KVKK, NCL (Bahamas) ihlal bildirimini yayımladı: rezervasyon uygulamasındaki açık phishing e-postalarına yol açtı
Kişisel Verileri Koruma Kurulu'nun 4 Kasım 2026 tarihli kararıyla yayımlanan bildirime göre, rezervasyon yönetim uygulamasındaki bir güvenlik açığı kullanılarak müşteri bilgilerine erişildi ve bu bilgilerle müşterilere phishing e-postaları gönderildi.
Kişisel Verileri Koruma Kurulu, NCL (Bahamas) Ltd. tarafından yapılan veri ihlali bildirimini 4 Kasım 2026 tarihli ve 2026/2437 sayılı kararıyla Kurum internet sitesinde kamuoyuyla paylaştı. Duyuruya göre inceleme sürüyor.
Bildirimde neler var?
Veri sorumlusunun Kurum'a ilettiği bilgiye göre, yetkisiz kişiler rezervasyonları yönetmek için kullanılan bir web uygulamasındaki güvenlik açığından yararlanarak bazı müşterilerin bilgilerine erişti. Ardından bu bilgiler kullanılarak ilgili müşterilere zararlı (phishing) e-postalar gönderildi.
Duyurudaki zaman çizelgesi şöyle:
- 10 Ekim 2026: Veri sorumlusu phishing e-postalarından haberdar oldu.
- 12 Ekim 2026: BT incelemesinde bu e-postalarla bağlantılı olduğu değerlendirilen bir hareketlilik tespit edildi.
Etkilenen veri kategorileri ad-soyad, e-posta adresi, doğum tarihi ve rezervasyon numarası olarak sıralanıyor. Veri sorumlusunun değerlendirmesine göre en fazla 2.392 kişi etkilendi. Duyuruda alınan tedbirlere ilişkin ayrıntı yer almıyor; yalnızca soruşturmanın sürdüğü ve etkilenenlerin çağrı merkezi üzerinden bilgi alabileceği belirtiliyor. Açığın türü ve hangi uygulama olduğu da paylaşılmadı.
Neden önemli?
Bu bildirim, ihlalin ardından verinin fiilen kötüye kullanıldığını, yani ele geçirilen bilgilerle hedefli phishing yapıldığını gösteren örneklerden biri. Rezervasyon numarası ve doğum tarihi gibi bilgiler, e-postayı gerçek bir tatil rezervasyonuna ait bir mesaj gibi gösterdiği için kullanıcıyı ikna etmeyi kolaylaştırır. Bildirim, Kurul'un aynı gün yayımladığı çok sayıda turizm ve konaklama kaynaklı ihlal ilanı arasında yer alıyor; SiberMagazin bu ilanlar arasında teknik bir bağ olup olmadığını kaynaklarda göremedi.
Ne yapılmalı?
- Rezervasyon sağlayıcısı adına gelen; ödeme güncelleme, iptal ya da "bilgilerinizi doğrulayın" gibi mesajlardaki bağlantılara tıklamayın. Rezervasyonunuzu yalnızca resmi uygulama veya web sitesine kendiniz girerek kontrol edin.
- Şüpheli e-postadaki gönderen adresini ve bağlantının gerçek alan adını inceleyin; kart bilgisi, parola veya doğrulama kodu isteyen mesajları bildirin.
- Aynı parolayı kullandığınız hesapların parolasını değiştirin ve çok faktörlü kimlik doğrulamayı (MFA) açın.
- Şirketler için: müşterilere açık rezervasyon ve yönetim uygulamalarında patch yönetimini ve dış yüzey taramasını düzenli yürütün; müşterilere gönderilen resmi e-postalarda SPF, DKIM ve DMARC yapılandırmasını doğrulayın.
