Güven İhlali: Lihtenştayn ve Fransa’daki Siber Saldırılar Devlet Mali Veritabanlarının Kırılganlığını Nasıl Gözler Önüne Serdi?

2026 yılının ortasında, Avrupa'daki iki ayrı devlet mali siciline düzenlenen siber saldırılar, son derece hassas devlet verilerini açığa çıkardı. Biri Lihtenştayn'ın kara para aklamayı önleme şeffaflık siciline, diğeri ise Fransa'nın ulusal vergi veritabanına yönelikti. Bu iki olay birlikte, devlet mali kayıtlarının hem casusluk hem de suç amaçlı gasp için yüksek değerli ancak savunulması zor hedefler olduğu yönünde endişe verici bir tablo çiziyor.

Lihtenştayn Baskını: Şeffaflık Aracı Nasıl Bir Güvenlik Açığına Dönüştü?

Kimliği belirsiz bilgisayar korsanları, 29-30 Temmuz 2026 gecesi Lihtenştayn'ın Gerçek Faydalanıcılar Sicili'ne (VwbP) yetkisiz erişim sağladı ve şirketler, vakıflar ve tröstler de dahil olmak üzere yaklaşık 31.000 tüzel kişiliğe ait verileri kopyaladı . Bu sicil, kara para aklama ve terörizmin finansmanıyla mücadele için oluşturulmuş, tüzel kişiliklerin arkasındaki gerçek sahipleri ve kontrolü haritalandırmayı amaçlayan bir araçtır. Açığa çıkan veriler, prenslikte kayıtlı binlerce kurumsal yapının nihai olarak kimin mülkiyetinde veya kontrolünde olduğunu ortaya koyuyor .

Banka hesap seviyesinde bir veriye erişilmedi, ancak varlık yönetimiyle bilinen bir bölge için bu mülkiyet ve kimlik bilgileri oldukça hassastır . Saldırganların kimliği ise henüz tespit edilemedi .

İlk saldırıdan bir hafta sonra, Lihtenştayn Devlet İdaresi, KDV portalı (eMWST-Portal), Lides adli sistemi, merkezi hesap kaydı ve Intax vergi bilgi portalı dahil olmak üzere dört ek devlet mali sistemini daha çevrimdışına aldı. Bu kademeli müdahale, ihlalin başlangıçta bildirilenden daha geniş kapsamlı olabileceğini veya daha kapsamlı bir güvenlik önlemini tetiklediğini gösteriyor .

Fransa DGFiP Baskını: Ulusal Çapta Bir Kimlik Hırsızlığı

Kötü niyetli bir aktör, kimlik taklidi yaparak (çalıntı bir kimlik kullanarak dahili bir VPN'e ve mükellef arama aracına erişerek) Fransa'nın Kamu Maliyesi Genel Müdürlüğü (DGFiP) bilgi sistemine yetkisiz erişim sağladı . Saldırı Haziran 2026'nın sonunda gerçekleşti, ancak ihlal Fransa Ekonomi Bakanlığı tarafından ancak 13 Ağustos 2026'da doğrulanıp kamuoyuna duyuruldu .

Saldırgan, yaklaşık 393.000 kişi ve 286.000 profesyonel/şirketi etkileyen 678.438 vergi veri satırını ele geçirdiğini iddia ediyor . Açığa çıkan alanlar arasında isimler, adresler, doğum tarihleri, medeni durum, vergi kimlik numaraları, beyan edilen gelirler ve vergi oranları yer alıyor . Çalınan dosyanın internette birkaç bin euro karşılığında satışa sunulduğu bildiriliyor .

Fransız hükümeti, "gayrimeşru erişimi" ve verilerin görüntülenip kopyalandığını doğruladı. Ön soruşturmalar, erişimin tespit edildiği Haziran sonunda kesildiğini ancak verilerin daha önce kopyalanmış olduğunu gösteriyor . Bu, Fransa'nın 2026 yılındaki ikinci vergi verisi ihlali oldu .

Bu Olaylar Devlet Verilerinin Güvenlik Açığı Hakkında Ne Söylüyor?

Merkezi Veri, Tek Bir Başarısızlık Noktasıdır

Her iki ülke de hassas mali verilerini merkezi devlet sicillerinde (Lihtenştayn'da gerçek faydalanıcılık, Fransa'da mükellef kayıtları) toplamıştı. Bu durum onları son derece cazip hedefler haline getiriyor: Tek bir ihlal, binlerce kişi veya kuruluş hakkında istihbarat veya fidye amaçlı veri sağlıyor.

Kimlik Hırsızlığı Artan Bir Saldırı Vektörü

Fransa saldırısı, karmaşık bir kötü amaçlı yazılım yerine VPN erişimi için kullanılan kimlik hırsızlığı yoluyla başarılı oldu. Bu, geleneksel çevre güvenlik duvarlarının genellikle gözden kaçırdığı bir sosyal mühendislik yaklaşımıdır . Bu, saldırganların teknik engelleri aşmak yerine meşru erişim yollarını kullanmaya yöneldiğini gösteriyor.

Tespit ile Kamuoyuna Duyuru Arasındaki Fark Büyük

Fransa'daki saldırı Haziran sonunda gerçekleşti ancak ancak Ağustos ortasında kamuoyuna duyuruldu; bu altı haftadan uzun bir süre. Lihtenştayn saldırısı günler içinde tespit edildi, ancak bir hafta sonra dört ilgili sistemin daha kapatılması, ilk müdahalenin ihlali tamamen durdurmadığını gösteriyor .

Şeffaflık Kayıtları, Gizlilik Riski Yaratıyor

Lihtenştayn'ın sicili, kara para aklamayla mücadele için yasal bir şeffaflık aracıdır. Ancak gerçek amacı olan gerçek kişileri kurumsal yapılarla ilişkilendirme işlevi, bir veri sızıntısı durumunda meşru gizlilik beklentileri olan bireyleri doğrudan ifşa etmektedir . Aynı gerilim, vatandaşların tüm mali profillerini bir araya getiren Fransa'nın vergi veritabanı için de geçerlidir.

Küçük Devletler Daha Güvenli Değil

Lihtenştayn, oldukça dijitalleşmiş zengin bir finans merkezidir, ancak temel şeffaflık sicili görünüşte kolayca ihlal edildi. Bu saldırı, daha küçük yargı bölgelerinin sürekli tehdit izleme ve hızlı müdahale kapasitesinden yoksun olabileceğini ve finansal gizlilik merkezlerinin devlet ve suç aktörleri için birincil hedef olduğunu gösteriyor.