KVKK 10 veri ihlali bildirimini duyurdu: listede belediye, üniversite ve sağlık kuruluşları var

Kişisel Verileri Koruma Kurumu, 21 Ekim 2026'da 10 veri sorumlusuna ait veri ihlali bildirimini internet sitesinde yayımladı. Listede gıda ve sağlık ürünleri şirketleri, iki sağlık/hizmet kuruluşu, bir vakıf, turizm işletmeleri, İzmir Büyükşehir Belediyesi ve Ondokuz Mayıs Üniversitesi yer alıyor. Kurum, bildirimlerin her birini ayrı ayrı incelediğini ve incelemelerin sürdüğünü belirtiyor.

Saldırı yöntemleri çeşitleniyor

Bildirimlere yansıyan bilgilere göre ihlallerin arkasında farklı yöntemler bulunuyor:

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

• Üçüncü taraf yazılım açıkları: Üç gıda/sağlık ürünleri şirketinin bildiriminde, kullanılan üçüncü taraf yazılımlardaki açıkların istismar edildiği belirtiliyor. Bu üç bildirimde etkilenen kişi sayıları yaklaşık 67 bin, 50 bin ve 15 bin olarak açıklandı.
• Fidye yazılımı: Bir sağlık hizmetleri şirketi ile bir vakfın bildiriminde fidye yazılımı saldırısı yer alıyor. Sağlık kuruluşunda veritabanı şifrelendiği için etkilenen kişi sayısı belirlenemedi.
• Ele geçirilmiş e-posta: Belediye bildiriminde, daha önce elde edilmiş bir parolayla kurumsal e-posta hesabına erişildiği aktarılıyor.
• Yazılım açığı: Üniversite bildiriminde kullanılan bir yazılımdaki zafiyet nedeniyle 109 kişinin etkilendiği belirtiliyor.
• Telefonla sosyal mühendislik: Bir uluslararası otel grubunun bildiriminde telefonla yapılan sosyal mühendislik, bir sağlık hizmetleri şirketinde ise sesli oltalama (vishing) yoluyla çalışan hesabına erişim söz konusu. Otel grubu bildiriminde 9.550 kişinin etkilendiği belirtildi.

Sayı açıklanan beş bildirimde toplam etkilenen kişi sayısı 142.791. Diğer bildirimlerde rakam verilmedi.

Ortak ders: kimlik bilgileri ve tedarikçiler

Liste, saldırganların teknik açıkların yanında çalınmış parolalara ve insan zafiyetine de yoğun biçimde yaslandığını gösteriyor. Özellikle telefonla yapılan sosyal mühendislik ve sesli oltalama vakaları, yardım masası ve çağrı merkezi süreçlerinin saldırı yüzeyinin parçası olduğunu hatırlatıyor.

Ne yapılmalı?

• Kurumsal e-posta ve uzaktan erişim hesaplarında çok faktörlü kimlik doğrulama zorunlu olmalı; sızdırılmış parolalar düzenli olarak kontrol edilmelidir.
• Yardım masası ve çağrı merkezlerinde parola sıfırlama ve kimlik doğrulama adımları sosyal mühendisliğe karşı hardening ile güçlendirilmelidir.
• Üçüncü taraf yazılımlar için yama takibi ve tedarikçi güvenlik değerlendirmesi yapılmalıdır.
• Kendisine bilgi verilen kişiler, ilgili kurumlar adına gelen şüpheli arama ve mesajlara karşı dikkatli olmalıdır.