KVKK Tek Günde 33 Veri İhlali Duyurdu: 22'sinde Aynı Cümle ve Veri İşleyen Riski
KVKK 2 Eylül'de tek günde 33 veri ihlali bildirimi yayımladı. Bildirimlerin 22'sinde aynı ifade yer alıyor: veri işleyenin sistemlerindeki bir sunucuya yetkisiz erişim. Tedarikçi riskinin neden büyüdüğünü anlatıyoruz.
KVKK, 2 Eylül 2026'da tek günde 33 veri ihlali bildirimini kamuoyuyla paylaştı. Bildirimlerin 22'sinde aynı cümle var: "veri işleyen sistemlerindeki bir sunucuya yetkisiz erişim sağlanması." Bu tablo, tedarikçi riskinin artık istisna değil kural olduğunu gösteriyor.
Ne Oldu?
Kişisel Verileri Koruma Kurulu, 2 Eylül tarihli kararlarıyla 33 ayrı veri ihlali bildiriminin Kurum internet sitesinde ilan edilmesine karar verdi. CyberArts'ın derlemesine göre:
İhlaller ve tespitleri 22–30 Ağustos 2026 arasına yayılıyor.
33 bildirimin 22'sinde ihlal, veri işleyenin sistemlerindeki bir sunucuya yetkisiz erişim olarak tanımlanıyor. Bu bildirimler hazır giyim, ayakkabı, kozmetik, spor ve gıda gibi birbirinden farklı sektörlerdeki şirketlere ait.
Bu bildirimlerde ad, soyad, e-posta, adres, telefon ve hash'lenmiş giriş bilgileri gibi verilerin etkilendiği belirtiliyor. Veri işleyenin adı ise bildirimlerde yer almıyor.
Etkilenen kişi sayısını belirten 9 bildirimde toplam yaklaşık 74.600 kişi var; 24 bildirimde sayı henüz belirlenemedi.
Aynı gün yayımlanan bildirimler arasında birkaç fidye yazılımı vakası da var. Örneğin bir meslek odasında yaklaşık 58.600 kişinin, Uşak Üniversitesi'nde ise sanal sunuculara yönelik saldırıda yaklaşık 3.000 kişinin etkilendiği bildirildi. Bir teknokentte fiziksel sunucudaki dosyalar şifrelendi; bir inşaat şirketinde ise sağlık, biyometrik ve genetik verilerin etkilendiği belirtildi.
22 Bildirimin Ortak Noktası: Görünmeyen Tedarikçi
Birbiriyle ticari ilişkisi olmayan çok sayıda şirketin, aynı ifadeyle ve aynı tarih aralığında bildirim yapması dikkat çekici. Bildirimler veri işleyenin adını vermese de bu tablo, birçok şirkete hizmet veren ortak bir hizmet sağlayıcıdaki tek bir güvenlik açığının onlarca veri sorumlusunu aynı anda etkileyebileceğini gösteriyor.
E-ticaret altyapısı, kampanya ve sadakat platformları, CRM, e-posta pazarlama ve çağrı merkezi yazılımları bu tür yoğunlaşmanın tipik örnekleri. Bir tedarikçi, yüzlerce şirketin müşteri verisini aynı altyapıda tutabiliyor.
Hatırlatalım: KVKK'nın 12. maddesine göre veri sorumlusu, verileri kendi adına işleyen kişilerle birlikte veri güvenliğinden müştereken sorumludur. Benzer bir dersi Hyundai Türkiye veri ihlali yazımızda ele almıştık.
Veri İşleyen Riskini Yönetmek İçin 6 Adım
Veri işleyen envanteri: Hangi tedarikçinin hangi kişisel veriyi, hangi ülkede ve hangi altyapıda işlediğini listeleyin.
Güvenlik değerlendirmesi: Kritik tedarikçilerden sızma testi raporu, sertifika ve güvenlik politikası talep edin.
Sözleşme maddeleri: İhlal bildirim süresi (saatlerle ifade edilmiş), denetim hakkı, alt yüklenici kullanımı ve veri silme yükümlülüklerini net yazın.
Veri minimizasyonu: Tedarikçiye yalnızca hizmet için gerekli veriyi aktarın. Gerekmeyen alanlar, ihlalde riski büyütür.
Erişimi sınırlayın: Tedarikçi erişimlerini IP kısıtlaması, MFA ve en az yetki ilkesiyle sınırlandırın; kullanılmayan entegrasyonları kapatın.
Bildirim provası: Tedarikçiden ihlal bilgisi geldiğinde 72 saatlik KVKK bildirim süresini nasıl karşılayacağınızı önceden prova edin.
Fidye Yazılımı Vakaları Ne Söylüyor?
Aynı gün açıklanan fidye yazılımı vakaları, Ağustos'taki küresel rekorun Türkiye'ye de yansıdığını gösteriyor. Değiştirilemez yedek, ağ segmentasyonu ve hızlı yama yönetimi gibi önlemleri fidye yazılımı yazımızda detaylı anlattık.
Sık Sorulan Sorular
KVKK veri ihlallerini neden kamuoyuna duyuruyor?
KVKK'nın 12. maddesinin 5. fıkrası, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde Kurul'un gerekirse bu durumu internet sitesinde veya başka bir yöntemle ilan edebilmesine imkân tanır.
Veri işleyen kimdir?
Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek veya tüzel kişidir. Bulut hizmeti, yazılım, çağrı merkezi ya da pazarlama hizmeti veren firmalar tipik örneklerdir.
Hash'lenmiş parola sızarsa risk var mı?
Kullanılan algoritmaya bağlıdır. Hızlı ve tuzsuz algoritmalarla hash'lenmiş parolalar kırılabilir. bcrypt, scrypt veya Argon2 gibi yavaş ve tuzlu algoritmalar riski önemli ölçüde azaltır.
Olfe ile Kontrol Sizde
Olfe'nin İzmir Bornova'daki Tier III veri merkezinde verileriniz yurt içinde, biyometrik erişim kontrollü bir tesiste ve kendi kontrolünüzdeki altyapıda durur. Kabin barındırma, fiziksel sunucu ve özel bulut seçenekleri ile verinizin nerede ve kimin erişiminde olduğunu bilirsiniz. Bizimle iletişime geçin.
Sonuç
33 bildirim, 22 aynı cümle. Tek bir tedarikçideki zafiyet, onlarca şirketin müşterilerini aynı anda etkileyebiliyor. Verinizi koruyan zincir, en zayıf tedarikçinizden daha güçlü değil.
Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımaz.