KVKK'dan 11 Kasım'da yedi ihlal duyurusu daha: Bursa TSO'da SQL injection, DHL'in Türkiye'deki 10.622 çalışanı etkilendi
Kişisel Verileri Koruma Kurulu 11 Kasım'da yedi veri ihlali bildirimini yayımladı. Bursa Ticaret ve Sanayi Odası SQL injection saldırısıyla üye kayıtlarının dışarı aktarıldığını, DHL AG Türkiye'deki 10.622 çalışanının etkilendiğini, Ethica Sigorta ise 2022'deki bir tedarikçi kaynaklı ihlali bildirdi.
Kişisel Verileri Koruma Kurumu, 11 Kasım 2026'da Pegasus bildirimiyle birlikte toplam sekiz veri ihlali duyurusu yayımladı. Pegasus dışındaki yedi bildirimde bir meslek odası, uluslararası bir lojistik şirketi, bir sigorta şirketi, bir otel ve üç yabancı veri sorumlusu yer alıyor. Tüm dosyalarda incelemenin sürdüğü belirtiliyor.
Bursa Ticaret ve Sanayi Odası: SQL injection
Kurul kararına (2026/2494) göre Bursa Ticaret ve Sanayi Odası bir SQL injection saldırısına maruz kaldı. İhlal, 2 Kasım 2026'da veri tabanı hizmetinin durması üzerine yapılan kontrollerde fark edildi. Üye firma ve şahıslara ait kimlik, iletişim, üyelik ve tahsilat kayıtlarının dışarı aktarıldığı, genel muhasebe kayıtlarının ise etkilenmediği bildirildi. Etkilenen kişi ve kayıt sayısı henüz kesinleşmedi.
Diğer bildirimler
| Veri sorumlusu | Ne oldu? | Etkilenen |
|---|---|---|
| DHL AG (2026/2483) | Çalışan anketleri için hizmet alınan veri işleyenin analiz ve raporlama ortamına yetkisiz erişim; tespit 2 Kasım 2026 | Türkiye'de istihdam edilen 10.622 çalışan; kimlik, iletişim, özlük |
| Ethica Sigorta A.Ş. (2026/2493) | Hasar danışmanlığı firmasının alt tedarikçi yazılımındaki açık; ihlal 15 Ocak–14 Şubat 2022 | 3.091 kayıtta ad, soyad, TC kimlik no, poliçe ve hasar bilgisi; 153 kayıtta IBAN |
| Sadunoğlu İnşaat (Mard-Inn Hotel) (2026/2485) | Sunuculara ve misafir Wi-Fi altyapısına siber saldırı, sistem ve dosyalara erişim engellendi; 27 Ekim 2026 | Çalışan, müşteri ve kullanıcı; kişi sayısı belirsiz |
| NCL (Bahamas) Ltd. (2026/2437) | Rezervasyon web uygulamasındaki açıkla müşteri verisine erişim; verilerle phishing e-postası gönderildi | En fazla 2.392 kişi |
| Air India Limited (2026/2487) | Veri işleyen sistemlerindeki rezervasyon verisine erişim; 10 Ağustos 2023–23 Eylül 2026 | Ad-soyad, kısmi PNR, maskelenmiş kart; sayı bilinmiyor |
| Stemline Therapeutics (2026/2490) | Alt veri işleyenin BT personeli taklit edilerek vishing ile hesaplar ele geçirildi, bulut uygulamalarından veri sızdı | En fazla 18 hasta; psödonimleştirilmiş sağlık/genetik veri |
Mard-Inn bildiriminde "sistem ve dosyalara erişimin engellendiği" ifadesi ransomware olaylarıyla uyumlu olsa da duyuruda saldırı türü adlandırılmıyor.
Neden önemli?
Yedi bildirimin dördünde giriş noktası bir tedarikçi ya da veri işleyen: DHL'de anket sağlayıcısı, Ethica'da danışman firmanın alt tedarikçi yazılımı, Air India ve Stemline'da veri işleyen sistemleri. Ethica dosyasında ihlalin 2022'de yaşanıp 2026'da kamuoyuna duyurulması, tedarik zincirindeki olayların ana şirkete ne kadar geç ulaşabildiğini gösteriyor. Bursa TSO vakası ise eski ve bilinen bir saldırı sınıfı olan SQL injection'ın kamuya açık uygulamalarda hâlâ toplu veri kaybına yol açtığını hatırlatıyor.
Ne yapmalı?
- Kamuya açık web uygulamalarında parametreli sorgu kullanımını denetleyin, WAF kurallarını güncel tutun ve veri tabanı hesaplarını en az yetkiyle çalıştırın.
- Veri işleyen sözleşmelerine ihlal bildirim süresi, log paylaşımı ve denetim hakkı maddeleri ekleyin; tedarikçilere aktarılan veriyi gerçekten gereken alanlarla sınırlayın.
- Yardım masası ve BT destek süreçlerinde telefonla gelen parola sıfırlama ve MFA değiştirme taleplerini ikinci bir kanaldan doğrulayın.
- Misafir Wi-Fi ağını kurumsal sunuculardan segmentasyonla ayırın.
- Bu kurumlardan biriyle ilişkiniz varsa, kurum adına gelen ve kişisel bilgi ya da ödeme isteyen mesajlara karşı dikkatli olun; IBAN bilgisi etkilenen Ethica müşterileri sahte iade ve tahsilat mesajlarına özellikle dikkat etmeli.
Kaynaklar
- KVKK — Kamuoyu Duyurusu (Veri İhlali Bildirimi) Bursa Ticaret ve Sanayi Odası
- KVKK — Kamuoyu Duyurusu (Veri İhlali Bildirimi) DHL AG
- KVKK — Kamuoyu Duyurusu (Veri İhlali Bildirimi) Ethica Sigorta A.Ş.
- KVKK — Kamuoyu Duyurusu (Veri İhlali Bildirimi) Sadunoğlu İnşaat (Mard-Inn Hotel)
- KVKK — Kamuoyu Duyurusu (Veri İhlali Bildirimi) NCL (Bahamas) Ltd.
- KVKK — Kamuoyu Duyurusu (Veri İhlali Bildirimi) Air India Limited
- KVKK — Kamuoyu Duyurusu (Veri İhlali Bildirimi) Stemline Therapeutics, Inc.
