KVKK'nın 27 Ekim'de yayımladığı Asyaport Liman ihlali bir tedarikçinin servis masası uygulamasındaki açıktan kaynaklandı. Ekim ayının bildirimleri aynı deseni gösteriyor: risk giderek tedarik zincirinden geliyor.
Kişisel Verileri Koruma Kurumu (KVKK), 27 Ekim 2026'da Asyaport Liman A.Ş.'ye ait bir veri ihlali bildirimini kamuoyuna duyurdu. İhlalin kaynağı şirketin kendi sistemleri değildi: bir tedarikçinin "Servis Destek Masası" uygulamasındaki güvenlik açığıydı. Saldırganlar kimlik doğrulamayı atlatıp birkaç hesabın parolasını değiştirdi ve yetkisiz erişim sağladı.
Olay nedir?
KVKK'nın 27.10.2026 tarihli ve 2026/2363 sayılı Kurul kararıyla yayımlanan duyurusuna göre ihlal 12 Ekim 2026'da başladı ve 19 Ekim 2026'da tespit edildi. İlk değerlendirmeye göre çalışan, kullanıcı ve müşteri grubundan 855 kişi etkilendi; açığa çıkan veriler ad-soyad ile e-posta adresi ve telefon numarasından oluşuyor. İnceleme sürüyor.
Bu tekil bir vaka değil. KVKK 7 Ekim 2026'da, 07.10.2026 tarihli Kurul kararlarına dayanan 17 yeni veri ihlali bildirimini birden yayımladı; CyberArts Pro'nun 14 Ekim 2026 tarihli derlemesine göre bu bildirimlerin 12'sinde veriler saldırganlarca şifrelenmişti ve bildirimlerin önemli bir bölümü veri işleyen ya da üçüncü taraf altyapısı üzerinden gerçekleşmişti. 21 Ekim 2026'da yayımlanan Enka Spor Eğitim ve Sosyal Yardım Vakfı duyurusu ise sunucu altyapısına yönelik bir fidye yazılımı saldırısını anlatıyor.
Neden önemli?
Asyaport örneğindeki asıl ders şu: ihlal tedarikçinin sisteminde gerçekleşse bile, Kurul'a ve ilgili kişilere bildirim yükümlülüğü veri sorumlusuna aittir. Kurul'un 24.01.2019 tarihli ve 2019/10 sayılı kararına göre bildirim, ihlalin öğrenildiği andan itibaren en geç 72 saat içinde yapılmalıdır. Tedarikçinizin size geç haber vermesi bu süreyi uzatmaz.
İkinci ders tespit süresiyle ilgili. Asyaport olayında ihlalin başlangıcı ile fark edilmesi arasında yedi gün var. Bu süre boyunca saldırgan sistemde serbesttir; 72 saatlik sayaç ise ancak fark edildiğinde işlemeye başlar. Yani tespit kabiliyeti olmayan bir kurum, hem riski hem de uyumsuzluğu aynı anda biriktirir.
Türkiye ve KOBİ tarafındaki karşılığı
Türkiye'deki KOBİ'lerin büyük kısmı bugün çok sayıda dış tedarikçiyle çalışıyor: muhasebe ve ön muhasebe yazılımları, ERP sağlayıcıları, çağrı merkezi ve servis masası uygulamaları, kargo ve gümrük entegrasyonları, bordro firmaları, bulut yedekleme sağlayıcıları. Bunların her biri kurumunuzun verisine bir kapı açar.
Liman, lojistik, denizcilik acentesi, inşaat ofisi ya da üretim tesisi fark etmez: kurumunuzun gerçek saldırı yüzeyi, kendi sunucu odanızla sınırlı değil. Tedarikçilerinizin güvenlik seviyesi, sizin güvenlik seviyenizin parçasıdır. Üstelik bir ihlal sonrasında KVKK incelemesinde hesap verecek olan, hizmeti satın alan taraftır.
Kamer Bilişim olarak ne öneriyoruz?
- Tedarikçi ve veri işleyen envanterini çıkarın. Hangi firma hangi veriye, hangi sistem üzerinden, hangi yetkiyle erişiyor? Her biriyle KVKK'nın öngördüğü yazılı veri işleyen sözleşmesi var mı? Sözleşmelere ihlal durumunda size gecikmeksizin bildirim yükümlülüğü ekletin; 72 saatlik süreniz onların haber vermesine bağlı.
- Tedarikçi erişimlerini daraltın ve kayıt altına alın. Dış firmalar paylaşılan hesaplarla değil, kişiye özel ve süreli hesaplarla bağlansın; çok faktörlü doğrulama zorunlu olsun; yetkiler yalnızca ihtiyaç duyulan sisteme sınırlansın. Uzak erişim ve yönetim panellerinin logları merkezi bir yerde toplansın — Asyaport örneğindeki yedi günlük boşluğu kapatan şey tam olarak budur.
- İhlal müdahale planınızı önceden yazın ve bir kez prova edin. İhlali kim değerlendirecek, Kurum'a bildirimi kim yapacak, Veri İhlali Bildirim Formu'nu kim dolduracak, ilgili kişilere nasıl ulaşılacak? Bunlar ihlal gününde değil bugün karara bağlanmalı. Masa başı bir tatbikat çoğu eksiği ortaya çıkarır.
Tedarikçi erişimlerinizi, log toplama altyapınızı ve ihlal müdahale sürecinizi birlikte gözden geçirmek isterseniz iletişim sayfamız üzerinden bize ulaşabilirsiniz. İstanbul Anadolu Yakası genelinde yerinde, diğer bölgelerde uzaktan destek veriyoruz.
Kaynak: KVKK Kamuoyu Duyuruları (27.10.2026 / 2026/2363 ve 21.10.2026 / 2026/2284), CyberArts Pro (14 Ekim 2026), Kurul Kararı 24.01.2019 / 2019-10
Kaynak: KVKK Kamuoyu Duyurusu