KVKK 21 Ekim'de 10 veri ihlali bildirimi yayımladı. Üç tanınmış markada ihlalin kaynağı aynı: tedarikçi sunucusundaki üçüncü taraf yazılım kütüphanesi açığı.
Kişisel Verileri Koruma Kurumu, 21 Ekim 2026 tarihinde internet sitesinde aynı anda 10 ayrı veri ihlali bildirimi yayımladı. Listede bir büyükşehir belediyesi, bir devlet üniversitesi, özel bir sağlık kuruluşu, bir vakıf ve tanınmış gıda markaları yer alıyor. Bildirimlerin birkaçı okunduğunda ortaya dikkat çekici bir ortak nokta çıkıyor: saldırı şirketlerin kendi ağından değil, kullandıkları üçüncü taraf yazılımdan geliyor.
Aynı açık, üç farklı marka
KVKK'nın yayımladığı bildirimlere göre Güllüoğlu Gıda, Kurukahveci Mehmet Efendi ve Dermojet'te birbirinin aynısı bir senaryo yaşandı: veri işleyen konumundaki tedarikçinin sunucusunda kullanılan üçüncü taraf bir yazılım kütüphanesindeki güvenlik açığı istismar edilerek yetkisiz erişim sağlandı.
Güllüoğlu bildiriminde ihlalin 8 Ekim 2026'da veri işleyenin uyarısıyla tespit edildiği ve 67.193 kişinin etkilendiği belirtiliyor; sızan veriler arasında ad-soyad, telefon, e-posta, adres ve saklanan parola değerleri ile satıcı paneli hesapları bulunuyor. Mehmet Efendi bildiriminde ihlalin 7 Ekim 2026'da tespit edildiği, 15.303 müşteri ve 18 yönetim paneli hesabının etkilendiği kaydediliyor. Her iki bildirim de Kurul'un 21.10.2026 tarihli ve 2026/2281 sayılı kararıyla yayımlandı.
Diğer bildirimlerde öne çıkanlar
- Fidye yazılımı iki kurumda: Bir özel sağlık kuruluşunun sunucusunda fidye notu bulundu ve veri tabanı erişilemez hale geldi; şifrelenen sunucuda kimlik, iletişim, tetkik, tanı ve reçete kayıtları yer alıyordu. Bir vakıfta ise pasaport kopyaları dahil veriler etkilendi. Her iki olayda etkilenen kişi sayısı henüz belirlenemedi.
- Ele geçirilmiş parolayla hesap devralma: Bir büyükşehir belediyesinde, daha önce sızmış bir parola kullanılarak iki kurumsal e-posta hesabına girildi; saldırganlar posta kutusu içeriğini dışa aktardı, gelen postaları silen kural oluşturdu ve imzaya sahte metin ekledi. Olay 30 Eylül 2026'da tespit edildi.
- Telefonla sosyal mühendislik: İki kurumda çalışan hesapları sesli kimlik avı ve sosyal mühendislikle ele geçirildi; birinde erişim 4 Ağustos'ta başlamasına rağmen 6 Ekim'e kadar fark edilmedi.
KOBİ'ler için anlamı ne?
Bu tablonun KOBİ tarafındaki karşılığı net: şirketin kendi sunucusu yamalı olsa bile, e-ticaret altyapısını, muhasebe yazılımını veya CRM'ini işleten tedarikçinin sunucusundaki bir açık doğrudan sizin ihlal bildiriminize dönüşüyor. 6698 sayılı Kanun'da sorumluluk veri sorumlusunda; müşteri verisi tedarikçinin sunucusunda sızsa dahi Kurul'a bildirim yapacak ve hesap verecek olan sizsiniz.
İkinci dikkat çeken nokta tespit süresi. Örneklerde ihlal çoğunlukla şirketin kendi izlemesiyle değil, tedarikçinin veya USOM'un uyarısıyla fark edilmiş; bir olayda aradan iki ay geçmiş. Üçüncüsü ise parolalar: birden fazla bildirimde "saklanan parola değerleri" etkilenen veriler arasında.
Kamer Bilişim olarak ne öneriyoruz?
- Tedarikçi envanterinizi çıkarın ve sözleşmeye bağlayın. Hangi firmanın sunucusunda hangi müşteri verinizin durduğunu listeleyin. Veri işleyen sözleşmelerine ihlal halinde size bildirim süresi, yama ve güncelleme taahhüdü ile kullanılan bileşenlerin güncel tutulması yükümlülüğünü ekleyin.
- Tespit süresini kısaltacak izlemeyi kurun. Sunucu, firewall ve mail sistemi loglarını merkezî olarak toplayın; alışılmadık oturum açma, toplu dışa aktarma ve posta kutusu kuralı oluşturma gibi olaylar için uyarı tanımlayın. İhlali tedarikçinizden öğrenmek en pahalı senaryodur.
- Yönetim panelleri ve e-posta hesapları için MFA'yı zorunlu kılın. Yukarıdaki olayların en az üçünde giriş kapısı ele geçirilmiş bir parola oldu. Panel ve kurumsal e-posta erişimlerinde çok faktörlü doğrulamayı açın, ayrılan personelin hesaplarını kapatın ve 72 saatlik KVKK bildirim prosedürünüzü yazılı hale getirin.
Tedarikçi envanteriniz, log izleme düzeniniz ve KVKK ihlal prosedürünüz için destek isterseniz iletişim sayfamızdan bize ulaşabilirsiniz.
Kaynak: Kişisel Verileri Koruma Kurumu kamuoyu duyuruları (21.10.2026, Kurul kararı 2026/2281); Memurlar.net.