Mali müşavirim benden e-imza şifremi istiyor, e-fatura ve sgk bildirgeleri için. Şifremi verirsem adıma kredi çekilmesi veya şirket kurulması gibi bir risk var mı?

E-imza USB token donanımınızı ve PIN kodunuzu mali müşaviriniz dahil olmak üzere hiç kimseye kesinlikle teslim etmemelisiniz! Uygulamada muhasebecilerin iş yükünü hafifletmek amacıyla mükelleflerden e-imza ve PIN talep etmesi son derece yaygın bir kötü alışkanlık olsa da, hukuken ve teknik güvenlik açısından telafisi imkansız facialara davetiye çıkarmaktadır.

1. Hukuki Boyut: 5070 Sayılı Kanun ve İnkâr Edilemezlik İlkesi:

• 5070 Sayılı Elektronik İmza Kanunu Madde 5: Güvenli elektronik imza, elle atılan ıslak imza ile birebir aynı hukuki sonucu doğurur. Hukuk Muhakemeleri Kanunu (HMK md. 205) uyarınca e-imza ile imzalanmış her türlü belge senet (kesin delil) hükmündedir.
• Madde 13/b (İmza Sahibinin Yükümlülükleri): Kanun imza sahibine açık bir emir yükler: 'İmza sahibi, imza oluşturma verisini (token ve PIN) yetkisiz kişilerin kullanımına karşı korumak ve gizliliğini sağlamakla yükümlüdür.'
• Madde 14 (Zararlardan Hukuki ve Cezai Sorumluluk): İmzanızı başkasına rızanızla teslim etmeniz 'ağır kusur' ve 'ihmal' sayılır. E-imzanızla yapılacak işlemlerden doğacak mali, hukuki ve cezai sorumluluk tamamen şahsınıza aittir. Bir mahkeme veya icra takibi karşısında 'O tarihte e-imzam muhasebecimdeydi, işlemi ben yapmadım' savunması Türk yargısında kesinlikle dinlenmez; çünkü kriptografik olarak inkâr edilemezlik (non-repudiation) ilkesi geçerlidir.

2. E-İmzanızı Teslim Ettiğinizde Karşılaşabileceğiniz Somut Tehlikeler:

• Adınıza Anında Banka Kredisi Çekilmesi: Günümüzde kamu ve özel bankaların ticari internet şubeleri, şahıs işletmelerine e-Devlet veya doğrudan e-imza kimlik doğrulamasıyla 500.000 TL ile 5.000.000 TL arasında anında onaylı ticari kredi kullandırmaktadır. Token ve PIN elinde olan kötü niyetli bir çalışan veya büro personeli, dakikalar içinde adınıza kredi çekip parayı üçüncü kişilere transfer edebilir.
• MERSİS Üzerinden Şirket Kurulumu veya Borçlu Şirketlere Ortak Yapılma: Ticaret Bakanlığı MERSİS sistemi üzerinden e-imzanızla yeni bir sermaye şirketi kurulabilir, borca batık paravan şirketlerin hisse devirleri ve müdürlük atamaları adınıza onaylanarak milyonlarca liralık kamu ve piyasa borcu üzerinize yıkılabilir.
• Sahte Fatura (VUK 359 Kaçakçılık Suçu): E-Fatura portalı üzerinden adınıza milyonlarca liralık komisyon karşılığı sahte fatura (naylon fatura) düzenlenebilir. Vergi Usul Kanunu 359. maddesi kapsamında açılacak ceza davasında 3 yıldan 8 yıla kadar hapis cezası ve katmerli vergi ziyaı cezaları doğrudan şahsınıza tebliğ edilir.
• Web-Tapu ve Noterlik İşlemleri: Web-Tapu üzerinden taşınmaz satış/ipotek başvuruları başlatılabilir veya araç satışlarına ilişkin vekaletname taslakları onaylanabilir.

3. İşleri Kilitlemeden Yürütmenin Yasal ve Doğru Yolları:

1. E-Fatura İçin Özel Entegratör Kullanın (En Sağlıklı Çözüm): GİB Temel Portal yerine Paraşüt, BizimHesap, Mikro veya Logo gibi bir özel entegratör ile çalışın. Özel entegratör panelinde mali müşavirinize bir alt kullanıcı hesabı açarsınız. Faturalar kesildiğinde, entegratörün kendi sunucu tabanlı HSM (Donanımsal Güvenlik Modülü) mali mührü/e-imzasıyla otomatik olarak imzalanıp GİB'e iletilir. Sizin fiziksel USB token'ınıza günlük faturada hiçbir zaman ihtiyaç kalmaz.
2. GİB ve SGK İçin Yasal Aracılık Yetkilendirmesi Yapın: Mali müşavirinizle GİB İnteraktif Vergi Dairesi üzerinden resmi 'Elektronik Beyanname Aracılık ve Sorumluluk Sözleşmesi' düzenleyin. SGK için ise e-Bildirge alt kullanıcı yetkisi verin. Müşaviriniz tüm beyannameleri ve SGK bildirgelerini kendi kullanıcı kodu ve kendi şifresiyle yasal yetkisine dayanarak onaylar; sizin e-imzanızı talep etmesine gerek yoktur.
3. Zorunlu İmza Hallerinde Ekran Paylaşımı: Yılda birkaç defa gerçekten imzanız gereken durumlarda (örneğin ilk sözleşme tescili), token bilgisayarınızda takılıyken uzaktan ekran paylaşımı yapın, evrakı kontrol edin ve PIN şifresini yalnızca kendiniz tuşlayın.