KVKK’dan Aynı Günde Çok Sayıda Veri İhlali Duyurusu
Kişisel Verileri Koruma Kurumu, 7 Ekim 2026 tarihinde farklı sektörlerde faaliyet gösteren çok sayıda şirket ve kuruluşa ilişkin veri ihlali bildirimini kamuoyuna duyurdu.
Açıklanan bildirimler arasında restoran ve yemek sektöründeki şirketlerden holdinglere, tekstil şirketlerinden teknoloji firmalarına kadar farklı veri sorumluları bulunuyor. İhlallerde öne çıkan ortak başlık ise şirket sistemlerine yetkisiz erişim sağlanması ve müşteri ile çalışanlara ait kişisel verilerin etkilenmesi oldu.
Son duyurular, şirketlerde kişisel veri güvenliğinin yalnızca bilgi işlem biriminin sorumluluğu olarak görülmemesi gerektiğini yeniden gösterdi.
KVKK 7 Ekim’de Çok Sayıda İhlali İlan Etti
Kişisel Verileri Koruma Kurumunun veri ihlali bildirimleri sayfasında 7 Ekim 2026 tarihinde çok sayıda yeni kayıt yayımlandı.
Duyurulan veri sorumluları arasında Dodo Brands International FZCO, Deniz Pizza Restoranları ve Ticaret Limited Şirketi, DDP Temizlik Pizza Gıda Sanayi ve Ticaret Limited Şirketi, Smart Delivery Pizza Yemekçilik Gıda E-Ticaret Reklamcılık ve Ticaret Limited Şirketi ve farklı sektörlerden başka şirketler de bulunuyor.
Bu durum, veri güvenliği olaylarının yalnızca teknoloji veya finans sektörüne özgü olmadığını gösteriyor.
Müşteri veya çalışan verisi işleyen hemen her şirket benzer risklerle karşı karşıya kalabiliyor.
Yetkisiz Erişim Ortak Risk Olarak Öne Çıktı
Duyuruların bir bölümünde ihlalin şirketlerin veya veri işleyenlerin kullandığı sistemlere yetkisiz erişim sağlanması sonucunda meydana geldiği belirtildi.
Yetkisiz erişim; siber saldırı, çalınan kullanıcı bilgileri, güvenlik açığı veya farklı teknik yöntemler üzerinden gerçekleşebiliyor.
Her ihlalin teknik nedeni aynı olmayabilir.
Ancak sonuç açısından bakıldığında şirket sistemlerine dışarıdan izinsiz erişim sağlanması, kişisel verilerin gizliliği ve bütünlüğü açısından ciddi risk oluşturuyor.
Müşteri ve Çalışan Verileri Etkilendi
KVKK’ya bildirilen bazı olaylarda etkilenen kişi grupları müşteriler ve çalışanlar olarak açıklandı.
Bu durum şirketlerin yalnızca müşterilere ait verileri değil, insan kaynakları süreçlerinde tuttukları personel verilerini de aynı güvenlik yaklaşımıyla koruması gerektiğini gösteriyor.
Çalışan dosyalarında kimlik bilgileri, iletişim bilgileri, ücret ve bordro kayıtları, banka bilgileri, performans verileri ve farklı özlük belgeleri bulunabiliyor.
Müşteri tarafında ise iletişim, işlem geçmişi, ödeme ve lokasyon bilgileri gibi veriler tutulabiliyor.
Bu veri setlerinin ihlal edilmesi hem hukuki hem de ticari sonuç yaratabilir.
Kimlik ve İletişim Bilgileri İhlal Kapsamında
Dodo Brands International FZCO tarafından yapılan bildirimde etkilenen veri kategorileri arasında kimlik ve iletişim bilgileri yer aldı.
Benzer şekilde bazı diğer şirketlerin bildirimlerinde de aynı veri kategorilerinin etkilendiği açıklandı.
Kimlik ve iletişim bilgilerinin üçüncü kişilerin eline geçmesi, dolandırıcılık ve sosyal mühendislik saldırılarında kullanılabilecek riskli bir veri kombinasyonu oluşturabilir.
