Elektronik imzada sahtecilik riski var mı? Nasıl korunulur?
3 dk okuma
Kısa cevap
Güvenli elektronik imzanın kendisini taklit etmek, kullanılan kriptografi nedeniyle pratikte mümkün değildir; belge imzadan sonra değiştirilirse doğrulamada ortaya çıkar. Asıl riskler başka yerdedir: imza resmi eklenmiş sahte PDF'ler, PIN'i ya da SMS kodu ele geçirilen hesaplar, imza yetkisi olmayan kişilerin attığı imzalar ve doğrulama yapılmadan kabul edilen belgeler. Bu risklere karşı en etkili önlem, gelen her belgeyi doğrulamak ve kimlik doğrulamasını işlemin önemine göre seçmektir.
Muhasebe birimine bir tedarikçiden e-posta geldi: "Banka hesabımız değişti, ekte imzalı yazımız var." PDF'in altında tedarikçinin genel müdürünün imzası ve bir "elektronik olarak imzalanmıştır" yazısı görünüyor. Ödeme yeni hesaba yapıldı. Sonra ortaya çıktı ki PDF'teki imza bir resimdi ve e-posta tedarikçiden gelmemişti. Bu senaryoda elektronik imza sahte değildi; çünkü ortada hiç elektronik imza yoktu.
Güvenli elektronik imza taklit edilebilir mi?
Pratikte hayır. Güvenli elektronik imza, imzacının nitelikli sertifikasına ait gizli anahtarla üretilir. Gizli anahtar mobil imzada SIM kartın, e-imza kartında kartın güvenli bölümündedir ve oradan dışarı çıkmaz. Bu anahtar olmadan aynı imzayı üretmek, kullanılan şifreleme yöntemleri nedeniyle pratikte mümkün değildir.
5070 sayılı Kanun'un 4. maddesi güvenli elektronik imzadan, imza sahibinin kimliğini belirlemesini ve imzalanmış veride sonradan değişiklik yapılıp yapılmadığını tespit etmeye imkân vermesini ister. Bu yüzden imzalı bir belgede tek karakter değiştirilse, doğrulama aracı belgenin değiştirildiğini gösterir.
Asıl riskler nerede?
Saldırganlar imzanın kendisini değil, imzanın etrafındaki zayıf noktaları hedefler.
| Risk | Nasıl olur? | Önlem |
|---|---|---|
| İmza görseli eklenmiş sahte PDF | Belgeye bir imza resmi ya da "e-imzalıdır" yazısı eklenir | Her belgeyi doğrulama aracında açın |
| Sahte gönderen | E-posta tanıdık bir kurumdan geliyormuş gibi görünür | Kritik talepleri bilinen kanaldan teyit edin |
| Ele geçirilen PIN | PIN kişinin yanında yazılı durur ya da paylaşılır | PIN'i kimseyle paylaşmayın |
| Kodun aldatılarak istenmesi | Biri arayıp "doğrulama kodunu söyler misiniz" der | Kodu kimseye söylemeyin |
| Yetkisiz imza | Gerçek kişinin gerçek imzası, ama şirketi bağlama yetkisi yok | İmza sirkülerini kontrol edin |
| Doğrulanmadan kabul | Belge açılır, imza paneline bakılmadan işleme alınır | Doğrulamayı süreç adımı yapın |
Tablodaki risklerin çoğu kâğıt imzada da vardır. Fark şudur: elektronik imzada her belge birkaç saniyede doğrulanabilir; ıslak imzada ise imzanın gerçek olup olmadığını anlamak çoğu zaman uzman incelemesi gerektirir.
Gelen belge nasıl kontrol edilir?
- Belgeyi bir PDF okuyucuda ya da doğrulama aracında açın ve imza panelini görün. Panelde imza yoksa belge elektronik imzalı değildir.
- İmzanın geçerli olduğunu, belgenin imzadan sonra değişmediğini ve imzacının adını kontrol edin.
