KVKK 17 yeni ihlal bildirimi yayımladı: Yıldız Teknik Üniversitesi'nde fidye yazılımı olayı

Kişisel Verileri Koruma Kurulu, 7 Ekim 2026 tarihli kararları doğrultusunda 17 veri ihlali bildirimini Kurum internet sitesinde kamuoyuyla paylaştı. Bildirimler yeme-içme, sağlık, e-ticaret, sigorta, şans oyunları, inşaat, çağrı merkezi hizmetleri ve yükseköğretim gibi farklı sektörlerden geliyor. Bildirimlerdeki tespit tarihleri 28 Eylül ile 3 Ekim 2026 arasına yayılıyor.

Yıldız Teknik Üniversitesi bildirimi

Listedeki en dikkat çekici kayıt, Yıldız Teknik Üniversitesi'nin yaptığı bildirim. Kurul'un 7 Ekim 2026 tarihli ve 2026/2203 sayılı kararıyla ilan edilen duyuruya göre ihlal 1 Ekim 2026'da başladı ve aynı gün tespit edildi. Bildirimde, bir fidye yazılımı saldırısının üniversitenin sanallaştırma altyapısını ve bu altyapı üzerinde çalışan sunucuları etkilediği belirtiliyor.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

Mevcut kayıtlara göre yaklaşık 140.000 öğrenci ve 4.500 personelin etkilenmiş olabileceği, ziyaretçi sayısının ise henüz belirlenemediği ifade ediliyor. Etkilenen kişisel veri kategorilerinin de henüz tespit edilemediği bildirildi. Kurum, incelemenin sürdüğünü açıkladı. Bildirim, Kanun'un 12'nci maddesinin beşinci fıkrası uyarınca, Kurul'un gerekli gördüğü durumlarda ihlalleri kamuoyuyla paylaşma yetkisine dayanılarak yayımlandı.

Diğer bildirimlerdeki tablo

Derlemelere göre 17 bildirimin 12'sinde verilerin şifrelendiği belirtiliyor. Üniversite dışındaki 16 bildirimde etkilenen kişi sayısı henüz belirlenemedi. Bu da ihlallerin gerçek boyutunun ancak incelemeler tamamlandıktan sonra netleşebileceğini gösteriyor. Sanallaştırma platformlarının fidye yazılımı gruplarının öncelikli hedeflerinden biri olması, tek bir saldırıyla çok sayıda sunucunun aynı anda devre dışı kalmasına yol açabiliyor.

Ne yapılmalı?

• Sanallaştırma yönetim arayüzleri internete açık olmamalı, yönetici erişimi çok faktörlü kimlik doğrulama ile korunmalıdır.
• Yedekler çevrim dışı ya da değiştirilemez biçimde saklanmalı, geri dönüş testleri düzenli yapılmalıdır.
• Üniversiteler ve kamu kurumları öğrenci ve personel verilerini ağ segmentasyonuyla ayırmalıdır.
• Etkilenmiş olabilecek öğrenci ve personel, kurum adını kullanan sahte e-posta ve mesajlara karşı dikkatli olmalıdır.