Bu nedenle şirketlerin yalnızca kredi kartı veya banka bilgilerini kritik veri olarak görmesi yeterli değil.
İsim, telefon, e-posta ve adres gibi temel bilgiler de kötü niyetli kullanımlarda önemli sonuçlar doğurabilir.
Lokasyon Verileri de Etkilenen Kategoriler Arasında
Duyurularda dikkat çeken veri kategorilerinden biri lokasyon bilgileri oldu.
Özellikle mobil uygulama, teslimat, e-ticaret ve benzeri hizmetlerde müşterilerin adres veya konum verileri işlenebiliyor.
Lokasyon bilgileri kişinin nerede bulunduğu veya hangi adresleri kullandığı konusunda doğrudan bilgi verebildiği için güvenlik açısından hassas sonuçlar yaratabilir.
Şirketlerin bu verileri gerçekten ihtiyaç duyulan süre kadar saklaması ve erişim yetkilerini sınırlandırması önem taşıyor.
Finans Bilgileri de Bazı İhlallerde Yer Aldı
Açıklanan bazı bildirimlerde finans bilgileri de etkilenen kişisel veri kategorileri arasında yer aldı.
Finans bilgisi kavramı her olayda aynı tür veriyi ifade etmeyebilir.
Banka hesabı, ödeme bilgileri veya işlemlere ilişkin farklı finansal kayıtlar bu kapsamda değerlendirilebilir.
KVKK duyuruları, hangi spesifik finansal alanların etkilendiğini her zaman ayrıntılı şekilde açıklamayabiliyor.
Bu nedenle kamuoyu duyurusundan hareketle kredi kartı bilgilerinin kesin olarak ele geçirildiği sonucuna varmak doğru olmaz.
Ancak finans verisinin etkilenen kategori arasında bulunması, şirketlerin ödeme ve müşteri işlem altyapısında daha sıkı güvenlik kontrolleri uygulamasını gerektiriyor.
Müşteri İşlem Bilgileri de Risk Altında
Bazı veri ihlallerinde müşteri işlem bilgilerinin de etkilendiği bildirildi.
Müşteri işlem bilgileri şirket ile müşterinin geçmiş ilişkisine dair önemli ayrıntılar içerebilir.
Sipariş geçmişi, işlem tarihleri veya benzeri ticari bilgiler saldırganlar tarafından kişiye özel sahte mesajlar hazırlamak için kullanılabilir.
Örneğin müşteri gerçekten kullandığı bir marka veya hizmetle ilgili görünen sahte bir mesajı daha inandırıcı bulabilir.
Bu nedenle veri ihlali sonrasında oltalama ve dolandırıcılık riskleri de dikkate alınmalı.
Etkilenen Kişi Sayısı Henüz Belirlenemedi
Bazı açıklamalarda veri ihlalinden etkilenmiş olabilecek kişi sayısının tespitine yönelik çalışmaların devam ettiği belirtildi.
Bu durum siber olaylarda sık karşılaşılan bir durum.
Şirket ilk aşamada sisteme yetkisiz erişildiğini tespit edebilir ancak hangi dosyaların görüntülendiğini veya kaç kişinin bilgilerinin dışarı çıkarıldığını belirlemek daha uzun sürebilir.
Bu nedenle veri ihlali yönetiminde olay tespitinin ardından dijital adli inceleme süreçleri önem taşıyor.
Log kayıtları ve erişim geçmişleri yeterli değilse ihlalin kapsamını sonradan belirlemek daha zor hale gelebiliyor.
Veri İşleyen Kaynaklı İhlaller de Dikkat Çekiyor
Bazı KVKK duyurularında ihlalin doğrudan veri sorumlusunun kendi sistemlerinde değil, veri işleyenin sistemlerinde meydana geldiği belirtildi.
Bu ayrım şirketler açısından son derece önemli.
Şirket müşteri verilerini dışarıdaki bir yazılım sağlayıcısına, bulut hizmetine, çağrı merkezine veya başka bir hizmet sağlayıcısına aktarsa bile kişisel veri sorumluluğu tamamen ortadan kalkmıyor.
Bu nedenle tedarikçi ve hizmet sağlayıcı seçimi veri güvenliği açısından da yapılmalı.
