KVKK, 4 Kasım 2026 tarihinde 12 yeni veri ihlali bildirimi ilan etti; ilanların büyük bölümü turizm, otelcilik ve seyahat acenteliği alanından geldi. Bildirim metinleri giriş noktası olarak kurumsal e-posta hesaplarını ve rezervasyon sistemlerini işaret ediyor.
Kişisel Verileri Koruma Kurumu (KVKK), 4 Kasım 2026'da internet sitesinde 12 yeni veri ihlali bildirimi ilan etti. İlanların büyük bölümü tek bir alanda yoğunlaştı: turizm, otelcilik ve seyahat acenteliği.
Kurumun veri ihlali bildirimi sayfasında yayımlanan listede NCL (Bahamas) Ltd., Yazıcı Turizm Yatırımları ve İşletmeleri AŞ, Çamyuva Otelcilik İşletmeleri AŞ (Sveo Resort Kemer), Yazz Otelcilik Turizm İşletmeleri, Dalyan İztuzu Seyahat Acentası ve Bize Proje Geliştirme AŞ (Bengodi Boutique Hotel) gibi veri sorumluları yer alıyor. Kurul'un 21 Ekim 2026 tarihli ve 2026/2285 sayılı kararıyla ilan edilen Akropol Turizm (MW Phokaia Beach & Resort) bildirimi de aynı tabloyu tamamlıyor.
Giriş noktası: kurumsal e-posta ve rezervasyon sistemleri
Akropol Turizm bildiriminin metni, olayın işletmenin kendi bilgi işlem altyapısı ve kurumsal e-posta hesaplarına yönelik siber güvenlik olaylarından kaynaklandığını belirtiyor. İnceleme kapsamındaki veri kategorileri arasında kimlik ve iletişim bilgileri, kurumsal e-posta yazışmalarında geçen gerçek kişilere ait bilgiler, rezervasyon ve konaklama süreçlerine ilişkin veriler, çalışanlara ait özlük bilgileri ile finansal ve işlem bilgileri sayılıyor. Bildirimde etkilenen kişi sayısının henüz tespit edilmediği, incelemenin sürdüğü belirtiliyor.
Dikkat çeken nokta şu: etkilenen veri yalnızca müşteri kaydı değil. Personel özlük dosyaları ve yıllara yayılmış yazışma arşivi de aynı kapsamda değerlendiriliyor.
Rezervasyon zincirinin yukarısında da benzer bir örnek var. KVKK'nın 26 Ağustos 2026 tarihli ve 2026/1797 sayılı kararıyla ilan edilen Travelport International Operations Limited bildirimine göre, ViewTrip uygulamasındaki bir API yapılandırma hatası nedeniyle kayıtlara erişim için PNR numarası ile soyadının birlikte istenmesi gerekirken yalnızca rezervasyon referansı yeterli oluyordu. Bildirimde etkilenen kişi sayısı 73.958 olarak raporlandı; Kurum, Türkiye'de ikamet edenlerin sayısının mükerrer kayıtlar nedeniyle daha düşük olabileceğini not düştü.
KOBİ'ler için ne anlama geliyor?
İlanlar turizm özelinde görünse de mekanizma sektörden bağımsız. Bir KOBİ'nin kişisel verisi genellikle üç yerde durur: kurumsal e-posta kutuları, iş uygulaması ya da sipariş-rezervasyon sistemi ve bu ikisini birbirine bağlayan entegrasyonlar. Ele geçirilen tek bir e-posta hesabı, eklerdeki kimlik fotokopilerine, sözleşmelere ve bordrolara erişim anlamına gelebiliyor. Travelport örneği ise yetkilendirme mantığındaki tek bir hatanın, altyapıda klasik anlamda bir zafiyet bulunmasa bile veriyi dışarıya açabileceğini gösteriyor.
Bir başka pratik sonuç: ihlalin kaynağının tedarikçi yazılımı olması, veri sorumlusunun yükümlülüğünü ortadan kaldırmıyor. İhlali Kurul'a bildirme ve ilgili kişileri bilgilendirme sorumluluğu veri sorumlusunda kalıyor.
Kamer Bilişim olarak ne öneriyoruz?
- Kurumsal e-postada çok faktörlü doğrulamayı istisnasız zorunlu kılın. Yönetici hesapları ve ortak kullanılan kutular (info@, muhasebe@, rezervasyon@) en sık atlanan yerler. Aynı ayarda eski protokolleri kapatın; MFA'yı atlatmanın en kolay yolu budur. Yetkisiz giriş denemeleri için oturum günlüklerini raporlamaya bağlayın.
- Müşteri paneli, rezervasyon ve sipariş ekranlarında yetkilendirme testi yaptırın. Travelport örneğindeki hata bir yazılım açığı değil, bir tasarım tercihiydi. "Kayıt numarasını bilen herkes kaydı görebiliyor mu?" sorusunu her form için tek tek sınayın; tedarikçi yazılımı kullanıyorsanız bu testi sözleşmeye ekleyin.
- Yedeklemeyi ihlal senaryosuna göre kurun ve 72 saatlik bildirim akışını önceden yazın. Kimin hangi sistemi inceleyeceği, kimin Kurul'a bildirim hazırlayacağı ve hangi log kayıtlarının elinizde olduğu, olay anında aranacak bilgi olmamalı. Çevrim dışı bir yedek kopya ve en az 6 ay geriye giden erişim günlükleri bu akışın temelidir.
İstanbul Anadolu Yakası'ndaki ofisinizde kurumsal e-posta güvenliği, yetkilendirme gözden geçirmesi, yedekleme ve KVKK uyum çalışması için iletişim sayfamızdan bize ulaşabilirsiniz. Mevcut altyapınızı birlikte inceleyip önceliklendirilmiş bir yol haritası çıkarıyoruz.
Kaynak: Kişisel Verileri Koruma Kurumu (KVKK) veri ihlali bildirimi ilanları, 04.11.2026; Kurul kararları 2026/2285 (21.10.2026) ve 2026/1797 (26.08.2026)