KVKK'dan Pegasus için ihlal duyurusu: ele geçirilen admin parolasıyla 11.762 kişinin verisine erişildi
Kişisel Verileri Koruma Kurulu, Pegasus Hava Taşımacılığı A.Ş.'nin veri ihlali bildirimini 11 Kasım'da yayımladı. Bildirime göre BT talep ve geliştirme sistemine ait admin parolasıyla yetkisiz erişim sağlandı; çalışan ve kullanıcılardan 11.762 kişinin kimlik ve iletişim verisi etkilendi.
Kişisel Verileri Koruma Kurulu, 11 Kasım 2026 tarih ve 2026/2486 sayılı kararıyla Pegasus Hava Taşımacılığı A.Ş.'nin veri ihlali bildirimini Kurum internet sitesinde yayımladı. Bildirime göre şirketin bilgi teknolojileri talep ve geliştirme sistemine ait admin parolası kullanılarak yetkisiz erişim sağlandı. Parolanın nasıl elde edildiği kesin olarak tespit edilemedi.
Duyuruya göre ihlal 12 Ekim 2026'da başladı ve 26 Ekim 2026'da tespit edildi; yani saldırgan sistemde yaklaşık iki hafta fark edilmeden kaldı. Kurum, incelemenin sürdüğünü belirtiyor.
Hangi veriler, kimler etkilendi?
Bildirimde yer alan bilgilere göre:
- Etkilenen veri kategorileri kimlik ve iletişim verileri.
- Etkilenen kişi sayısı 11.762.
- Etkilenen kişi grupları çalışanlar ve kullanıcılar.
- İlgili kişiler, şirketin internet sitesindeki iletişim kanallarından ihlal hakkında bilgi alabiliyor.
Duyuruda finansal veri, kart bilgisi ya da uçuş/rezervasyon kaydından söz edilmiyor. Etkilenen sistemin bir iç BT talep ve geliştirme platformu olduğu belirtiliyor; bu tür sistemler genellikle çalışan hesapları, destek kayıtları ve iş akışlarını barındırır.
Neden önemli?
Bildirimdeki en dikkat çekici ayrıntı, giriş yolunun bir zafiyet değil geçerli bir admin credential olması. Parolanın phishing, infostealer bulaşması, tekrar kullanılan bir parola ya da başka bir yolla ele geçirilip geçirilmediği bilinmiyor; ancak sonuç aynı: tek bir yönetici hesabı, binlerce kişinin verisine erişim sağladı. İhlalin iki hafta sonra fark edilmesi, iç sistemlerdeki yönetici oturumlarının yeterince izlenmediği durumlarda saldırganın uzun süre içeride kalabildiğini gösteriyor.
Etkilenen kişiler açısından kimlik ve iletişim verileri, özellikle havayolu adına gönderilecek sahte "rezervasyon iptali", "iade" ya da "bagaj tazminatı" temalı phishing mesajları için kullanılabilir.
Ne yapmalı?
- Kullanıcılar: Pegasus adına gelen ve bağlantı içeren SMS ya da e-postalara itibar etmeyin; rezervasyon ve iade işlemlerini yalnızca resmi uygulama veya internet sitesine kendiniz girerek kontrol edin.
- Kart bilgisi, tek kullanımlık doğrulama kodu ya da parola isteyen "iade" mesajlarını yanıtlamayın; şüpheli bağlantıları USOM'a bildirin.
- Kurumlar: İç BT, talep ve geliştirme platformlarındaki admin hesaplarında MFA'yı zorunlu tutun; yönetici hesaplarını kişisel hesaplardan ayırın.
- Admin oturumları için olağandışı saat, konum ve toplu veri dışa aktarım alarmları tanımlayın; kimlik doğrulama loglarını SIEM'e aktarıp düzenli gözden geçirin.
- Paylaşılan veya uzun süredir değişmeyen yönetici parolalarını envanterleyin; kullanılmayan hesapları kapatın ve şüphe anında tüm admin credential'larını yenileyin.
