KVKK'dan beş yeni veri ihlali duyurusu: BTSO, Ethica Sigorta ve Air India listede

VGN

Bildirimler neden yayımlanıyor?

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesine göre, işlenen kişisel veriler kanuni olmayan yollarla başkalarının eline geçerse veri sorumlusu bunu en kısa sürede hem ilgili kişilere hem de Kurula bildirmek zorunda. Kurul gerekli gördüğünde bu bildirimleri internet sitesinde ilan ediyor. 11 Kasım tarihli kararlar 2026/2485 ile 2026/2494 arasında numaralandı.

BTSO'da SQL enjeksiyonu saldırısı

Bursa Ticaret ve Sanayi Odası, sistemlerinin bir SQL enjeksiyonu saldırısına maruz kaldığını bildirdi. İhlal, 2 Kasım 2026'da veri tabanı hizmetinin durması üzerine yapılan kontrollerde fark edildi. Bildirime göre üye firma ve şahıslara ait kimlik, iletişim, üyelik ve tahsilat kayıtları dışarı aktarıldı; genel muhasebe kayıtlarının ise etkilenmediği belirtildi. Etkilenen veriler kimlik, iletişim, müşteri işlem ve işlem güvenliği kategorilerinde yer alıyor. Etkilenen kişi ve kayıt sayısı henüz kesin olarak belirlenemedi.

Ethica Sigorta'da dört yıl önceki olay

Ethica Sigorta'nın bildirimi, 15 Ocak ile 14 Şubat 2022 arasında yaşanan bir ihlale ait. Şirketin hasar süreçlerinde danışmanlık aldığı firmanın kullandığı alt tedarikçi yazılımındaki bir güvenlik açığı nedeniyle hasar dosyalarına ve evraklarına yetkisiz erişim sağlandı. Müşteriler ve potansiyel müşteriler etkilendi. Bildirime göre ad, soyad, TC kimlik numarası, dosya ve poliçe numarası, hasar ve plaka bilgisini içeren 3 bin 91 kayıt etkilendi. Bunun yanında 2 bin 256 araç şasi numarası, 2 bin 251 motor numarası, 885 sigorta bedeli, 657 cep telefonu numarası ve 153 IBAN bilgisi de ihlalin kapsamında yer aldı. Şirket, etkilenen kişiler için 0850 888 0909 numaralı telefonu, [email protected] e-posta adresini ve KEP adresini iletişim kanalı olarak gösterdi.

Otelde misafir verileri ele geçirildi

Mard-Inn Hotel'i işleten Sadunoğlu İnşaat'ın bildirimine göre 27 Ekim 2026'da şirketin sunucu sistemlerine ve misafirlere sunulan kablosuz ağ altyapısına siber saldırı düzenlendi. Saldırıda sistem ve dosyalara erişim engellendi, sunucudaki otel misafirlerine ait kişisel veriler yetkisiz kişilerce ele geçirildi. Olay aynı gün tespit edildi. Çalışanlar, müşteriler ve kullanıcıların etkilendiği ihlalde kimlik, iletişim, özlük, finans, işlem güvenliği, fiziksel mekân güvenliği ile görsel ve işitsel kayıtlar risk altında. Etkilenen kişi sayısı netleştirilemedi.

Air India ve Stemline'da tedarikçi kaynaklı sızıntı

Air India'nın bildirimine göre şirketin veri işleyeninin sistemlerindeki seyahat rezervasyonu verilerine yetkisiz erişim sağlandı. İhlal 10 Ağustos 2023 ile 23 Eylül 2026 arasında sürdü ve veri işleyenin haber vermesiyle 3 Kasım 2026'da tespit edildi. Sınırlı ad-soyad bilgisi, rezervasyon referans numaraları, kısmi PNR kayıtları, uçuş tarih ve numaraları ile maskelenmiş kart bilgileri etkilendi; etkilenen kişi sayısı bilinmiyor.

Stemline Therapeutics'in bildiriminde ise bir saldırganın, şirketin alt veri işleyeninin bilgi teknolojileri personeli kılığına girerek sesli oltalama (vishing) yöntemiyle çalışan hesaplarına eriştiği ve ardından bazı bulut uygulamalarından veri sızdırdığı anlatıldı. Takma adlandırılmış sağlık ve sınırlı genetik verilerin etkilendiği olayda, verileri işlenen azami kişi sayısı 18 olarak bildirildi.

Tedarikçi zinciri öne çıkıyor

Beş bildirimin üçünde, Ethica Sigorta, Air India ve Stemline'da, ihlal doğrudan şirketin kendi sistemlerinden değil hizmet aldığı tedarikçi ya da veri işleyen tarafındaki bir zaafiyetten kaynaklandı. Bu tablo, verilerini bir şirkete teslim eden tüketicinin riskinin o şirketin iş ortaklarına kadar uzandığını gösteriyor.

Verisi sızanlar ne yapabilir?

Kanunun 11. maddesi herkese, veri sorumlusuna başvurarak verisinin işlenip işlenmediğini öğrenme, hangi üçüncü kişilere aktarıldığını sorma ve uğradığı zararın giderilmesini talep etme hakkı tanıyor. Veri sorumlusu başvuruyu en geç 30 gün içinde ücretsiz yanıtlamak zorunda. Başvurusu reddedilen, yanıtı yetersiz bulan ya da süresinde yanıt alamayan kişi, yanıtı öğrendiği tarihten itibaren 30 gün, her hâlde başvuru tarihinden itibaren 60 gün içinde Kurula şikâyette bulunabiliyor.

Sızan TC kimlik, telefon, IBAN, plaka ya da rezervasyon bilgileri dolandırıcıların elinde ikna aracına dönüşebiliyor. Kendini sigorta şirketi, otel, havayolu ya da oda görevlisi olarak tanıtıp ödeme ya da doğrulama kodu isteyen arama ve mesajlara itibar edilmemesi, bu tür taleplerin yalnızca kurumun resmi iletişim kanalından doğrulanması öneriliyor.