KVKK'nın 7 Ekim 2026 tarihli duyurusuna göre 1 Ekim'deki fidye yazılımı saldırısı, bir kurumun sanallaştırma altyapısını ve üzerindeki tüm sunucuları etkiledi. Yaklaşık 145 bin kişinin etkilenmiş olabileceği bildirildi.
1 Ekim 2026'da Yıldız Teknik Üniversitesi'nin bilişim altyapısı fidye yazılımı saldırısına uğradı. Kişisel Verileri Koruma Kurulu'nun 7 Ekim 2026 tarihli ve 2026/2203 sayılı kararıyla yayımlanan kamuoyu duyurusuna göre saldırı, kurumun sanallaştırma altyapısını ve bu altyapı üzerinde çalışan sunucuları etkiledi. Duyuruda, mevcut kayıtlar üzerinden yaklaşık 140 bin öğrenci ve 4.500 personelin etkilenmiş olabileceği belirtiliyor. Etkilenen veri kategorileri ve ziyaretçi sayısı henüz tespit edilmedi, inceleme sürüyor.
Üniversite, Euronews Türkçe'ye verdiği açıklamada kurum dışına veri aktarımı tespit edilmediğini, yaklaşık 500 TB verinin taranarak canlı ortama geri alındığını ve sistemlerin yüzde 95'inin çalışır hale getirildiğini bildirdi. İhlal KVKK'ya 6 Ekim'de bildirildi, kısmi erişim 5 Ekim'de sağlandı, toparlanma yaklaşık dokuz gün sürdü.
Olayı farklı kılan nokta: hedef sunucular değil, altındaki katman
Bu vakanın kritik ayrıntısı, saldırının tek tek sunucuları değil sanallaştırma katmanını etkilemiş olması. Bir ofiste on, yirmi veya elli sunucu aynı sanallaştırma altyapısı üzerinde çalışıyorsa, o katmanın ele geçirilmesi sunucuların tamamının aynı anda durması anlamına gelir. Alan adı denetleyicisi, dosya sunucusu, muhasebe veritabanı ve mail sistemi aynı donanım üzerinde yaşıyorsa, tek bir yönetici hesabı işin tamamını durdurabilir.
İkinci ayrıntı kurtarma süresi. Üniversite verilerini geri alabildi; buna rağmen toparlanma günler aldı. Yedeğin var olması ile işin aynı gün ayağa kalkması aynı şey değil.
Türkiye ve KOBİ tarafındaki karşılığı
KVKK aynı gün, 7 Ekim 2026'da, toplamda 12 veri ihlali kamuoyu duyurusu yayımladı. Listede inşaat, tekstil, sağlık yatırımları, perakende ve yazılım şirketleri yer alıyor. Yani bu yalnızca büyük kurumların gündemi değil; bildirim yükümlülüğü ölçek ayrımı yapmıyor.
Aynı gruptaki bir başka duyuru (2026/2198 sayılı karar) ise ayrı bir riski gösteriyor: yetkisiz erişim şirketin kendi sistemlerinde değil, verisini işleyen tedarikçinin sistemlerinde gerçekleşti. Kimlik, iletişim, konum, müşteri işlem ve finans bilgileri etkilendi. Hizmeti dışarıdan almak, KVKK karşısındaki bildirim sorumluluğunu dışarıya devretmiyor. Veri sorumlusu, ihlali öğrendiği andan itibaren en kısa sürede ve her halükârda 72 saat içinde Kurul'a bildirmekle yükümlü.
Kamer Bilişim olarak ne öneriyoruz?
- Yedeği sanallaştırma ortamının dışına çıkarın ve geri dönüşü test edin. Yedek, aynı sanallaştırma altyapısı veya aynı yönetici hesabıyla erişilebilen bir diskte duruyorsa saldırı anında birlikte kaybedilir. Değiştirilemez (immutable) veya ortamdan ayrık bir kopya tutun ve en az üç ayda bir gerçek bir geri yükleme denemesi yapın. Ölçülmesi gereken şey yedeğin varlığı değil, kaç saatte ayağa kalktığınız.
- Sanallaştırma ve yönetim panellerini kullanıcı ağından ayırın. Hipervizör arayüzleri, yedekleme konsolu ve sunucu yönetim kartları günlük kullanılan ağdan erişilebilir olmamalı. Bu panellere yalnızca ayrı bir yönetim ağı üzerinden, çok faktörlü kimlik doğrulama ile girilsin; yönetici hesapları günlük işlerde kullanılan hesaplardan ayrı tutulsun.
- Tedarikçi erişimlerini ve KVKK bildirim akışınızı yazılı hale getirin. Verinize dokunan her dış hizmetin hangi sisteme, hangi yetkiyle ve ne süreyle eriştiği kayıtlı olsun. 72 saatlik bildirim süresinin kim tarafından, hangi bilgilerle işletileceği olay anında değil öncesinde belirlenmiş olmalı.
Sanallaştırma altyapınızın yedekten geri dönüş süresini ölçmek, yönetim panellerinizi ağ seviyesinde ayırmak veya KVKK bildirim sürecinizi gözden geçirmek istiyorsanız, iletişim sayfamız üzerinden bize ulaşabilirsiniz. İstanbul Anadolu Yakası genelinde yerinde, diğer bölgelerde uzaktan destek veriyoruz.
Kaynak: KVKK Kamuoyu Duyurusu (7 Ekim 2026, Kurul kararı 2026/2203 ve 2026/2198); Euronews Türkçe, 10 Ekim 2026.