KVKK, bir üniversitenin sanallaştırma altyapısını ve üzerindeki sunucuları etkileyen fidye yazılımı saldırısını kamuoyuna duyurdu. Olay, KOBİ'lerde hipervizör katmanının neden tek kırılma noktası olduğunu gösteriyor.
Kişisel Verileri Koruma Kurumu (KVKK), 7 Ekim 2026 tarihli kamuoyu duyurusunda Yıldız Teknik Üniversitesi'nin veri sorumlusu olarak bildirdiği bir veri ihlalini yayımladı. Kurumun duyurusuna göre 1 Ekim 2026'da başlayan ve aynı gün tespit edilen fidye yazılımı saldırısı, kurumun sanallaştırma altyapısını ve bu altyapı üzerinde çalışan sunucuları etkiledi. Duyuruda yaklaşık 140 bin öğrenci ile 4.500 personelin etkilenmiş olabileceği, ziyaretçi sayısının ve etkilenen veri kategorilerinin ise henüz belirlenemediği belirtiliyor.
Üniversite 10 Ekim'de Euronews Türkçe'ye yaptığı açıklamada, verilerin dışarı çıkarıldığına işaret eden bir trafik tespit edilmediğini, yaklaşık 500 TB verinin taranıp test edilerek geri yüklendiğini ve sistemlerin yüzde 95'inin yeniden devreye alındığını bildirdi. Aynı habere göre sistemler 5 Ekim'den itibaren kısmen erişilebilir hale geldi; adli bilişim incelemesi sürüyor.
Asıl mesele: hipervizör tek kırılma noktası
Bu olayı KOBİ'ler açısından önemli kılan şey, saldırının tek tek bilgisayarları değil sanallaştırma katmanını hedef almasıdır. Tipik bir kurumsal kurulumda etki alanı denetleyicisi, dosya sunucusu, muhasebe veya ERP sunucusu ve çoğu zaman yedekleme sunucusunun kendisi aynı hipervizör üzerinde sanal makine olarak çalışır. Hipervizör yönetim katmanı ele geçirildiğinde bu sistemlerin tamamı aynı anda kullanılamaz hale gelir. Yedek kopyalar da aynı sanal ortamda ya da aynı ağ üzerinden kimliği doğrulanmış bir disk alanında tutuluyorsa, kurtarma dayanağı da olayla birlikte kaybedilir.
İkinci mesele süredir. Kurumun kendi aktardığı tabloda bile sistemlerin yüzde 95'inin ayağa kalkması yaklaşık dokuz günü, 500 TB verinin denetimli biçimde geri yüklenmesini gerektirdi. Bu ölçekte bir kurumun kaynaklarıyla dokuz gün süren bir toparlanma, 20-50 kişilik bir ofiste yedekleme tasarımı ve geri yükleme planı hazır değilse haftalara çıkabilir.
Türkiye ve KOBİ tarafındaki karşılığı
6698 sayılı Kanun'un 12/5. maddesi ve KVKK'nın 24 Ocak 2019 tarihli 2019/10 sayılı ilke kararı, veri sorumlusunun ihlali öğrendiği andan itibaren en kısa sürede ve her hâlükârda 72 saat içinde Kurula bildirim yapmasını zorunlu kılıyor. KVKK duyurusu ihlalin 1 Ekim'de tespit edildiğini, bildirimin ise 6 Ekim'de yapıldığını aktarıyor. Üniversite, bildirimi mevzuatın gerektirdiği şekilde kendisinin yaptığını ve Kurumun bir ihlal tespit etmediğini açıkladı.
Pratikte bu, bir fidye olayında kurumun aynı anda üç işi yürütmesi gerektiği anlamına geliyor: işleyişi ayağa kaldırmak, olayın kapsamını adli bilişim düzeyinde belirlemek ve 72 saatlik bildirim penceresini kaçırmamak. Hazırlık yapılmamış bir kurumda bu üçünün aynı anda yürütülmesi genellikle mümkün olmuyor; teknik ekip kurtarmaya odaklanırken hukuki yükümlülük geride kalıyor.
Kamer Bilişim olarak ne öneriyoruz?
- Yedeği hipervizörden ve etki alanından ayırın. 3-2-1 kuralını uygulayın: en az üç kopya, iki farklı ortam, bir kopya tesis dışında. En az bir kopyanın değiştirilemez (immutable) veya çevrim dışı olması, yedekleme konsolunun kimlik bilgilerinin ise etki alanı hesaplarından tamamen ayrı tutulması gerekir. Böylece hipervizör ele geçse bile geri dönülecek bir nokta kalır.
- Yedeğin varlığıyla yetinmeyin, geri yükleme tatbikatı yapın. Üç ayda bir kritik bir sunucuyu izole bir ortamda gerçekten ayağa kaldırın ve geçen süreyi ölçün. Kurtarma süresi hedefinizi (RTO) bu ölçümle belirleyin; raporda "yedek başarılı" yazması, o yedeğin açılacağını kanıtlamaz.
- İnternete açık yönetim arayüzlerini kapatın, ihlal müdahale planını yazılı hale getirin. Hipervizör yönetim arayüzü, yedekleme konsolu ve RDP internete doğrudan açık olmamalı; erişim VPN arkasından ve çok faktörlü doğrulama ile verilmelidir. Buna, kimin kimi arayacağını ve 72 saatlik KVKK bildiriminden kimin sorumlu olduğunu gösteren tek sayfalık bir plan eşlik etmelidir.
Kamer Bilişim olarak 2006'dan bu yana İstanbul Anadolu Yakası genelinde ve uzaktan destekle KOBİ'lerin sunucu, sanallaştırma, yedekleme ve KVKK uyum süreçlerini yürütüyoruz. Mevcut yedekleme kurgunuzun bir fidye senaryosunda gerçekten işe yarayıp yaramadığını birlikte gözden geçirmek isterseniz iletişim sayfamızdan bize ulaşabilirsiniz.
Kaynak: KVKK Kamuoyu Duyurusu (7 Ekim 2026), Euronews Türkçe, NTV
Kaynak: Euronews Türkçe