KVKK 10 veri ihlalini duyurdu: Belediye ve üniversite de listede

Kişisel Verileri Koruma Kurumu (KVKK), 21 Ekim 2026 Çarşamba günü internet sitesinde 10 ayrı veri ihlali bildirimini kamuoyuna duyurdu. Listede bir büyükşehir belediyesi, bir devlet üniversitesi, iki sağlık kuruluşu, iki köklü gıda markası ve otelcilik şirketleri yer alıyor. Kişi sayısı açıklanan beş bildirimde etkilenenlerin toplamı en fazla 142.791 kişiye ulaşıyor. Kişisel Verileri Koruma Kurulunun her bildirim için ayrı karar aldığı duyurularda incelemelerin sürdüğü belirtildi.

Hangi kurum ve şirketlerde veri ihlali yaşandı?

Duyurulan veri sorumluları şunlar: Dermojet Sağlık Ürünleri, Güllüoğlu Gıda, Kurukahveci Mehmet Efendi Mahdumları, Baxter Turkey Renal Hizmetler, DNC Sağlık Hizmetleri, Enka Spor Eğitim ve Sosyal Yardım Vakfı, İzmir Büyükşehir Belediyesi, Choice Hotels International, Akropol Turizm (MW Phokaia Beach & Resort) ve Ondokuz Mayıs Üniversitesi.

İhlallerin yöntemleri birbirinden farklı. Bildirimlerde üçüncü taraf yazılım açıkları, fidye yazılımı saldırıları, telefonla yapılan sosyal mühendislik ve önceden ele geçirilmiş parolalarla hesaplara girilmesi öne çıkıyor.

Kurum, bu duyuruları 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12'nci maddesine dayanarak yaptı. Bu hükme göre veriler hukuka aykırı biçimde başkalarının eline geçtiğinde veri sorumlusu durumu en kısa sürede hem ilgili kişiye hem Kurula bildirmek zorunda; Kurul da gerekirse bunu ilan edebiliyor.

Güllüoğlu, Mehmet Efendi ve Dermojet'te hangi bilgiler sızdı?

Üç şirketin bildirimi aynı saldırı biçimini tarif ediyor. Şirketlerin verilerini barındıran veri işleyen sistemlerindeki bir sunucuya, kullanılan üçüncü taraf yazılım kütüphanesindeki açık istismar edilerek erişildi.

En çok kişinin etkilendiği bildirim Güllüoğlu'na ait. Veri işleyenin uyarısıyla 8 Ekim 2026'da fark edilen ihlalde 67.193 kişinin ad-soyad, telefon, e-posta, adres ve saklanan şifre bilgileri ile satıcı paneli hesapları etkilendi.

Dermojet'te 10 Eylül 2026'da tespit edilen ihlal 50.636 müşteri ve potansiyel müşteriyi kapsıyor; hash'lenmiş parolalar da etkilenen veriler arasında. Mehmet Efendi'de ise 7 Ekim 2026'da fark edilen ihlalden en fazla 15.303 müşteri ile 18 yönetim paneli hesabı etkilendi.

Sağlık ve pasaport verileri hangi ihlallerde etkilendi?

En ağır tablo, Ankara Çankaya'da hizmet veren özel sağlık kuruluşu DNC Sağlık Hizmetlerinde ortaya çıktı. Bilişim personelinin sunucu ekranında Türkçe bir fidye notu görmesi ve veri tabanına erişilemediğini anlamasıyla Ekim 2026'da fark edilen saldırıda hastalar, hasta yakınları, personel ve iş ortakları etkilendi.

Şifrelenen sunucuda T.C. kimlik numaraları, iletişim bilgileri, muayene, tahlil, tanı ve reçete kayıtları ile faturalama ve Sosyal Güvenlik Kurumu (SGK) ya da özel sigorta provizyon kayıtları bulunuyordu. Sağlık verileri, Kanun'da özel nitelikli kişisel veri olarak daha sıkı korumaya tabi. Veri tabanı şifrelendiği için etkilenen kişi sayısı henüz belirlenemedi.

Enka Spor Eğitim ve Sosyal Yardım Vakfı da fidye yazılımı saldırısına uğradı. Etkilenenler arasında çalışanlar, öğrenciler, mezunlar ve çocuklar bulunuyor; pasaport kopyalarındaki kimlik bilgileri, pasaport numaraları ve fotoğraflar da risk altında. Saldırının giriş yolu ve etkilenen kişi sayısı teknik incelemede.

İzmir Büyükşehir Belediyesi ve Ondokuz Mayıs Üniversitesinde ne oldu?

İzmir Büyükşehir Belediyesinde 30 Eylül 2026'da bir kurumsal e-posta hesabından olağan dışı sayıda ileti gönderildiği tespit edildi. Belediye, erişimin e-posta sunucusundaki bir açıktan değil, önceden ele geçirilmiş bir paroladan kaynaklandığını bildirdi.

Saldırganlar iki hesabın posta kutusu içeriğini dışarı aktardı, gelen iletileri silen kural tanımladı ve toplu spam gönderdi. E-posta imza alanına dolandırıcılık içerikli metin de eklendi. Etkilenen veriler ad, soyad, e-posta adresi ve dahili telefon numarası; kişi sayısı tam olarak belirlenemedi.

Ondokuz Mayıs Üniversitesinde (OMÜ) ise kullanılan bir yazılımdaki güvenlik açığı üzerinden 109 kişinin verilerine erişildi. İhlal, Ulusal Siber Olaylara Müdahale Merkezinin (USOM) bildirimiyle 14 Ekim 2026'da fark edildi. Kimlik, iletişim ve konum bilgileri etkilendi; etkilenen kişilerin hangi gruptan olduğu henüz bilinmiyor.

Otel şirketleri ve Baxter'da hangi bilgiler ele geçirildi?

Choice Hotels International'da 5-6 Haziran 2026'da sosyal mühendislik yoluyla bir çalışanın ağ hesabına erişildi. Güvenlik izleme uyarılarıyla fark edilen olaydan 9.550 müşterinin ad-soyad ve iletişim bilgileri, bir kısmının da geçmiş konaklama detayları etkilendi.

MW Phokaia Beach & Resort'u işleten Akropol Turizmde bilgi işlem altyapısına ve kurumsal e-posta hesaplarına yönelik olaylar yaşandı. Kimlik, rezervasyon, e-posta yazışmaları, çalışan özlük ve finansal verilerin etkilenmiş olabileceği bildirildi; kesin sayı belirlenmedi.

Baxter Turkey Renal Hizmetlerde ise 4 Ağustos 2026'da başlayıp 6 Ekim 2026'da fark edilen sesli oltalama saldırısıyla bir çalışan hesabı üzerinden Salesforce veri tabanına ve Active Directory'ye erişildi. Ad, e-posta ve posta adresi gibi iş iletişim bilgileri etkilendi.