- İmzacının, belgede imzacı olarak yazan kişiyle aynı olduğuna bakın.
- Banka hesabı değişikliği gibi kritik taleplerde, belge geçerli olsa bile talebi bildiğiniz bir telefonla teyit edin.
Doğrulama adımlarının ayrıntısını e-imzalı belge nasıl doğrulanır yazısında anlattık. Yetki kontrolü için şirket yetkilisi ve imza sirküleri yazısına bakabilirsiniz.
Kodla onayda riskler
SMS ya da e-posta koduyla verilen onay güvenli elektronik imza değildir; kimlik, kodun gittiği kanalla sınırlıdır. Bu yöntemi kullanırken riskleri azaltmak için:
- işlemin önemine göre kanal seçin; yüksek riskli işlemlerde iki kanal birden ya da kimlik kartıyla doğrulama isteyin,
- kodu tek kullanımlık ve kısa süreli tutun,
- çok sayıda hatalı denemede kodu kilitleyin,
- onay ekranında kodun kime ait olduğunu ve neyin onaylandığını açıkça gösterin.
Hukuki sonuç
Sahte belge düzenlemek ve kullanmak suçtur. Türk Ceza Kanunu'nun 207. maddesi bir özel belgeyi sahte olarak düzenleyen ya da gerçek bir özel belgeyi başkalarını aldatacak şekilde değiştirip kullanan kişiye bir yıldan üç yıla kadar hapis cezası öngörür; sahte özel belgeyi bilerek kullanan da aynı cezayı alır.
Platformu işleten taraf açısından ise KVKK'nın 12. maddesi, kişisel verilerin güvenliği için uygun teknik ve idari tedbirlerin alınmasını ister. Kimlik doğrulama kayıtlarının korunması bu yükümlülüğün bir parçasıdır.
yepp'te sahteciliğe karşı katmanlar
yepp'te her belgenin özeti gönderimden önce sabitlenir; alıcı yalnızca bu dondurulmuş sürümü görür ve onaylar ya da imzalar. Kodlar tek kullanımlık ve süreli, bağlantılar kişiye özeldir; çok sayıda hatalı denemede kod kilitlenir. Nitelikli imzada sertifika zinciri ve iptal durumu imza anında kontrol edilir.
Belgeye basılan doğrulama kodu, çıktısı alınmış bir belgenin gerçek kayıtla karşılaştırılmasını sağlar. Olay zinciri her kaydı bir öncekine bağlar; aradan kayıt silinirse ortaya çıkar. Ayrıntılar için delil paketi sayfasına bakabilirsiniz.
Sık sorulanlar
Biri benim mobil imzamla imza atabilir mi?
PIN'inizi bilmeden atamaz. Mobil imzada gizli anahtar SIM kartın içindedir ve yalnızca PIN girildiğinde imza üretir. Telefonunuz çalınsa bile PIN olmadan imza atılamaz. PIN'inizi kimseyle paylaşmayın ve telefonunuz kaybolursa operatörünüze haber verin.
SMS koduyla verilen onay daha mı kolay taklit edilir?
Kodla onayda kimlik, kodun gittiği telefonla sınırlıdır. SIM kart kopyalama ya da kodun telefonla aldatılarak istenmesi gibi riskler vardır. Bu yüzden yüksek riskli işlemlerde güvenli elektronik imza ya da kimlik kartıyla doğrulama tercih edilmelidir.
Sahte e-imzalı belge kullanmanın cezası nedir?
Türk Ceza Kanunu'nun 207. maddesi özel belgeyi sahte olarak düzenleyen ya da gerçek bir özel belgeyi başkalarını aldatacak şekilde değiştirip kullanan kişiye bir yıldan üç yıla kadar hapis cezası öngörür; sahte belgeyi bilerek kullanan da aynı cezayı alır. Elektronik belgeler de bu kapsamda değerlendirilebilir.
Kaynaklar
Son güncelleme . Bu yazı genel bilgi verir, hukuki görüş yerine geçmez.