Hyundai Türkiye Veri İhlali: SQL Injection ve Tedarikçi Riskinden Çıkarılacak 7 Ders

Hyundai Motor Türkiye'de yaşanan veri ihlali, KVKK'nın kamuoyu duyurusuyla gündeme geldi. SQL injection zafiyeti ve tedarikçi kaynaklı riskler, her şirketin kendine sorması gereken soruları yeniden masaya koyuyor.

Ne Oldu?

Kişisel Verileri Koruma Kurulu, 05.08.2026 tarihli ve 2026/1634 sayılı kararıyla Hyundai Motor Türkiye'ye ilişkin veri ihlali bildiriminin Kurum internet sitesinde ilan edilmesine karar verdi. Basına yansıyan bilgilere göre:

• Saldırganlar 1 Ağustos 2026'da bir SQL injection zafiyetinden faydalandı.

• İhlal, Hyundai grubunun Güvenlik Operasyon Merkezi'nin (SOC) incelemesiyle tespit edildi ve 3 Ağustos'ta inceleme başlatıldı.

• Etkilenen verilerin, şirketin değerlendirme süreçlerinde çalışılan, veri işleyen konumundaki bir firmanın altyapısıyla bağlantılı olduğu belirtiliyor.

• Ad, soyad, e-posta, kullanıcı adı, şifre, unvan ve değerlendirme sonuçları gibi bilgiler etkilenmiş olabilir. Etkilenen kişi sayısının en fazla 422 olduğu tahmin ediliyor. Müşteri verilerinin etkilenmediği ifade ediliyor.

Kaynaklar: Teknoblog, Webtekno. İnceleme devam ettiği için ayrıntılar değişebilir.

SQL Injection Nedir, Neden Hâlâ Bu Kadar Etkili?

SQL injection, bir web uygulamasının kullanıcıdan aldığı veriyi doğrulamadan veritabanı sorgusuna eklemesiyle ortaya çıkan bir zafiyettir. Saldırgan, bir form alanına ya da URL parametresine özel hazırlanmış bir ifade yazarak veritabanından veri okuyabilir, değiştirebilir veya silebilir.

Bu zafiyet sınıfı yirmi yılı aşkın süredir biliniyor ve OWASP Top 10 listesinde "Injection" başlığı altında yer almaya devam ediyor. Hâlâ etkili olmasının sebepleri basit:

• Eski, bakımı yapılmayan uygulamalar ve kampanya için hızla kurulup unutulan sayfalar

• Parametreli sorgu yerine string birleştirme ile yazılmış kod

• Üçüncü taraf firmaların geliştirip barındırdığı, şirketin görünürlüğü dışında kalan sistemler

• Veritabanı kullanıcısına gereğinden fazla yetki verilmesi

Asıl Ders: Tedarikçiniz de Sizin Saldırı Yüzeyiniz

Bu olayın dikkat çekici yanı, ihlalin şirketin çekirdek sistemlerinden değil, bir hizmet sağlayıcısının altyapısından kaynaklanmış olması. KVKK açısından tablo net: Veriyi bir tedarikçiye işletmeniz, veri sorumlusu olarak sorumluluğunuzu ortadan kaldırmaz. Kanunun 12. maddesi, veri sorumlusunun, veriyi kendi adına işleyen kişilerle birlikte veri güvenliğinden müştereken sorumlu olduğunu açıkça belirtir.

Yani İK değerlendirme platformu, CRM, anket aracı, e-posta pazarlama servisi ya da kampanya sitesi; kişisel veri işleyen her tedarikçi, sizin güvenlik zincirinizin bir halkasıdır.

Şirketlerin Çıkarması Gereken 7 Ders

1. Tedarikçi envanteri çıkarın: Hangi firma, hangi kişisel veriyi, nerede ve hangi sistemde işliyor? Bu listeyi bilmeden riski yönetemezsiniz.

