KVKK'nın 21 Ekim İhlal Bildirimleri: Üçüncü Taraf Kütüphane, Çalınmış Parola ve Sesli Oltalama

KVKK'nın 21 Ekim 2026 tarihli kararlarıyla duyurduğu 10 veri ihlali bildirimi, saldırganların farklı kapılardan nasıl girdiğini gösteren bir vaka seti gibi. Üç saldırı yolu öne çıkıyor: tedarikçi sunucusundaki üçüncü taraf kütüphane açığı, daha önce çalınmış bir parola ve telefonla yapılan oltalama.

21 Ekim Bildirimlerinde Neler Var?

KVKK duyurularında yer alan bildirimler gıda, kozmetik, sağlık, eğitim vakfı, turizm, kamu ve ilaç sektörlerine yayılıyor. Öne çıkan başlıklar:

• Üç e-ticaret markası, aynı açık: Üç ayrı markanın ihlali, veri işleyenin sunucusunda kullanılan bir üçüncü taraf kütüphanedeki açıktan kaynaklandı. Bildirimlere göre hash'lenmiş parolalar ve satıcı paneli bilgileri etkilendi; etkilenen kişi sayıları yaklaşık 67 bin, 50 bin ve 15 bin olarak bildirildi.

• Daha önce çalınmış bir parola: Bir büyükşehir belediyesindeki ihlal, önceden ele geçirilmiş bir parolanın kullanılmasıyla gerçekleşti.

• Telefonla oltalama (vishing): Bir ilaç şirketinde saldırganlar, sesli bir oltalama aramasıyla CRM veritabanına ulaştı ve erişim yaklaşık iki ay sürdü.

• Sağlıkta fidye yazılımı: Ankara'daki özel bir klinikte fidye yazılımı nedeniyle kimlik, finansal ve sağlık kayıtları etkilendi; veritabanı şifrelendiği için etkilenen kişi sayısı ilk aşamada belirlenemedi.

• Pasaport kopyaları: Bir eğitim vakfında fidye yazılımı saldırısında pasaport kopyaları ve fotoğraflar etkilendi.

Saldırı Yolu 1: Üçüncü Taraf Kütüphane

Modern web uygulamaları yüzlerce açık kaynak ve ticari kütüphane kullanır. Bunlardan birindeki bir açık, kütüphaneyi kullanan tüm sitelere taşınır. Tedarikçi aynı yazılımı birden fazla müşteri için çalıştırıyorsa, tek bir açık birden fazla markayı aynı anda etkiler.

• Yazılım bileşen listesi (SBOM) tutun; hangi kütüphanenin hangi sürümünü kullandığınızı bilin.

• Bağımlılık taramasını derleme sürecinin parçası yapın.

• Tedarikçinizden güncelleme ve zafiyet yönetimi sürecini yazılı olarak isteyin.

Saldırı Yolu 2: Çalınmış Parola

Daha önceki bir sızıntıda ele geçirilen parola, aylar sonra başka bir sisteme girmek için kullanılabilir. Credential stuffing yazımızda anlattığımız gibi en etkili önlem; her sistemde farklı parola ve çok faktörlü doğrulama.

Saldırı Yolu 3: Sesli Oltalama

Vishing, saldırganın telefonda kendini BT destek, yönetici ya da tedarikçi olarak tanıtıp çalışandan şifre, doğrulama kodu ya da erişim izni almasıdır. Teknik önlemleri doğrudan aşar; çünkü kapıyı çalışan kendisi açar.

Sık Sorulan Sorular

Vishing nedir?

Telefon üzerinden yapılan oltalama saldırısıdır. Saldırgan güvenilir bir kişi veya kurum gibi davranarak kurbandan bilgi veya erişim ister.

SBOM nedir?

Software Bill of Materials, bir yazılımın içerdiği tüm bileşen ve kütüphanelerin listesidir. Yeni bir açık duyurulduğunda etkilenip etkilenmediğinizi hızlıca anlamanızı sağlar.

Hash'lenmiş parolalar sızarsa ne olur?

Kullanılan algoritma zayıfsa parolalar kırılabilir. Kullanıcıların parolalarını değiştirmesi ve aynı parolayı başka yerde kullanıyorlarsa oralarda da değiştirmesi önerilir.

Olfe ile Güvenli Altyapı

Olfe, İzmir Bornova'daki Tier III veri merkezinde güvenlik yapılandırması, yama yönetimi ve 7/24 izleme içeren yönetilen hizmetler sunar. Verileriniz yurt içinde, sizin kontrolünüzdeki altyapıda durur. Bizimle iletişime geçin.

Sonuç

21 Ekim bildirimleri tek bir mesaj veriyor: Saldırganlar en zayıf halkayı arar ve bu halka bazen bir kütüphane, bazen eski bir parola, bazen de iyi niyetli bir çalışandır. Güvenlik, bu üç katmanın hepsini birlikte düşünmeyi gerektirir.

Bu yazı genel bilgilendirme amaçlıdır. Bildirimlerin güncel ve resmî içeriği için kvkk.gov.tr esas alınmalıdır.