Belçika merkezli yazılım sağlayıcısı Vanden Broele, dijital belge yönetimi ve imzalama platformu eSignFlow üzerinde gerçekleşen veri ihlalinde saldırganın çok sayıda kurumun verilerine eriştiğini açıkladı. 22 Ekim’de başlayan ve 23 Ekim’e kadar devam eden saldırıda imza sahiplerinin adları, e-posta adresleri ve Belçika ulusal sicil numaraları gibi hassas bilgiler etkilendi. Şirket, ilk açıklamasında hash’lendiğini belirttiği sicil numaralarının kolayca geri dönüştürülebildiğini kabul ederek müşterilerine saldırganın bu numaraları bildiği varsayımıyla hareket etmeleri gerektiğini bildirdi.

Saldırı 31 Saatten Fazla Sürdü

Vanden Broele’nin yayımladığı olay bilgilendirme sayfasına göre saldırgan, 22 Ekim 2026 saat 03.48 ile 23 Ekim saat 11.17 arasında eSignFlow sistemindeki verilere erişim sağladı. Şirketin teknik ekibi olayı 23 Ekim günü saat 09.30’da tespit etti. Platform aynı gün öğleden sonra geçici olarak çevrimdışı bırakıldı.

Yapılan ilk incelemelerde saldırganın sisteme, internet üzerinden erişilebilen bir yönetim ortamı aracılığıyla girdiği belirlendi. Şirket, ilk erişimin nasıl mümkün olduğunu ve güvenlik açığının tam nedenini araştırmaya devam ediyor. eSignFlow, kurumların dijital belgeleri hazırlamasını, imzaya göndermesini ve imzalama süreçlerini yönetmesini sağlayan bir platform. Özellikle belediyeler ve kamu kuruluşları tarafından kullanılan sistem, farklı kurumların belge ve imza süreçlerinde rol oynuyor.

Saldırgan API Üzerinden Kullanıcıları Taklit Etti

Vanden Broele’nin açıklamasına göre saldırgan, ele geçirilen erişim anahtarlarını kullanarak eSignFlow API’si üzerinden kullanıcıları taklit etti ve uygulama içerisindeki verilere erişti. Saldırganın yalnızca eSignFlow üzerinden değil, altyapıda bulunan sunucular ve şirketin diğer uygulamalarından biri olan eGovFlow üzerinden de farklı erişim yollarını denediği belirtildi. Ancak şirket, eGovFlow uygulamasının ihlal edilmediğini ve dış Active Directory ortamlarının saldırıdan etkilenmediğini açıkladı.

Ulusal Sicil Numaralarının Kolayca Geri Dönüştürülebildiği Ortaya Çıktı

Veri ihlalinin en dikkat çekici ayrıntılarından biri, Belçika ulusal sicil numaralarının (rijksregisternummer) saklanma biçimiyle ilgili oldu.

Vanden Broele, 25 Ekim’de müşterilerinin bir bölümüne gönderdiği ilk bilgilendirmede bu numaraların hash’lendiğini belirtmişti. Ancak daha sonra yayımlanan güncel açıklamada bu bilginin düzeltilmesi gerektiği ifade edildi. Şirkete göre numaralar dönüştürülmüş bir biçimde saklanıyordu ancak kullanılan dönüşüm kolayca tersine çevrilebiliyordu. Bu nedenle şirket, müşterilerine saldırganın etkilenen kişilerin ulusal sicil numaralarını bildiğini varsaymaları gerektiğini bildirdi.

Hangi Kişisel Veriler Etkilendi?

Vanden Broele, etkilenen verileri farklı gruplar altında sınıflandırdı. İhlal yalnızca belediye sakinleriyle sınırlı kalmadı; kurum çalışanları, seçilmiş yetkililer, tedarikçiler ve diğer kuruluşların çalışanları da etkilenen kişiler arasında yer aldı.

Şirketin açıklamasına göre veriler şu kategorilerde bulunuyor:

• İndirilen belgelerde yer alan kişiler: Saldırganın indirdiği belgelerin tam içeriği. Bu durum yalnızca sınırlı sayıdaki kuruluşta tespit edildi.
• Dâhilî ve haricî imza sahipleri: Ad, ülke ve ulusal sicil numarası. Sınırlı sayıda kişide el yazısıyla atılmış imzanın görüntüsü de etkilendi.
• Belge metaverilerinde bulunan kişiler: Ad, e-posta adresi, belge başlığı ve erişim kodu.
• Kurum kullanıcıları: Ad ve e-posta adresleri.