2. Sözleşmelere güvenlik şartı koyun: Veri işleyen sözleşmelerine sızma testi, zafiyet yönetimi, ihlal bildirim süresi ve denetim hakkı maddeleri ekleyin.

3. Parametreli sorgu kullanın: Kendi geliştirdiğiniz uygulamalarda prepared statement ve ORM kullanımını standart hâle getirin, kod incelemelerinde injection kontrolü yapın.

4. Şifreleri düz metin tutmayın: Parolalar bcrypt, scrypt veya Argon2 gibi algoritmalarla, tuzlanarak saklanmalı. Sızan bir tabloda okunabilir şifre bulunması, ihlalin etkisini katlar.

5. Uygulama katmanını koruyun: Web uygulama güvenlik duvarı (WAF) ve L7 trafik analizi, bilinen injection kalıplarını uygulamaya ulaşmadan durdurabilir.

6. İzleme ve SOC: Bu olayda ihlalin bir güvenlik operasyon merkezi tarafından tespit edilmiş olması önemli. Anormal sorgu hacmi, toplu veri çekimi ve başarısız giriş denemeleri için alarm kurun.

7. 72 saat kuralını prova edin: KVKK Kurulu kararına göre veri ihlali, öğrenildiği andan itibaren en geç 72 saat içinde Kurul'a bildirilmelidir. Kimin neyi, hangi sırayla yapacağını önceden yazılı hâle getirin.

Olay Müdahale Planınızda Mutlaka Olması Gerekenler

Sık Sorulan Sorular

Veri ihlali tedarikçide yaşanırsa KVKK bildirimini kim yapar?

Bildirim yükümlülüğü veri sorumlusuna aittir. Veri işleyen tedarikçi, ihlali öğrendiğinde gecikmeden veri sorumlusunu bilgilendirmelidir; bu nedenle sözleşmelerde net bir bildirim süresi bulunmalıdır.

SQL injection'a karşı WAF tek başına yeterli mi?

Hayır. WAF önemli bir savunma katmanıdır, ancak asıl çözüm güvenli kod yazmak, yani parametreli sorgular kullanmaktır. WAF, kod düzeltilene kadar zaman kazandırır ve bilinen saldırı kalıplarını filtreler.

Şifreleri sızan kullanıcılar ne yapmalı?

Aynı şifreyi kullandıkları tüm hesaplarda şifrelerini değiştirmeli ve mümkün olan her yerde iki faktörlü doğrulamayı açmalıdır. Kimlik avı e-postalarına karşı da bir süre ekstra dikkatli olmalıdırlar.

KVKK'da 72 saatlik süre ne zaman başlar?

Süre, veri sorumlusunun ihlali öğrendiği andan itibaren başlar. Tüm bilgiler henüz netleşmemiş olsa bile bildirim yapılmalı, eksik bilgiler daha sonra tamamlanmalıdır.

Olfe ile Altyapınızı Güvene Alın

Olfe, İzmir Bornova'daki Tier III veri merkezinde barındırdığı sistemler için çok katmanlı (L3/L4/L7) DDoS koruma, güvenlik duvarı yapılandırması, yama yönetimi ve 7/24 sunucu izleme gibi yönetilen hizmetler sunar. Verileriniz yurt içinde, biyometrik erişim kontrollü bir tesiste durur. Altyapınızın güvenlik açıklarını birlikte değerlendirmek için bizimle iletişime geçin. Kesintisiz hizmetin teknik tarafını merak ediyorsanız uptime yazımıza da göz atabilirsiniz.

Sonuç

Hyundai Türkiye olayı, büyük bir saldırı tekniğinin değil, çok bilinen bir zafiyetin ve görünürlüğü düşük bir tedarikçi sisteminin sonucu. Bu da iyi haber: Önlemler biliniyor. Kötü haber ise şu: Çoğu şirket, verisinin hangi tedarikçide durduğunu hâlâ tam olarak bilmiyor.

Güvenlik, sizin sunucularınızla değil, verinizin dokunduğu en zayıf sistemle ölçülür.

Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımaz.