e-Arşiv Fatura Gerçek mi? GİB Sorgusu, ETTN ve Sahte PDF İşaretleri

E-postayla gelen bir e-Arşiv fatura PDF'i tek başına hiçbir şey kanıtlamaz; aynı görünümü bir kelime işlemciyle üretmek birkaç dakikalık iştir. Bir faturanın gerçekliğini anlamak için üç katmana ayrı ayrı bakmak gerekir: fatura GİB kayıtlarında var mı, elektronik dosyadaki mali mühür sağlam mı ve görüntüdeki bilgiler dosyadaki verilerle tutarlı mı. Her katmanın ayrı bir aracı ve ayrı bir sınırı vardır; birinin olumlu sonucu diğerinin yerini tutmaz.

GİB'in e-Arşiv Fatura Sorgulama ekranı

GİB'in e-Belge sitesinde (ebelge.gib.gov.tr) "e-Arşiv Fatura Sorgulama" başlıklı bir sayfa bulunur. Ekran dört bilgi ister: satıcının VKN veya TCKN'si, fatura numarası, ödenecek tutar ve ekrandaki güvenlik kodu. Sayfadaki notlar dikkatle okunmaya değer. Sorgu yalnızca e-Arşiv sisteminde kayıtlı faturalar için geçerlidir. Faturayı düzenleyen mükellefin e-Arşiv uygulamasına kayıtlı olduğundan emin olmanız, bunun için de sitedeki "e-Arşiv Uygulamasına Kayıtlı Mükellefler Listesi"ne bakmanız önerilir. Faturalarda ödenecek tutar, genel toplam ve toplam tutar gibi farklı alanlar olduğu için sorguda ödenecek tutarın kuruş haneleriyle doğru girilmesi gerekir.

Olumsuz bir sonuç tek başına sahtelik kanıtı değildir. En sık görülen nedenler basit giriş hatalarıdır: tutar alanına KDV hariç toplamı yazmak, fatura numarasındaki harfleri yanlış okumak ya da satıcının değil alıcının kimlik numarasını girmek. Belge aslında e-Fatura da olabilir; XML'deki ProfileID değeri TEMELFATURA veya TICARIFATURA ise fatura e-Arşiv sisteminde değil, e-Fatura sisteminde aranır ve e-Fatura kayıtlı kullanıcısı olarak siz onu kendi portalınızda ya da entegratör gelen kutunuzda görürsünüz. e-Arşiv bilgilerinin GİB'e düzenleyenin gönderdiği rapor üzerinden ulaştığını da hesaba katın; yeni kesilmiş bir fatura sorguda hemen görünmüyorsa birkaç gün sonra yeniden denemek ve satıcıdan açıklama istemek makul olur.

Fatura numarası ve ETTN nasıl okunur

GİB'in Karekod Standardı Kılavuzu, e-Arşiv fatura numarasını üç haneli alfanümerik birim kodu ile dört hanesi düzenleme yılını gösteren 13 haneli müteselsil numaranın birleşimi olarak tanımlar; örnek biçim GIB2021000000001'dir. Toplam 16 karakterdir. Numaradaki yıl ile faturanın düzenleme tarihinin yılı uyuşmuyorsa bu bir soru işaretidir.

ETTN, yani evrensel tekil tanımlama numarası, XML'de UUID alanında durur. GİB'in UBL-TR Fatura kılavuzuna göre bu numara faturanın evrensel eşsizliğini sağlar, faturayı düzenleyen tarafından standartlara uygun olarak üretilir ve GUID biçimindedir: tirelerle ayrılmış 8-4-4-4-12 düzeninde onaltılık karakterler, örneğin e093a490-dd99-11dd-ad8b-0800200c9a66. Bu biçime uymayan bir ETTN, iki farklı faturada aynı ETTN'nin görülmesi ya da PDF'teki ETTN ile XML'dekinin farklı olması ciddi uyarı işaretleridir. ETTN'nin kendisi bir güvenlik kodu değildir; bir sahtecinin geçerli biçimde rastgele bir GUID üretmesi kolaydır.

Karekod neyi gösterir, neyi göstermez

509 sıra no.lu Tebliğ e-Arşiv faturada, GİB sistemlerinden sorgulanmasına ve doğrulanmasına imkân vermek üzere bilgi içeriği GİB tarafından belirlenen bir karekod bulunmasını öngörür. Karekod Standardı Kılavuzu'na göre karekod belgenin sağ üst köşesinde yer alır ve okutulduğunda şu alanları içeren bir metin verir: satıcı ve alıcı kimlik numarası (vkntckn, avkntckn), senaryo, fatura tipi, tarih, fatura numarası, ETTN, para birimi, mal hizmet toplamı, KDV matrahı ve hesaplanan KDV, vergiler dahil toplam ve ödenecek tutar.

Telefonunuzdaki herhangi bir karekod okuyucuyla bu metni görüp görüntüdeki rakamlarla karşılaştırabilirsiniz. Tutarsızlık varsa belge değiştirilmiş olabilir. Ama tersini söylemek mümkün değildir: karekod imzalı bir yapı değil, görüntünün bir parçasıdır ve sahte bir PDF'e tutarlı bir karekod eklemek de mümkündür. Karekod tutarlılığı gerekli bir koşuldur, yeterli değildir. Kılavuz ayrıca el terminaliyle düzenlenen bazı e-Arşiv faturaların kâğıt çıktısında karekod zorunluluğu olmadığını belirtir; karekodsuz her çıktı bu yüzden şüpheli sayılmaz.

