KVKK'dan turizm sektörüne yönelik yedi ihlal bildirimi: oteller ve acentede aynı hafta içinde yetkisiz erişim tespit edildi
Kişisel Verileri Koruma Kurulu, 4 Kasım 2026'da otel, acente ve bağcılık işletmelerinden oluşan yedi veri sorumlusunun ihlal bildirimini yayımladı. Tüm bildirimlerde yetkisiz erişim 23–26 Ekim arasında tespit edildi; etkilenen kişi sayısı henüz belirlenmedi.
Kişisel Verileri Koruma Kurulu, 4 Kasım 2026 tarihli kararlarıyla turizm sektöründen yedi veri sorumlusunun ihlal bildirimini Kurum internet sitesinde yayımladı. Bildirimlerin tamamında aynı ifade kullanılıyor: veri sorumlusuna ait verileri işleyen sistemlere yetkisiz erişim sağlandı. Tüm dosyalarda incelemenin sürdüğü belirtiliyor.
Hangi işletmeler, hangi tarihler?
Kurum duyurularına göre bildirim yapan veri sorumluları ve ihlalin tespit tarihleri şöyle:
| Veri sorumlusu | Tespit tarihi | Kurul kararı |
|---|---|---|
| Bize Proje Geliştirme AŞ (Çanakkale Eceabat Bengodi Boutique Hotel) | 23 Ekim 2026 | 2026/2430 |
| Çamyuva Otelcilik İşletmeleri AŞ (Sveo Resort Kemer) | 23 Ekim 2026 | 2026/2431 |
| Vinero Bağcılık Sanayi ve Ticaret AŞ | 23 Ekim 2026 | 2026/2432 |
| Yazz Otelcilik Turizm İşletmeleri Tic. AŞ | 26 Ekim 2026 | 2026/2433 |
| Dalyan İztuzu Seyahat Acentası Turizm Ticaret Ltd. Şti. | 24 Ekim 2026 | 2026/2434 |
| Yazıcı Turizm Marmaris İşletmeleri AŞ | 25 Ekim 2026 | 2026/2441 |
| Yazıcı Turizm Yatırımları ve İşletmeleri AŞ | 26 Ekim 2026 | 2026/2442 |
Duyurularda ihlalin ne zaman başladığı, saldırının hangi yöntemle gerçekleştiği ya da sistemin hangi yazılım veya hizmet sağlayıcı üzerinden etkilendiği belirtilmiyor.
Etkilenen veriler
Yedi bildirimin hepsinde etkilenen kişi grubu müşteriler, etkilenen veri kategorileri ise kimlik, iletişim ve müşteri işlem bilgileri olarak sıralanıyor. Etkilenen kişi ve kayıt sayısının tespitine yönelik çalışmaların devam ettiği ifade ediliyor. Ödeme veya kart bilgilerine ilişkin bir ifade duyurularda yer almıyor.
Yedi ayrı işletmede ihlallerin dört günlük bir pencerede fark edilmesi ve bildirim metinlerinin neredeyse aynı olması dikkat çekiyor. Ancak Kurum duyurularında olaylar arasında ortak bir kaynak, ortak bir tedarikçi veya bağlantı bulunduğuna dair herhangi bir bilgi yok; SiberMagazin de böyle bir bağlantıyı doğrulamadı.
Turistik rezervasyon verisi neden değerli?
Konaklama tarihleri, rezervasyon numaraları ve iletişim bilgileri, dolandırıcıların otel veya acente adına "rezervasyonunuz iptal olacak, ödemeyi yenileyin" türünden ikna edici phishing mesajları hazırlamasına elverişli bilgiler. Sitede daha önce yer alan NCL (Bahamas) bildiriminde de rezervasyon tarafındaki bir açığın phishing e-postalarına yol açtığı aktarılmıştı.
Ne yapılmalı?
- Bu işletmelerden konaklama veya tur hizmeti almış kişiler, ödeme yenileme, ek ücret ya da iade bahanesiyle gelen e-posta, SMS ve mesajlara karşı dikkatli olmalı; bağlantılara tıklamadan işletmeyi resmi kanallardan aramalıdır.
- Kart bilgisi, doğrulama kodu veya kimlik görüntüsü isteyen mesajlar yanıtlanmamalıdır.
- İlgili kişiler, duyurularda paylaşılan iletişim adresleri üzerinden veri sorumlusuna başvurarak hangi verilerinin etkilendiğini sorabilir.
- Turizm işletmeleri, rezervasyon ve otel yönetim yazılımlarına erişen tedarikçi ve uzaktan bağlantı hesaplarını gözden geçirmeli; MFA, erişim kayıtları ve gereksiz geçmiş müşteri verilerinin saklama süresi kontrol edilmelidir.
