KVKK, Vava Cars Turkey'in ihlal bildirimini yayımladı: veri işleyende barındırılan chat dosyasına yetkisiz erişim
Kişisel Verileri Koruma Kurulu'nun 4 Kasım 2026 tarihli kararıyla yayımlanan bildirime göre, veri işleyen nezdinde barındırılan bir chat dosyasına siber saldırganlarca erişildi; ihlale konu chat kaydı sayısı 8.268.
Kişisel Verileri Koruma Kurulu, Vava Cars Turkey Otomotiv A.Ş. tarafından yapılan veri ihlali bildirimini 4 Kasım 2026 tarihli ve 2026/2438 sayılı kararıyla Kurum internet sitesinde kamuoyuyla paylaştı. İnceleme sürüyor.
Bildirimde neler var?
Veri sorumlusunun Kurum'a ilettiği bilgiye göre, veri işleyen taraf nezdinde barındırılan bir chat dosyasına siber saldırgan ya da saldırganlar yetkisiz erişim sağladı. Duyuruda erişimin tarihi, yöntemi ve veri işleyenin kimliği belirtilmiyor.
Sınırlı bir örnek incelemesine göre etkilenen veriler arasında ad, soyad, telefon numarası, araç plakası ve randevu bilgileri var. Veri işleyen, etkilenen chat kayıtlarının mesaj içeriklerini, kayıt alanlarını, varsa ekleri ve meta verileri kapsadığını bildirmiş. Etkilenen kişi sayısı henüz belirlenmedi; veri işleyen 8.268 chat kaydının ihlale konu olduğunu açıkladı. Etkilenenler müşteriler ve potansiyel müşteriler. Kişiler, veri sorumlusunun internet sitesi ve çağrı merkezi üzerinden bilgi alabiliyor. Duyuruda somut tedbirler listelenmiyor.
Neden önemli?
Aynı gün Kurul, D-Market için de sohbet altyapısı sağlayan bir veri işleyendeki kayıtlara yetkisiz erişimi içeren bir bildirim yayımladı. SiberMagazin, iki bildirimin aynı sağlayıcıyla ilişkili olduğunu kaynaklarda doğrulayamadı ve böyle bir bağ öne sürmüyor. Ortak tablo yine de net: müşteri destek ve chat sistemlerinde biriken konuşma geçmişleri, plaka ve randevu gibi bilgiler barındırdığı için hedefli dolandırıcılık açısından değerli bir veri havuzu oluşturuyor.
Ne yapılmalı?
- Müşteriler, randevu veya araç bilgisine atıf yapan beklenmedik arama ve mesajlarda bilgi paylaşmadan önce firmayı resmi kanallarından arayarak doğrulasın; mesajlardaki bağlantılara tıklamasın.
- Şirketler, chat ve müşteri destek sağlayıcılarıyla yapılan sözleşmelerde saklama ve imha sürelerini, erişim günlüklerini ve olay bildirim süresini netleştirsin.
- Chat kayıtlarında kimlik veya kart numarası gibi hassas verilerin maskelenmesini sağlayın; sağlayıcı yönetim panellerinde çok faktörlü kimlik doğrulama (MFA) zorunlu olsun.
- Veri sorumlusu olarak, ihlal veri işleyende olsa bile bildirim yükümlülüğünün sizde kaldığını unutmayın; sağlayıcıyla olay müdahale planını birlikte tatbik edin.