XML dosyasındaki imza alanları

509 sıra no.lu Tebliğe göre tüzel kişiler e-Belgelerini kendi mali mühürleriyle, gerçek kişiler mali mühür ya da nitelikli elektronik sertifikayla onaylar; özel entegratör kullanılıyorsa mükellefin istemesi hâlinde entegratörün mali mührü de kullanılabilir. XML'de bu onay iki yerde iz bırakır. cac:Signature öğesi imzalayan tarafın VKN'si gibi bilgileri taşır. Asıl kriptografik imza ise genellikle UBLExtensions içindeki ds:Signature bloğundadır: belgenin özet değeri (hash) ds:DigestValue, imza değeri ds:SignatureValue, sertifika ds:X509Certificate alanında yer alır.

Bu blokların dosyada bulunması bir şey kanıtlamaz. İmzalı bir faturadan kopyalanan imza bloğu, tutarı değiştirilmiş başka bir XML'e yapıştırılabilir; fark yalnızca özet değeri yeniden hesaplayan bir doğrulama yazılımında ortaya çıkar. GİB'in E-Fatura Görüntüleyici kullanım kılavuzu, programdaki "Doğrula" düğmesinin mali mührün geçerli olup olmadığını, yani faturanın imzalandıktan sonra değiştirilip değiştirilmediğini gösterdiğini anlatır. Kılavuz bu işlevi e-Fatura için tarif eder; e-Arşiv dosyalarında nasıl çalıştığını GİB dokümanlarından ya da faturayı düzenleyenin entegratöründen teyit edin. Program Java tabanlıdır ve güncel sistemlerde ek kurulum gerektirebilir.

Sahte PDF'lerde sık görülen işaretler

Aşağıdaki işaretlerin hiçbiri tek başına hüküm vermeye yetmez, ama birden fazlası bir araya geliyorsa ödemeyi durdurup doğrulama yapmak için yeterli sebeptir.

• Satıcı XML dosyasını göndermiyor ya da "sistem sadece PDF veriyor" diyor. Tebliğe göre elektronik iletimde e-Fatura format ve standardı kullanılır ve basılabilir görüntü eklenir; XML'in olmaması olağan değildir.
• Belgede GİB amblemi, "Hazine ve Maliye Bakanlığı" ibaresi ve "e-Arşiv Fatura" ibaresi yok. Tebliğ bunların belgenin üst orta kısmında bulunmasını ve elektronik iletimde alt kısma "e-Arşiv izni kapsamında elektronik ortamda iletilmiştir." ifadesinin yazılmasını öngörür.
• Düzenleme tarihinin yanında saat ve dakika yok. Tebliğ e-Arşiv faturada düzenleme zamanının saat ve dakika olarak gösterilmesini zorunlu tutar.
• Satır toplamları, KDV hesabı ya da ödenecek tutar kendi içinde tutmuyor.
• Ödeme bilgilerindeki IBAN satıcının daha önce kullandığı hesaptan farklı ve değişiklik yalnızca e-postayla bildirilmiş. Bu, fatura sahteciliğinden çok e-posta ele geçirme vakalarında görülen bir örüntüdür; banka bilgisini bildiğiniz bir telefon numarasından satıcıya sorarak teyit edin.
• Satıcı unvanı ile VKN, GİB'in kayıtlı mükellef listelerinde uyuşmuyor ya da satıcı bu listelerde hiç yok.

Görüntüleyiciyle yapılabilecek kontrol

Satıcıdan XML'i aldığınızda e-Arşiv XML görüntüleyici dosyayı tarayıcıda ayrıştırıp fatura numarasını, ETTN'yi, senaryoyu, taraf bilgilerini, satırları ve toplamları tek ekranda gösterir. Bu görünümü PDF'in ve karekoddan okuduğunuz metnin yanına koyup alan alan karşılaştırmak, üç kaynağın aynı faturayı anlatıp anlatmadığını hızlıca ortaya koyar. Araç dosyada imza yapısı varsa bunu belirtir. Ne var ki imzanın geçerliliğini kontrol etmez, faturayı GİB'de sorgulamaz ve bir belgenin gerçek ya da sahte olduğuna karar vermez; gördüğünüz yalnızca dosyanın içeriğidir. Dosya sunucuya yüklenmez, ancak sayfada analiz ve reklam betikleri çalışır. Etiketlerin ham hâline bakmak isterseniz XML görüntüleyiciyi kullanabilirsiniz.

e-Arşiv ile e-Fatura ayrımını hatırlamak için e-Arşiv ve e-Fatura farkı rehberine, PDF ile XML'den hangisinin belge sayıldığı sorusu için XML mi PDF mi yazısına bakabilirsiniz. Faturayı birine iletmeden önce kişisel verileri gizlemek isterseniz e-Fatura XML maskeleme aracı var; maskelenmiş kopyanın imzasının artık geçerli olmayacağını bilerek kullanın.

Kısa bir doğrulama sırası

1. Satıcıdan faturanın XML dosyasını isteyin ve ProfileID değerine bakın.
2. EARSIVFATURA ise GİB'in e-Arşiv Fatura Sorgulama ekranında satıcı VKN, fatura numarası ve ödenecek tutarla sorgu yapın.
3. Karekodu okutup metindeki ETTN ve tutarları PDF ve XML ile karşılaştırın.
4. Gerekirse mali mühür kontrolü için GİB'in araçlarını kullanın ya da satıcının entegratöründen teyit isteyin.
5. Şüphe sürüyorsa ödemeyi yapmadan önce satıcıyla bilinen bir kanal üzerinden konuşun.