Yalnızca fiyat ve hizmet kalitesi yeterli bir değerlendirme kriteri olmayabilir.
Veri Sorumlusu ile Veri İşleyen Arasındaki Fark Önemli
KVKK uygulamasında veri sorumlusu, kişisel verilerin hangi amaçla ve nasıl işleneceğine karar veren tarafı ifade ediyor.
Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi olabiliyor.
Şirketlerin dış hizmet aldığı teknoloji sağlayıcıları çoğu zaman veri işleyen konumunda bulunabiliyor.
Ancak veri işleyende güvenlik açığı oluşması, veri sorumlusunun yükümlülüklerini otomatik olarak ortadan kaldırmıyor.
Bu nedenle şirketlerin tedarikçi sözleşmelerinde veri güvenliği ve ihlal bildirim şartlarını açık biçimde düzenlemesi gerekiyor.
KVKK’ya Bildirim “En Kısa Sürede” Yapılmalı
6698 sayılı Kanunun 12’nci maddesine göre işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusunun durumu en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kuruluna bildirmesi gerekiyor.
Bu yükümlülük yalnızca büyük ölçekli ihlaller için geçerli değil.
İhlalin niteliği, kapsamı ve risk düzeyi değerlendirilerek bildirim sürecinin geciktirilmeden yürütülmesi gerekiyor.
Şirket içerisinde ihlal tespit edildiğinde kimin Kurula bildirim yapacağı önceden belirlenmemişse süreçte zaman kaybı yaşanabilir.
İhlal Müdahale Planı Önceden Hazırlanmalı
Şirketlerin veri ihlali meydana geldikten sonra ne yapılacağını o anda belirlemeye çalışması önemli bir hata olabilir.
Bunun yerine önceden hazırlanmış bir olay müdahale planı bulunması gerekiyor.
Bu planda bilgi işlem, hukuk, KVKK uyum, insan kaynakları, finans ve üst yönetimin görevleri açıkça tanımlanmalı.
Sistemin izole edilmesi, logların korunması, saldırının kaynağının belirlenmesi ve Kurula yapılacak bildirimin hazırlanması gibi adımlar önceden planlanabilir.
Bu yaklaşım olay anındaki karar alma süresini önemli ölçüde kısaltabilir.
Yedekleme Tek Başına Yeterli Değil
Siber güvenlikte düzenli veri yedeklemesi kritik bir kontrol olmakla birlikte tek başına yeterli değil.
Yedek sistemlerinin de saldırgan tarafından erişilebilir olması halinde şirket ana sistemlerle birlikte yedeklerini de kaybedebilir.
Bu nedenle yedeklerin ayrı sistemlerde, mümkünse farklı erişim yetkileriyle korunması gerekiyor.
Yedeklerin düzenli olarak geri yükleme testlerinin yapılması da önemli.
Şirketin yedeğinin bulunması ancak bu yedeğin çalışmaması iş sürekliliği açısından ciddi sorun yaratabilir.
Erişim Yetkileri Sınırlandırılmalı
Şirket içerisinde her çalışanın bütün sistemlere erişebilmesi önemli bir veri güvenliği riski oluşturuyor.
Erişimlerin görev bazında verilmesi gerekiyor.
Örneğin satış personelinin bordro kayıtlarına, insan kaynakları çalışanının ise şirketin bütün müşteri ödeme verilerine erişmesine ihtiyaç olmayabilir.
Yetkilerin çalışan görev değiştirdiğinde veya işten ayrıldığında güncellenmesi de gerekiyor.
Eski kullanıcı hesaplarının aktif bırakılması güvenlik açıklarına neden olabilir.
Çok Faktörlü Kimlik Doğrulama Öne Çıkıyor
Kullanıcı adı ve parola tabanlı sistemlerin tek başına kullanılması özellikle uzaktan erişim uygulamalarında yetersiz kalabiliyor.
Çok faktörlü kimlik doğrulama, parola ele geçirilse bile saldırganın sisteme girişini zorlaştırabilecek temel güvenlik kontrollerinden biri.
E-posta, bulut uygulamaları, VPN sistemleri ve kritik yönetici hesaplarında bu yöntemin kullanılması riskin azaltılmasına yardımcı olabilir.
Özellikle yönetici yetkisine sahip hesaplarda daha güçlü doğrulama mekanizmaları uygulanması önem taşıyor.
Personel Eğitimi Teknik Güvenlik Kadar Önemli
Veri ihlalleri her zaman karmaşık teknik saldırılar sonucunda gerçekleşmiyor.
Çalışanlara gönderilen sahte e-posta veya mesajlar üzerinden kullanıcı bilgileri ele geçirilebiliyor.
Bu nedenle şirketlerde düzenli oltalama farkındalık eğitimleri yapılması gerekiyor.
Çalışanın şüpheli bağlantıyı tıklamaması veya olağan dışı giriş bildirimini hızlı şekilde bilgi işlem birimine bildirmesi büyük bir saldırının önlenmesini sağlayabilir.
Tedarikçi Risk Yönetimi Güçlendirilmeli
Son duyurularda veri işleyen sistemlerinin de ihlal kaynağı olarak yer alması, tedarikçi risk yönetiminin önemini artırıyor.
Şirketler kritik müşteri veya çalışan verilerini işleyen üçüncü taraflardan yalnızca hizmet seviyesi taahhüdü almamalı.
Bilgi güvenliği politikaları, erişim kontrolleri, veri şifreleme uygulamaları ve olay bildirim prosedürleri de değerlendirilmelidir.
Özellikle kritik tedarikçiler için periyodik güvenlik değerlendirmesi yapılması yararlı olabilir.
Finansal ve İtibar Riski Birlikte Değerlendirilmeli
Veri ihlalinin şirket açısından maliyeti yalnızca olası idari yaptırımlardan ibaret değil.
Sistemlerin çalışmaması satış kaybına, müşteri hizmetlerinin durmasına veya üretim süreçlerinin aksamasına neden olabilir.
Buna ek olarak dış siber güvenlik danışmanlığı, hukuki destek, bildirim ve sistem yenileme maliyetleri ortaya çıkabilir.
Müşterilerin şirkete olan güveninin azalması ise uzun vadede çok daha büyük ticari sonuç yaratabilir.
Muhasebe ve Finans Birimleri de Sürece Dahil Olmalı
Veri ihlali ilk bakışta bilgi teknolojileri ve hukuk birimlerinin konusu gibi görünse de mali etkiler nedeniyle muhasebe ve finans ekiplerinin de sürece dahil olması gerekiyor.
Siber saldırı nedeniyle oluşan doğrudan zararlar, dış hizmet maliyetleri ve olası yükümlülükler finansal raporlama açısından değerlendirilmeli.
Olayın şirketin faaliyetlerini önemli ölçüde etkilemesi halinde finansal tablo açıklamaları da gündeme gelebilir.
Bu nedenle siber olay yönetiminin finans fonksiyonundan tamamen ayrı yürütülmemesi gerekiyor.
Şirketler Ne Yapmalı?
Son KVKK duyuruları, şirketlerin kişisel veri güvenliği politikalarını yeniden gözden geçirmesi gerektiğini gösteriyor.
İlk aşamada hangi kişisel verilerin hangi sistemlerde tutulduğu belirlenmeli.
Kritik sistemlerde erişim yetkileri kontrol edilmeli, çok faktörlü kimlik doğrulama kullanılmalı ve yedekleme sistemleri test edilmeli.
Dış hizmet sağlayıcıların güvenlik düzeyi ve sözleşmelerdeki veri ihlali hükümleri ayrıca gözden geçirilmeli.
Şirketlerin en önemlisi de bir ihlal yaşanmadan önce olay müdahale ve KVKK bildirim planı hazırlaması gerekiyor.
7 Ekim 2026 tarihinde aynı gün içerisinde yayımlanan çok sayıda veri ihlali bildirimi, siber güvenlik ve kişisel veri korumasının artık yalnızca büyük teknoloji şirketlerinin değil, müşteri ve çalışan verisi işleyen bütün işletmelerin temel kurumsal risk alanlarından biri olduğunu ortaya koyuyor.
