Kişisel Verileri Koruma Kurumu Tarafından Veri İhlali Bildirimlerine İlişkin 9 Adet Kamuoyu Duyurusu Yayımlanmıştır

Kişisel Verileri Koruma Kurumu ("Kurum") tarafından veri ihlali bildirimlerine ilişkin 9 adet kamuoyu duyurusu, 30 Eylül 2026 tarihinde Kurumun resmî internet sitesinde yayımlanmıştır.

Söz konusu veri ihlalleri, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (“Kanun”) "Veri güvenliğine ilişkin yükümlülükler" başlıklı 12. maddesinin (5) numaralı fıkrası kapsamında veri sorumluları tarafından Kuruma bildirilmiştir.

Yayımlanan veri ihlali bildirimleri toplu olarak değerlendirildiğinde özetle aşağıdaki hususlar öne çıkmaktadır:

• 9 ihlalin 6'sının veri işleyen sistemlerinde, özellikle e-ticaret altyapısı hizmet sağlayıcılarının sistemlerinde veya veri işleyene ait sunucularda meydana geldiği ve bu ihlallerin veri işleyenlerin veri sorumlularına yaptığı bildirimler üzerine tespit edildiği görülmektedir. Bir bildirimde ihlalin veri işleyen tarafından 05.09.2026 tarihinde tespit edilmesine rağmen veri sorumlusuna ancak 18.09.2026 tarihinde bildirildiği anlaşılmaktadır.
• İhlallerin gerçekleşme yöntemleri bakımından; veri işleyen sunucularına yetkisiz erişim, üçüncü taraf yazılım kütüphanesindeki güvenlik zafiyetinin istismar edilmesi, üçüncü parti uygulama kaynaklı zararlı yazılım, hukuka aykırı yollarla elde edilen erişim anahtarı ile Elasticsearch servisine erişim, URL adreslerinde kimlik doğrulaması yapılmaması nedeniyle başvuru belgelerinin otomatik taleplerle ele geçirilmesi ve veri işleyen çalışanlarına gönderilen oltalama e-postası ile çok faktörlü tek oturum açma (SSO) platformuna yetkisiz erişim sağlanması gibi farklı yöntemlerin öne çıktığı görülmektedir.
• Söz konusu ihlallerde ağırlıklı olarak kimlik, iletişim ve işlem güvenliği kategorilerindeki kişisel verilerin etkilendiği; bazı bildirimlerde müşteri işlem (sipariş ve teslimat bilgileri), görsel ve işitsel kayıtlar, eğitim ve mesleki deneyim verileri ile yatırım profili ve FATCA kuralları çerçevesinde belirlenen vergi statüsü bilgilerinin de ihlalden etkilendiği görülmektedir. Bir bildirimde ise özel nitelikli kişisel veri niteliğindeki ceza mahkûmiyeti ve güvenlik tedbirlerine ilişkin verilerin (adli sicil ve güvenlik soruşturması belgeleri) yanı sıra pasaport bilgileri ve imza gibi yüksek risk taşıyan verilerin etkilendiği belirtilmiştir.
• İhlalden etkilenen kişisel veriler arasında ad, soyad, telefon numarası, e-posta adresi, adres bilgileri ve hash'lenmiş parola/kullanıcı giriş bilgilerinin bulunduğu; bir bildirimde kullanıcı giriş bilgilerinin güncel güvenlik standartları bakımından yetersiz kabul edilen MD5 algoritmasıyla hash'lendiği, iki bildirimde ise yönetici/admin paneli hesap bilgilerinin de ihlalden etkilendiği görülmektedir.
• Bildirimlerde yer alan verilere göre, etkilenen kişi sayısının belirlenebildiği veya tahmin edilebildiği 8 bildirimde toplam en az 1.033.853 kişinin veri ihlalinden etkilendiği görülmektedir. Bununla birlikte, bir bildirimde etkilenen kişi sayısına yer verilmemiş olması ve bazı bildirimlerde sayının tahmini olarak bildirilmesi nedeniyle söz konusu rakamın kesin toplam olmadığı anlaşılmaktadır.
• İhlallerden başta müşteriler/potansiyel müşteriler, kullanıcılar ve aboneler/üyeler olmak üzere farklı ilgili kişi gruplarının etkilendiği; bazı bildirimlerde çalışanların da ihlalden etkilenen ilgili kişi grupları arasında bulunduğu belirtilmiştir. Bir bildirimde ihlalin güncelliğini yitirmiş eski dokümantasyonları kapsadığının belirtilmesi, kişisel verilerin saklama ve imha süreçlerinin önemini ayrıca ortaya koymaktadır.
• Bazı bildirimlerde ihlalin kapsamına ilişkin incelemelerin devam ettiği, verilerin dışarı çıkarılıp çıkarılmadığının henüz teyit edilmediği ve mükerrer kayıtlar nedeniyle etkilenen kişi sayısına ilişkin detaylı incelemenin sürdüğü açıklanmıştır. Bildirimlerin büyük çoğunluğunda ise ilgili kişilerin ihlal hakkında veri sorumlusunun e-posta adresi, telefon numarası veya internet sitesi üzerinden bilgi alabileceği belirtilmiştir.
• Veri ihlallerinin önemli bir kısmının veri işleyenler tarafından kullanılan sistem ve altyapılarda meydana gelmesi ve veri işleyenden veri sorumlusuna yapılan bildirimlerde gecikmeler yaşanabilmesi, veri sorumlularının hizmet aldıkları veri işleyenlerin bilgi güvenliği süreçlerini düzenli olarak değerlendirmelerinin ve veri işleyenlerle akdedilen sözleşmelerde ihlal bildirim sürelerinin açıkça düzenlenmesinin önemini ortaya koymaktadır. Bu kapsamda erişim yetkilerinin, kimlik doğrulama mekanizmalarının, üçüncü taraf yazılım bileşenlerinin, parola saklama yöntemlerinin ve veri ihlali tespit ve bildirim süreçlerinin gözden geçirilmesi önem arz etmektedir.
• Kanun'un 12. maddesi uyarınca veri sorumluları, kişisel verilerin hukuka aykırı olarak işlenmesini ve kişisel verilere hukuka aykırı olarak erişilmesini önlemek ve kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almakla yükümlüdür. Ayrıca veri sorumlularının, kendi adına kişisel veri işleyen gerçek veya tüzel kişiler bakımından da gerekli tedbirlerin alınmasını sağlama yükümlülüğü bulunmaktadır.
• Bu kapsamda, 30 Eylül 2026 tarihli veri ihlali bildirimleri; özellikle veri işleyenler ve üçüncü taraf yazılımlar kaynaklı riskler, kimlik doğrulama ve erişim yetkilendirme eksiklikleri, sosyal mühendislik saldırılarına karşı farkındalık ile veri ihlallerinin tespit edilerek zamanında bildirilmesine yönelik süreçlerin veri güvenliği bakımından önemini bir kez daha ortaya koymaktadır.

