KVKK 28 veri ihlali bildirimini duyurdu: tamamı veri işleyen sistemlerinden kaynaklı

Kişisel Verileri Koruma Kurulu, 16 Eylül 2026 tarihli kararlarıyla 28 veri sorumlusuna ait veri ihlali bildirimini 6698 sayılı Kanun'un 12'nci maddesinin beşinci fıkrası kapsamında Kurum internet sitesinde yayımladı. Bildirimlerin dikkat çeken ortak noktası, ihlallerin veri sorumlularının kendi sistemlerinde değil, hizmet aldıkları veri işleyenlerin sistemlerinde yaşanması.

Rakamlar ve sektörler

Bildirimleri derleyen analizlere göre etkilenen kişi sayısını belirten 22 bildirimde toplam 10.843.552 kişi etkilendi; altı bildirimde ise sayı belirlenemedi ya da veri işleyen tarafından paylaşılmadı. En büyük bildirim, yaklaşık 6,26 milyon kişiyi etkileyen bir kozmetik perakendecisine ait.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

Bildirimler tekstil, optik, kozmetik, gıda, otomotiv ve medikal ürünler ile e-ticaret ve perakende gibi farklı sektörlere yayılıyor. Bildirimlerin 13'ünde erişimin, veri işleyen sunucularındaki üçüncü taraf bir yazılım kütüphanesindeki güvenlik açığı üzerinden gerçekleştiği belirtiliyor. İhlallerin çoğunun, veri işleyenlerin 9–11 Eylül 2026 arasında veri sorumlularını bilgilendirmesiyle fark edildiği aktarılıyor.

Tedarik zinciri dersi

Tablo, ortak bir dış hizmet sağlayıcıdaki tek bir zafiyetin çok sayıda bağımsız şirkette ayrı ayrı ihlal bildirimine dönüşebildiğini gösteriyor. Analizlerde bir bildirimde parolaların artık güvenli kabul edilmeyen MD5 ile özetlendiği, bir başkasında ise ödeme sistemine ait API anahtarlarının da etkilendiği bilgisinin yer aldığı aktarılıyor.

Kanun açısından bir işlevin dışarıdan alınması sorumluluğu ortadan kaldırmıyor: ilgili kişileri bilgilendirmek ve Kurum'a karşı hesap vermek veri sorumlusunun yükümlülüğünde kalıyor. Kurum, bildirimlere ilişkin incelemelerin sürdüğünü belirtiyor.

Ne yapılmalı?

• Kişisel veri işleyen tüm dış hizmet sağlayıcılar envanterlenmeli; sözleşmelere güvenlik, bildirim süresi ve denetim hükümleri eklenmelidir.
• Veri işleyenlerin kullandığı üçüncü taraf kütüphaneler için yama ve zafiyet yönetimi süreçleri sorgulanmalıdır.
• Parola saklamada güncel, yavaş özetleme algoritmaları kullanılmalı; API anahtarları düzenli olarak döndürülmelidir.
• Bildirim listesinde yer alan şirketlerin müşterisi olanlar, kendilerine gelen e-posta ve SMS'lere karşı oltalama riskine dikkat etmelidir.