Şirket, etkilenen kişi ve kuruluşların toplam sayısını henüz açıklamadı. Ayrıca her kuruluş için hangi belgelerin ve kişisel verilerin etkilendiğini gösteren ayrı raporlar hazırlandığını bildirdi.

Kimlik Avı ve Sahte Ödeme Bildirimleri Riski

Şirket, olayın ardından ortaya çıkabilecek en önemli riskin hedefli dolandırıcılık ve kimlik avı saldırıları olduğunu belirtti. Belçika’daki bazı belediyeler, vatandaşlarını gerçek dosya ve idari para cezalarına atıfta bulunan mesajlara karşı uyardı.

Vanden Broele de kullanıcıların beklenmedik e-posta, SMS ve telefon aramalarına karşı dikkatli olmasını, şüpheli bağlantılara tıklamamasını ve ödeme taleplerini ilgili kurumların bilinen iletişim kanallarından doğrulamasını tavsiye etti.

Şirket ayrıca saldırganın kişisel itsme hesaplarına veya elektronik kimlik kartlarına (eID) erişmediğini belirtti. Ele geçirilen itsme verilerinin kişisel hesaplara değil, eSignFlow ile itsme arasındaki entegrasyona ait olduğu açıklandı. Kullanıcıların parolalarının da ihlal kapsamında bulunmadığı bildirildi.

Vanden Broele Güvenlik Anahtarlarını Yeniledi

Saldırının tespit edilmesinin ardından eSignFlow, 23 Ekim öğleden sonra çevrimdışı bırakıldı. Platform, 24 Ekim saat 20.00 civarında yeni güvenlik anahtarları ve ek koruma önlemleriyle yeniden hizmete açıldı.

Şirketin açıkladığı önlemler arasında şunlar bulunuyor:

• İnternet üzerinden erişilebilen yönetim ortamının dış erişime kapatılması.
• Tüm API anahtarlarının, webhook anahtarlarının ve dâhilî sistem anahtarlarının yenilenmesi.
• itsme entegrasyonuna ait anahtarların değiştirilmesi.
• Saldırganın bilinen IP adreslerinin engellenmesi.
• Sunuculardaki savunmasız bileşenlerin izole edilmesi veya değiştirilmesi.
• Sistem günlüklerinin daha yakından izlenmesi.

Saldırganın verilerini sorguladığı belgeler için de yeni erişim parolaları oluşturuldu. Bu nedenle bazı belgelerin eski bağlantıları artık geçerli değil. Vanden Broele, saldırganın başka bir kişi adına dijital imza atmadığını ve sistemde yaptığı değişikliklerin geri alındığını açıkladı. Şirket ayrıca olay nedeniyle fidye talep edilmediğini bildirdi.

Olay Belçika’daki Veri Koruma Kurumlarına Bildirildi

Vanden Broele, olayı Belçika Siber Güvenlik Merkezi’ne (CCB) 23 Ekim’de, Veri Koruma Otoritesi’ne (GBA) ise 25 Ekim’de bildirdiğini açıkladı. Şirket ayrıca polise suç duyurusunda bulundu.

Bununla birlikte eSignFlow içerisinde işlenen veriler bakımından Vanden Broele’nin veri işleyen, platformu kullanan kurumların ise veri sorumlusu konumunda olduğu belirtildi. Bu nedenle etkilenen kuruluşların, kendi sorumlulukları kapsamındaki kişisel veriler için bildirim yükümlülüklerini ayrıca değerlendirmesi gerekiyor.

Şirket, olayın tüm nedenlerini ve farklı erişim yollarını inceleyen adli bilişim çalışmalarının sürdüğünü bildirdi. Saldırının nasıl mümkün olduğuna ve tekrarını önlemek için alınacak ek önlemlere ilişkin ayrıntıların, kök neden analizinin tamamlanmasının ardından paylaşılması bekleniyor.

Kaynaklar

• Veelgestelde vragen incident oktober 2026