Bilgi Teknolojileri ve İletişim Kurumu (BTK), elektronik imza (e-imza) veri tabanına yönelik bir siber saldırı sonucu veri ihlali yaşandığına dair iddiaların tamamen asılsız olduğunu duyurdu. BTK’nın sosyal medya hesabından yapılan açıklamada, konuya ilişkin bazı haber kaynaklarındaki iddialara işaret edilerek, kamuoyunu doğru bilgilendirmek amacıyla bu açıklamanın yapıldığı belirtildi.
Açıklamada, Türkiye’de kullanılan tüm e-imzaların, BTK tarafından yetkilendirilen sekiz Elektronik Sertifika Hizmet Sağlayıcısı (ESHS) aracılığıyla üretildiği, kurumun ilgili kanunlar kapsamında ESHS’leri denetleme ve sektörü düzenleme yetkisine sahip olduğu vurgulandı. Her bir “Nitelikli Elektronik Sertifika”nın, uluslararası güvenlik standartlarına uygun kriptografik algoritmalarla şifrelenmiş şekilde, yalnızca sertifika sahibinin elindeki USB e-imza cihazında bulunduğu aktarıldı.
E-imza sisteminde, kullanıcıların PIN kodları veya herhangi bir kişisel verisinin BTK bünyesinde kesinlikle tutulmadığı net bir şekilde ifade edildi. ESHS’lerin ise sadece başvuru esnasında sunulan kişisel verilere sahip olduğu belirtilirken, bu nedenle sertifika veya PIN kodu bilgilerinin merkezi bir veri havuzundan çalınması ya da bu tip bir veri sızıntısının yaşanmasının teknik olarak mümkün olmadığı kaydedildi. Ayrıca, Türkiye’deki tüm e-imza bilgilerinin (BTK ya da e-Devlet Kapısı dahil) toplu halde herhangi bir veri havuzunda barındırılmadığının altı çizildi. Bilindiği üzere, siber güvenlik alanında yanıltıcı ve yanlış bilgilerin yayılmasının, toplumda endişe, korku ve panik oluşturma potansiyeli taşıdığına dikkat çekildi. Elektronik imza gibi Türkiye’nin dijital sistemlerinin temelini oluşturan ve güven hizmeti olarak nitelendirilen bu hizmetlerin güvenilirliğini sarsıcı nitelikte bir algı oluşturmanın, toplumda yıkıcı etkilere yol açabileceği uyarısı yapıldı.
Bu tür eylemlerin Siber Güvenlik Kanunu kapsamında suç teşkil ettiğine dikkat çekilen açıklamada, kanundaki ilgili hükme atıfta bulunuldu. Söz konusu hükümde, “Siber uzayda veri sızıntısı olmadığını bildiği halde halk arasında endişe, korku ve panik yaratmak ya da kurumları veya şahısları hedef göstermek amacıyla siber güvenlikle ilgili veri sızıntısı olduğuna yönelik gerçeğe aykırı içerik oluşturanlara veya bu maksatla bu içerikleri yayanlara 2 yıldan 5 yıla kadar hapis cezası verilir.” ifadesi yer almaktadır. BTK, e-imza kullanıcılarını hedef göstererek ve kamuoyunu yanıltarak gerçek dışı veri sızıntısı iddialarını yayan, iki buçuk milyonun üzerinde e-imza kullanıcısını asılsız haber ve paylaşımlarla endişeye sürükleyen kaynaklar hakkında suç duyurusunda bulunulduğunu ve yasal sürecin başlatıldığını bildirdi.