Veri ihlali bildirimlerinin tam metinlerine buradan ulaşabilirsiniz.

Saygılarımızla,

Zümbül Hukuk ve Danışmanlık

info@zumbul.av.tr

İnternet sitemizde bulunan her türlü bilgi ve belge Avukatlık Kanunu ve ilgili diğer mevzuat ile Türkiye Barolar Birliği'nin Avukatlık Meslek Kuralları dikkate alınarak Zümbül Hukuk ve Danışmanlık tarafından yalnızca genel bilgilendirme amacıyla hazırlanmış olup, bu yayınlarda kesinlikle reklam ve/veya ticari amaç güdülmemiştir. İnternet sitemizdeki her türlü bilgi ve belge genel geçer nitelikte olup hiçbir suretle bu yayınların eksiksiz, doğru, güncel ve güvenilir olduğu garanti ve taahhüt edilmemektedir. İnternet sitemizde yer verilen yayınlardaki bilgilerle ilgili olarak bir avukata/uzmana danışmadan söz konusu bilgi ve belgelere dayanılarak hareket edilmemelidir. İnternet sitemizdeki yayınlarda yer verilen linkler kamuya açık kaynaklardan elde edilerek yalnızca ziyaretçilerin diğer bilgi ve belgelere ulaşmasını kolaylaştırmak amacıyla bulunmaktadır. Bu linkler hiçbir şekilde link verilen kişi, kurum ve kuruluşları tavsiye ve/veya onay anlamına gelmemektedir. İnternet sitemizdeki yayınlar hiçbir şekilde hukuki danışmanlık sunulması veya internet sitemize herhangi bir suretle ulaşan ziyaretçiler ile avukat-müvekkil ilişkisi oluşturulduğu anlamına gelmemektedir. İnternet sitemizdeki tüm içerikler Zümbül Hukuk ve Danışmanlık mülkiyetindedir ve hiçbir içerik yazılı izin alınmaksızın kopyalanamaz, çoğaltılamaz ve atıf yapılmadan kullanılamaz.