar aracılığıyla yayılır ve kurbanın tarayıcılarında kayıtlı parolaları, oturum çerezlerini ve diğer hassas bilgileri toplamak üzere tasarlanmıştır. Bu tür bir enfeksiyon, kurumsal ağ dışındaki zayıf kişisel cihaz güvenliğinin, kurumun genel güvenliğini nasıl riske atabileceğinin çarpıcı bir örneğidir.

Rapora göre, saldırganlar sisteme iki ayrı yoldan giriş yaptı. İlk erişim, mayıs ayının başlarında şüpheli oturum açma girişimleriyle başladı ve DGFIP’in mükelleflerle mesajlaşmak için kullandığı E-Contact aracına kadar ulaştı. PIGP ve ADER gibi iki kritik portal, yalnızca parola girişi gerektirdiği için çalınan parolalar doğrudan erişim sağladı. PIGP, DGFIP personelinin e-posta ve insan kaynakları hizmetleri için kullandığı bir web portalı iken, ADER, Fransız hükümet bakanlıklarını birbirine bağlayan RIE ağı üzerinden belirli DGFIP uygulamalarına erişim sağlıyor. RIE ağı (Réseau Interministériel de l’État), bakanlıklar arası güvenli iletişim ve veri paylaşımı için tasarlanmış kritik bir altyapıdır. Saldırganlar, RIE ağına bağlı olan Eğitim Bakanlığı sistemlerini tehlikeye atarak RIE’ye ulaştı. Bu durum, kurumlar arası ağ bağımlılıklarının potansiyel güvenlik risklerini ve bir kurumdaki zafiyetin diğerlerine nasıl sıçrayabileceğini açıkça ortaya koyuyor.

Yetkisiz Erişim Kanalları ve Ağ Mimarisi Eksiklikleri

Siber güvenlik uzmanları, saldırının en kritik detaylarından birinin, DGFIP’in hassas uygulamalarının RIE ağının geri kalanından yeterince izole edilmemiş olması olduğunu belirtiyor. Ağ segmentasyonu eksikliği, saldırganların bir ağ bölümünden diğerine yatay hareket (lateral movement) etmesini kolaylaştırır. Bu, sanki bir binadaki tüm kapıların anahtarsız açılabilir olması gibidir; bir odaya giren kişi, tüm binaya erişim sağlayabilir. Hassas verileri barındıran sistemlerin, sıkı güvenlik kontrolleri olan ayrı VLAN’larda veya mikro segmentlerde tutulması, bu tür riskleri önemli ölçüde azaltır.

Dahası, saldırganların kullandığı hesapların özel ayrıcalıklara sahip olmamasına rağmen, bu kadar büyük miktarda veriye erişebilmesi, kullanıcı hakları yönetimindeki ciddi eksiklikleri işaret ediyor. En Az Ayrıcalık Prensibi (Principle of Least Privilege), bir kullanıcının veya sistemin yalnızca görevini yerine getirmek için ihtiyaç duyduğu minimum ayrıcalıklara sahip olması gerektiğini belirtir. Bu olayın gösterdiği gibi, DGFIP’in sistemlerinde bu prensibin yeterince uygulanmadığı ve saldırganların düşük ayrıcalıklı hesaplarla bile geniş veri setlerine ulaşabildiği anlaşılmaktadır. ANSSI’nin raporu bu aşamada kullanıcı hakları yönetimine odaklanmasa da, bu konunun gelecekteki güvenlik denetimlerinde önemli bir yer tutacağı aşikar.

Saldırganların ikinci erişim yolu ise tapu kayıt verilerine ulaştı ve noterler ile arazi eksperleri gibi ortaklar için kullanılan APEX portalı üzerinden gerçekleşti. Bu durum, kurum dışı ortak erişim noktalarının da siber güvenlik stratejilerinde ne denli hayati önem taşıyor olduğunu gösteriyor. Üçüncü taraf risk yönetimi, kurumun kendi siber güvenlik duruşu kadar, işbirliği yaptığı veya hizmet aldığı dış kuruluşların güvenlik seviyelerinin de düzenli olarak denetlenmesini gerektirir. Tedarik zinciri saldırıları, bu tür zayıf dış bağlantılar aracılığıyla gerçekleşen en yaygın saldırı vektörlerinden biridir. İlgili bakanlığın başlangıçta saldırının karmaşıklığına dikkat çekerek farklı bir açıklama yapması, ANSSI’nin daha derinlemesine inceleme talebini haklı çıkardı. Başbakan Sébastien Lecornu’nun ANSSI’den kapsamlı bir denetim talep etmesi, olayın ciddiyetinin devlet katında da kabul edildiğini ortaya koyuyor.

Dijital Güvenlikte Alarm Zilleri: Kurumlar Ne Yapmalı?

Fransa’daki bu olay, yalnızca bir ülkenin vergi idaresini değil, dünya genelindeki tüm kamu kurumlarını ve büyük ölçekli işletmeleri yakından ilgilendiriyor. Bu tür sızıntılar, siber güvenlik yatırımlarının artırılması ve en temel güvenlik prensiplerine sıkı sıkıya uyulması gerektiğini bir kez daha gösteriyor. ANSSI raporunun işaret ettiği gibi, gelişmiş saldırı tekniklerinden ziyade, zayıf parolalar, yetersiz ağ segmentasyonu ve eksik izleme mekanizmaları gibi basit hatalar dahi yıkıcı sonuçlara yol açabiliyor. Bu nedenle, proaktif ve katmanlı bir güvenlik yaklaşımı benimsemek zorunluluktur.

Kurumların, personel eğitimlerine yatırım yapması, çok faktörlü kimlik doğrulama sistemlerini zorunlu kılması, ağlarını hassasiyet seviyelerine göre titizlikle segmentlere ayırması ve güvenlik günlüklerini sürekli izlemesi hayati önem taşıyor. Personel eğitimleri, çalışanları oltalama (phishing) saldırılarına karşı bilinçlendirmeli, güvenli parola kullanımını teşvik etmeli ve şüpheli durumları raporlama kültürü oluşturmalıdır. Çok faktörlü kimlik doğrulama (MFA), parolaların çalınması durumunda bile yetkisiz erişimi büyük ölçüde engeller; biyometrik doğrulama, donanım belirteçleri veya zaman tabanlı tek kullanımlık parolalar (TOTP) gibi yöntemler kullanılabilir. Ayrıca, ağ segmentasyonu, saldırganların ağ içinde yatay hareketini kısıtlayarak kritik sistemlere ulaşmasını zorlaştırır ve böylece bir ihlalin genel etkisini azaltır.

Ayrıca, üçüncü taraf erişim noktalarının ve ortak portalların da aynı titizlikle denetlenmesi, siber güvenlik zincirinin en zayıf halkalarının güçlendirilmesi açısından kritik. Veri sızıntılarının tespit süresini kısaltmak için proaktif tehdit avcılığı ve gelişmiş anomali tespit sistemleri entegrasyonu da göz ardı edilmemeli. Tehdit avcılığı (Threat Hunting), güvenlik ekiplerinin sistemlerde henüz tespit edilmemiş kötü niyetli faaliyetleri aktif olarak araması anlamına gelirken, anomali tespit sistemleri ise normalin dışındaki davranışları belirleyerek potansiyel tehditleri otomatik olarak işaretler. Bu olay, dijital dünyada veri güvenliğinin bir lüks değil, her kurum için mutlak bir zorunluluk olduğunu bir kez daha hatırlatıyor ve sürekli bir adaptasyon gerektirdiğini vurguluyor.