Parola ve T.C. Kimlik Numarası Sızdığında: Credential Stuffing Riski ve Korunma Yolları

KVKK'nın 23 Eylül 2026'da duyurduğu bir veri ihlalinde parola, T.C. kimlik numarası, doğum tarihi ve telefon gibi bilgiler etkilendi. Bu bilgilerin birlikte sızması, tek bir hesabın değil, kişinin tüm dijital kimliğinin risk altına girmesi demek.

Ne Oldu?

Kişisel Verileri Koruma Kurulu'nun 23.09.2026 tarihli ve 2026/2082 sayılı kararıyla yayımlanan kamuoyu duyurusuna göre:

• Vergi Müfettişleri Derneği'nin verilerinin işlendiği sistemlere yetkisiz erişim sağlandı.

• İhlal, veri işleyenin 15.09.2026'da veri sorumlusunu bilgilendirmesiyle tespit edildi.

• Ad, soyad, unvan, e-posta, parola bilgisi, cep telefonu, T.C. kimlik numarası ve doğum tarihi gibi veriler etkilendi.

• Etkilenen kişi sayısının en fazla 9.462 olduğu belirtildi. İnceleme devam ediyor.

Duyuruda parolaların nasıl saklandığına dair bilgi yer almıyor. Olay, ayın başında yayımlanan ve büyük kısmı veri işleyen kaynaklı olan 33 ihlal bildirimini de hatırlatıyor.

Bu Kombinasyon Neden Tehlikeli?

Tek başına bir e-posta adresi ya da telefon numarası sınırlı risk taşır. Ama parola, T.C. kimlik numarası, doğum tarihi ve telefon bir arada sızdığında saldırganların elinde güçlü bir set oluşur:

• Credential stuffing: Sızan e-posta ve parola çiftleri, otomatik araçlarla başka sitelerde denenir. Aynı parolayı birden fazla yerde kullananlar ilk hedeftir.

• Hedefli oltalama: Gerçek kimlik bilgilerini içeren SMS ve e-postalar çok daha inandırıcı olur.

• Kimlik doğrulama sorularının aşılması: Doğum tarihi ve kimlik numarası, bazı çağrı merkezi ve hesap kurtarma süreçlerinde doğrulama için kullanılır.

Kullanıcılar İçin 5 Adım

1. Parolanızı değiştirin: Hem etkilenen hizmette hem de aynı parolayı kullandığınız tüm hesaplarda.

2. Her hesaba farklı parola: Bir parola yöneticisi kullanmak bunu pratik hâle getirir.

3. İki faktörlü doğrulamayı açın: Özellikle e-posta, bankacılık ve e-Devlet gibi kritik hesaplarda.

4. Şüpheli mesajlara karşı dikkatli olun: Kimlik bilgilerinizi içeren ve acil işlem isteyen mesajlardaki bağlantılara tıklamayın.

5. Hesap hareketlerini izleyin: Bankacılık ve e-posta hesaplarınızdaki giriş bildirimlerini kontrol edin.

Şirketler İçin: Parola Nasıl Saklanmalı?

Bunun yanında şirketlerin şu önlemleri alması gerekir:

• Giriş sayfalarında hız sınırlama ve bot tespiti ile credential stuffing denemelerini engelleyin.

• Kullanıcılara iki faktörlü doğrulama seçeneği sunun.

• T.C. kimlik numarası gibi verileri yalnızca gerçekten gerekliyse toplayın ve erişimi sınırlayın.

• Veri işleyen tedarikçilerinizin parola ve veri saklama yöntemlerini sözleşmeyle güvence altına alın.

Sık Sorulan Sorular

Credential stuffing nedir?

Bir veri ihlalinde sızan kullanıcı adı ve parola çiftlerinin, otomatik araçlarla başka web sitelerinde denenmesidir. Kullanıcıların aynı parolayı birden fazla yerde kullanması nedeniyle etkili bir saldırı yöntemidir.

T.C. kimlik numaram sızdıysa ne yapmalıyım?

Kimlik numarasını değiştirmek mümkün değildir. Bu nedenle iki faktörlü doğrulamayı açmak, şüpheli arama ve mesajlara karşı dikkatli olmak ve hesap hareketlerini düzenli kontrol etmek önemlidir.

Parola hash'lemek ile şifrelemek arasındaki fark nedir?

Şifreleme geri döndürülebilir; anahtarı olan veriyi açabilir. Hash ise tek yönlüdür. Parolalar için bcrypt veya Argon2 gibi yavaş ve tuzlu hash algoritmaları önerilir.

Olfe ile Güvenli Altyapı

Olfe, İzmir Bornova'daki Tier III veri merkezinde yönetilen hizmetler kapsamında güvenlik yapılandırması, yama yönetimi ve 7/24 izleme sunar. Verileriniz yurt içinde, biyometrik erişim kontrollü bir tesiste ve sizin kontrolünüzdeki altyapıda durur. Bizimle iletişime geçin.

Sonuç

Parola değiştirilebilir, T.C. kimlik numarası değiştirilemez. Bu nedenle kişisel verileri saklayan her kurum, hangi veriyi neden topladığını ve nasıl koruduğunu yeniden sorgulamalı. Kullanıcılar için ise en güçlü savunma basit: Her yerde farklı parola ve iki faktörlü doğrulama.

Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımaz.