GİB'e beratı gönderilmiş ama kendisi ransomware ile şifrelenmiş e-defter dosyalarının yedeği yoksa yasal süreç nasıl işler?

Ransomware saldırısı neticesinde e-defter XML dosyalarının şifrelenmesi ve yerel yedeklerin yok olması, şirketler için son derece ağır mali ve cezai sonuçlar doğurabilecek kritik bir felaket senaryosudur. 1 Sıra No'lu Elektronik Defter Genel Tebliği uyarınca, mükellefler e-defter dosyalarını ve bunlara ait beratları yasal muhafaza süresi (VUK'a göre 5 yıl, TTK'ya göre 10 yıl) boyunca elektronik ortamda bütünlüğü ve gizliliği korunacak şekilde saklamak ve yetkili mercilere ibraz etmekle yükümlüdür. Beratın GİB'de bulunması, asıl defter XML'lerinin ibraz yükümlülüğünü ortadan kaldırmaz. Ana defter olmaksızın berat tek başına bir anlam ifade etmez; ibraz edilememesi durumunda defterler 'hiç tutulmamış' sayılarak re'sen vergi tarhiyatı ve KDV indirimlerinin iptali riski doğar.

Yasal süreçlere başlamadan önce siber saldırının teknik olarak belgelenmesi şarttır. Şifrelenen sunucu üzerinde format atma veya sistemi yeniden kurma işlemi kesinlikle yapılmamalıdır:

• Sunucunun RAM belleği adli olarak dump edilmeli, diskler write-blocker (yazma koruma) donanımı ile adli kopya (E01 veya DD formatında RAW image) olarak imajlanmalıdır.
• Ransomware aktivitesi, fidye notu (ransom note), vssadmin.exe delete shadows komut izleri, Event ID 1102 (Güvenlik günlüğünün silinmesi) ve MFT ($Master File Table) üzerindeki dosya şifreleme zamanları adli bilişim uzmanlarınca raporlaştırılmalıdır.
• Bu teknik rapor, mahkemede delil başlangıcı teşkil edecek resmi 'Siber Olay Müdahale ve Adli Tespit Tutanağı' haline getirilir.

Türk Ticaret Kanunu'nun 82. maddesinin 7. fıkrası uyarınca; bir tacir defterlerini saklamakla yükümlü olduğu süre içinde yangın, su baskını, yer sarsıntısı gibi bir afet veya saklama şartlarını ortadan kaldıran harici kaçınılmaz olaylar (siber saldırı/ransomware) sebebiyle ziyan ederse, ziyanı öğrendiği tarihten itibaren 15 gün içinde şirket merkezinin bulunduğu yerdeki Asliye Ticaret Mahkemesi'nden zayi belgesi verilmesini istemek zorundadır. Bu 15 günlük süre hak düşürücü süredir; kaçırılması durumunda vergi incelemelerinde mücbir sebep iddiası tamamen geçersiz sayılır.

Zayi belgesi davası açıldıktan hemen sonra mahkeme tensip zaptı, adli bilişim raporu ve savcılık suç duyurusu ile birlikte GİB Denetim ve Uyum Yönetimi Daire Başkanlığı'na (e-Defter Şube Müdürlüğü) resmi dilekçe ile durum bildirilir.

Eğer muhasebe veri tabanı (SQL Server, Oracle vb.) sağlam kurtarılabilmişse veya ERP yedeği varsa, ilgili dönemin yevmiye kayıtları muhasebe yazılımı aracılığıyla yeniden XML formatında üretilir. Ancak burada aşılması gereken en kritik teknik engel kriptografik özet (SHA-256) uyumudur:

• Yeniden üretilen e-defter XML'inin SHA-256 hash'i, daha önce GİB'e iletilen ve onaylanan berattaki <ds:DigestValue> alanındaki hash ile birebir aynı (bit-level identical) olmak zorundadır.
• Eğer veritabanındaki verilerde en ufak bir kuruş, karakter veya XML boşluk/formatlama farkı olursa hash tutmayacaktır. Hash tutturulamazsa mahkemeden alınan Zayi Kararı ve GİB özel onayı ile eski beratların sistemden iptal edilip, yeni üretilen defterlere ait beratların 'özel onaylı' olarak yeniden yüklenmesi prosedürü işletilir.