KVKK, D-Market'in veri ihlali bildirimini yayımladı: sohbet altyapısı sağlayıcısındaki kayıtlara erişildi

Kişisel Verileri Koruma Kurulu, D-Market Elektronik Hizmetler ve Ticaret A.Ş. tarafından yapılan veri ihlali bildirimini, 4 Kasım 2026 tarihli ve 2026/2438 sayılı kararıyla Kurum internet sitesinde kamuoyuyla paylaştı. Bildirime ilişkin incelemenin sürdüğü belirtiliyor.

Bildirimde neler var?

Kurum duyurusuna göre, veri sorumlusuna sohbet (chat) altyapısı hizmeti sunan bir veri işleyende tutulan bazı kayıtlara siber saldırgan ya da saldırganlarca yetkisiz erişim sağlandı. Etkilenen kayıtların 2022 yılına ait sohbet kayıtları olduğu ifade ediliyor. Duyuruda yetkisiz erişimin ne zaman gerçekleştiği ve ne zaman fark edildiğine dair bir tarih yer almıyor.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

İhlalden etkilenen kişisel veri kategorileri şöyle sıralanıyor:

• Kimlik: ad ve soyad
• İletişim: cep telefonu numarası, e-posta adresi ve posta adresi
• Müşteri işlem: sipariş ve gönderi numaraları, talep ve şikâyet kayıtları, satın alınan veya iptal edilen ürün bilgileri

Bildirime göre ihlalden 9.882 kişi etkilendi. Etkilenen ilgili kişi grupları arasında çalışanlar, müşteriler ve potansiyel müşteriler, tedarikçi çalışanları, iş ortakları ve satıcılar sayılıyor. Duyuruda, ilgili kişilerin bilgi almak için başvurabileceği iletişim kanalları da paylaşıldı.

Sipariş bilgisi, dolandırıcılık için yakıt

Ödeme bilgilerinin etkilenen veriler arasında sayılmaması olumlu olsa da sipariş ve gönderi numaraları ile şikâyet kayıtları, dolandırıcıların inandırıcı sahte müşteri hizmetleri senaryoları kurmasına elverişli bilgiler. Kişiye özel sipariş ayrıntılarıyla gelen bir mesaj ya da arama, sıradan bir oltalama girişiminden çok daha ikna edici olabiliyor.

Bildirim, son aylarda Kurul'un yayımladığı pek çok ihlalde olduğu gibi riskin veri sorumlusunun kendi sistemlerinden değil, dış hizmet sağlayıcılardan kaynaklandığını bir kez daha gösteriyor.

Ne yapılmalı?

• Müşteriler, sipariş veya iade bahanesiyle gelen ve bağlantıya tıklama, kart bilgisi ya da doğrulama kodu isteyen mesajlara itibar etmemelidir.
• İşlemler yalnızca resmi uygulama veya web sitesi üzerinden kontrol edilmelidir.
• Şirketler, sohbet ve müşteri destek sağlayıcılarında tutulan geçmiş kayıtlar için saklama sürelerini gözden geçirmeli, gereksiz eski verileri silmeli ya da anonimleştirmelidir.