KVKK, WS Audiology Turkey'in ihlal bildirimini yayımladı: işitme cihazı ve odyogram bilgileri etkilenmiş olabilir
Kişisel Verileri Koruma Kurulu'nun 4 Kasım 2026 tarihli kararıyla yayımlanan bildirime göre siber saldırganlar şirket sistemlerine erişti, bazı kişisel veriler sistem dışına çıkarıldı; etkilenen kişi sayısı henüz belirlenemedi.
Kişisel Verileri Koruma Kurulu, WS Audiology Turkey Tıbbi Cihazlar A.Ş. tarafından yapılan veri ihlali bildirimini 4 Kasım 2026 tarihli ve 2026/2438 sayılı kararıyla Kurum internet sitesinde yayımladı.
Bildirimde neler var?
Duyuruya göre ihlal 14 Ekim 2026'da başladı, 23 Ekim 2026'da tespit edildi. Siber saldırganlar, kişisel veriler de dahil olmak üzere veri sorumlusuna ait sistemlere erişti ve bazı kişisel veriler sistem dışına çıkarıldı (veri sızdırma, exfiltration). Duyuruda saldırının türüne ya da saldırganlara dair bir bilgi bulunmuyor; SiberMagazin'in incelediği duyuru metninde ransomware ifadesi yer almıyor.
Şirketin değerlendirmesine göre verilerin büyük bölümü, kurumsal müşterilerin çalışanlarına ve mesleki faaliyetlerine ilişkin bilgilerden oluşuyor. Müşterilerin paylaştığı yapılandırılmamış verilerin içinde ise şunlar bulunabilir:
- hastaların ad ve soyad bilgileri,
- satın alınan işitme cihazlarına ilişkin bilgiler,
- bazı durumlarda odyogramlar (işitme testi sonuçları).
Etkilenen kişilerin sayısı henüz belirlenemedi; hangi kişisel verilerin etkilendiğine yönelik inceleme sürüyor. Duyuruda alınan tedbirlere ilişkin bilgi yer almıyor.
Neden önemli?
Odyogramlar sağlık verisi niteliğinde olduğu için bu tür kayıtlar, ad-soyad ve cihaz bilgisiyle birleştiğinde ilgili kişiler açısından hassas bir risk oluşturur. Bildirimin dikkat çeken yanı, verinin yapılandırılmamış biçimde (örneğin müşterilerin gönderdiği dosyalar) tutulması; bu tür verilerin hangi sistemde ne kadar süre saklandığını görmek kurumlar için çoğu zaman zordur. Duyurudaki tarihlere göre ihlalin tespiti yaklaşık dokuz gün sürdü.
Ne yapılmalı?
- Şirketten işitme cihazı alan veya şirketin müşterisi kurumlarda çalışan kişiler, şirketin resmi kanallarından bilgi alsın; sağlık bilgisine atıf yapan beklenmedik arama ve mesajlara karşı temkinli olsun.
- Kimlik doğrulama kodu, kart bilgisi veya parola isteyen hiçbir talebe yanıt vermeyin; aynı parolayı başka yerde kullanıyorsanız değiştirin.
- Şirketler için: müşterilerden alınan yapılandırılmamış dosya ve ekler için saklama süresi ve erişim yetkisi gözden geçirilmeli, sağlık verisi içeren paylaşımlar ayrı ve şifreli depolanmalı.
- Olağandışı veri çıkışı (egress) için izleme ve uyarı kuralları kurulmalı; tespit süresi kısaltılmalıdır.
