KVKK 21 Ekim'de 10 ayrı veri ihlali bildirimini aynı anda yayımladı. Üç olayda açık, kurumun kendi sunucusunda değil veri işleyen tedarikçinin yazılımındaydı.
Kişisel Verileri Koruma Kurumu (KVKK), 21 Ekim 2026 tarihinde 10 ayrı veri ihlali bildirimini tek seferde kamuoyu duyurusu olarak yayımladı. Listede gıda sanayisinden üniversiteye, belediyeden sağlık kuruluşuna ve otel işletmesine kadar birbirinden çok farklı ölçek ve sektörler yer alıyor. Rakamı açıklanan beş bildirimin toplamı 142.791 kişiyi işaret ediyor; kalan beş bildirimde etkilenen kişi sayısı henüz netleşmedi.
Dikkat çeken nokta: ihlallerin kaynağı çoğu zaman kurumun kendi sunucusu değil
Duyurulan ihlallerin üçünde saldırganlar, veri sorumlusunun kendi altyapısına değil, onun adına veri işleyen üçüncü taraf bir firmanın yazılımındaki açığa girerek verilere ulaştı. Güllüoğlu Gıda bildiriminde 67.193 kişi, Dermojet bildiriminde 50.636 kişi, Kurukahveci Mehmet Efendi bildiriminde ise en fazla 15.303 kişi etkilendi. Her üç olayda da sızan veriler arasında ad-soyad, telefon, e-posta ve adres bilgilerinin yanı sıra saklanan parola bilgileri ve yönetim paneli hesapları bulunuyor.
Geri kalan bildirimlerde tablo çeşitleniyor: iki olayda fidye yazılımı, bir olayda ele geçirilen kurumsal e-posta parolası, iki olayda ise çalışanı hedef alan sosyal mühendislik ve sesli kimlik avı (vishing) devreye girmiş. Yani saldırının başladığı nokta çoğunlukla yazılım açığı ya da bir insan hatası; ikisi de teknik olarak uzak ihtimal değil.
Türkiye'deki KOBİ için bunun karşılığı ne?
6698 sayılı Kanun'un 12. maddesi, veri sorumlusuna kişisel verilerin hukuka aykırı şekilde işlenmesini ve bunlara erişilmesini önlemek için idari ve teknik tedbir alma yükümlülüğü getiriyor. Kritik ayrıntı şu: bu sorumluluk, işin bir kısmını dışarıya vermekle ortadan kalkmıyor. E-ticaret altyapınızı, muhasebe yazılımınızı, CRM'inizi veya bayi panelinizi başka bir firma işletiyor olsa bile, müşteri verisi sizin verinizdir ve ihlali KVKK'ya bildirmek sizin yükümlülüğünüzdür.
Bir diğer ayrıntı, bildirim süresi. KVKK, ihlalin öğrenilmesinden itibaren en kısa sürede ve 72 saat içinde Kurum'a bildirim yapılmasını bekliyor. Yukarıdaki olaylarda tespit tarihleri ile bildirim arasında haftalar geçtiği görülüyor; bu da ihlalin ne zaman "öğrenildiğinin" kayıt altında olmasının neden önemli olduğunu gösteriyor. Log tutmayan bir kurumda bu sorunun cevabı yoktur.
Son olarak, parolaların nasıl saklandığı konusu. Bildirimlerde "saklanan parola bilgileri" ve "özetlenmiş (hash'lenmiş) parolalar" ayrı ayrı geçiyor. Bu ayrım, ihlalin kullanıcı tarafındaki etkisini doğrudan belirliyor.
Kamer Bilişim olarak ne öneriyoruz?
- Tedarikçi envanterinizi çıkarın ve sözleşmeye bağlayın. Hangi firma sizin adınıza hangi kişisel veriyi işliyor, hangi sunucuda duruyor, ihlal halinde sizi kaç saat içinde haberdar edecek? Bunu yazılı hale getirin. Veri işleyen sözleşmelerinde bildirim süresi, log paylaşımı ve güvenlik tedbirleri açıkça yer almalı.
- Dışa açık her panel için iki faktörlü doğrulama ve erişim kaydı zorunlu olsun. Yukarıdaki olaylarda yönetim paneli hesapları ve kurumsal e-posta parolaları doğrudan hedefti. Tek başına parola, internete açık bir panel için yeterli bir savunma değil. Kurumsal e-posta tarafında oturum açma kayıtlarını ve kural değişikliklerini izleyin.
- 72 saatlik bildirim senaryosunu önceden yazın. İhlali kim fark edecek, kimi arayacak, hangi logları toplayacak, KVKK bildirimini kim hazırlayacak? Bu adımları tek sayfalık bir plana dökün ve yılda bir tatbikat yapın. İhlal anında aranacak numarayı aramaya çalışmak, en pahalı zaman kaybıdır.
İstanbul Anadolu Yakası'ndaki KOBİ'ler, ofisler, lojistik ve denizcilik firmaları, klinikler ve üretim tesisleri için tedarikçi envanteri çıkarma, panel erişimlerini sıkılaştırma, log altyapısı kurma ve KVKK uyum süreçlerini yürütme konusunda destek veriyoruz. Mevcut durumunuzu birlikte değerlendirmek için iletişim sayfamızdan bize ulaşabilirsiniz.
Kaynak: KVKK Kamuoyu Duyuruları (21 Ekim 2026), Memurlar.net
Kaynak: KVKK