KVKK veri ihlali bildirimleri: 7 ihlalin 4’ü tedarikçiden geldi

Air India’nın rezervasyon verilerine 10 Ağustos 2023’te başlayan yetkisiz erişim 23 Eylül 2026’ya kadar sürmüş. Şirket durumu 3 Kasım 2026’da, verilerini işleyen hizmet sağlayıcısı haber verince öğrenmiş. Bu ayrıntı, Kişisel Verileri Koruma Kurulu’nun 11 Kasım’da ilan ettiği yedi KVKK veri ihlali bildiriminden birinde geçiyor. Yedi ilanı alt alta koyduğumda saldırı tekniklerinden çok iki soru öne çıktı: saldırgan kimin sistemi üzerinden girdi ve ihlali kim, ne zaman fark etti?

KVKK veri ihlali bildirimleri: 11 Kasım’da ilan edilen yedi vaka

Kanuna göre ihlali öğrenen veri sorumlusu bunu ilgili kişilere ve Kurul’a bildiriyor, Kurul da gerekli görürse ilan ediyor. Aşağıdaki tablodaki her bilgi Kurul’un yayımladığı ilanlardan alındı. Kurumların hepsinde inceleme sürüyor.

Kurum	İlana göre ne oldu?	Etkilenen	Tespit
Pegasus	BT talep ve geliştirme sistemine ait yönetici parolası, nasıl elde edildiği tespit edilemeden kullanıldı	11.762 kişi (çalışan ve kullanıcılar)	26 Ekim (başlangıç 12 Ekim)
DHL AG	Çalışan anketi için hizmet alınan veri işleyenin analiz ve raporlama ortamına erişildi	Türkiye’de istihdam edilen 10.622 çalışan	2 Kasım
Bursa Ticaret ve Sanayi Odası	SQL injection saldırısı; üye kimlik, iletişim, üyelik ve tahsilat kayıtları dışarı aktarıldı	Henüz belirlenemedi	2 Kasım (veri tabanı hizmeti durunca)
Ethica Sigorta	Hasar danışmanlık firmasının kullandığı alt tedarikçi yazılımındaki açıktan hasar dosyalarına erişildi	3.091 plaka, 2.256 şasi numarası, 153 IBAN kaydı ve diğerleri	Belirtilmedi (ihlal 15 Ocak ile 14 Şubat 2022 arası)
Stemline Therapeutics	Saldırgan telefonla alt veri işleyenin BT personeli gibi davranarak çalışan hesaplarına ve bulut uygulamalarına erişti	En fazla 18 hasta (takma adlandırılmış sağlık verisi)	Belirtilmedi
Mard-Inn Hotel	Sunuculara ve misafir kablosuz ağına saldırı; sistem ve dosyalara erişim engellendi, misafir verileri ele geçirildi	Net tespit yok	27 Ekim (aynı gün)
Air India	Veri işleyen sistemlerindeki rezervasyon verilerine erişildi	Bilinmiyor	3 Kasım 2026 (başlangıç 10 Ağustos 2023)

Yedi ihlalin dördü tedarikçiden geldi

DHL, Ethica Sigorta, Stemline ve Air India vakalarında saldırgan kurumun kendi sistemine girmedi. DHL’de çalışan anketini yürüten firmanın raporlama ortamına, Ethica’da hasar danışmanlık firmasının kullandığı yazılıma, Stemline’da bir alt veri işleyenin çalışan hesaplarına, Air India’da ise rezervasyon verisini tutan hizmet sağlayıcıya ulaşıldı. Yine de dört ilanın başlığında tedarikçinin değil, veri sorumlusunun adı var.

Bunun nedeni kanunun kendisi. KVKK, veriyi başkası işlese bile güvenlik tedbirlerinden veri sorumlusunu veri işleyenle birlikte sorumlu tutuyor. Kurul’a ve ilgili kişilere bildirim yükümlülüğü ise yalnızca veri sorumlusunda. Bir anket firmasına çalışan listesini teslim eden şirket, sorumluluğu da o listeyle birlikte devretmiş olmuyor.

Stemline’daki saldırı bir yazılım açığına değil, telefondaki bir sese dayanıyor. Sesli oltalama böyle çalışır: saldırgan, aranan kişinin güvendiği birinin yerine geçer. Bu vakada o kişi alt veri işleyenin BT ekibiydi. Tedarik zincirinde halkalar uzadıkça telefondaki sesin gerçekten kime ait olduğunu doğrulamak da zorlaşıyor.

Fark etme süresi: aynı gün ile üç yıl arasında

Tablonun tespit sütunundaki fark büyük. Mard-Inn Hotel ve Bursa Ticaret ve Sanayi Odası ihlali, kendiliğinden görünür olduğu gün öğrendi: otelde sistemlere erişim engellenmişti, odada veri tabanı hizmeti durmuştu. Pegasus’ta yönetici parolasıyla başlayan erişimin tespiti 14 gün sürdü. Air India’da ise erişim üç yılı aşkın süre devam etti.

Bir sistemi kilitleyen saldırı hemen fark ediliyor. Geçerli bir parolayla giren ya da başka bir şirketin sunucusundaki veriye uzanan erişim ise haftalarca, bazen yıllarca sessiz kalabiliyor. Kurul’un bildirim için tanıdığı 72 saat de ihlalin gerçekleştiği tarihte başlamıyor, veri sorumlusu durumu öğrendiğinde işlemeye başlıyor. Kurul’un 2024/728 sayılı kararında bu süreye uymayan bir veri sorumlusuna 750.000 TL idari para cezası verilmişti. Yani geç fark edilen bir ihlal de zamanında bildirilebilir. Ancak o noktada veri çoktan el değiştirmiş olur.

Ethica Sigorta vakasında ihlal, ilana göre 15 Ocak ile 14 Şubat 2022 arasında yaşanmış ve 2026’da ilan edilmiş. İlanda ihlalin ne zaman fark edildiği yer almıyor. Sızan kayıtlar arasında plaka, şasi numarası ve IBAN gibi bilgilerin bulunması önemli: bu tür veriler yıllar sonra bile hedefli dolandırıcılıkta kullanılabiliyor. Bir sızıntının ardından sahte faturanın iki yıl sonra nasıl gelebildiğini Ekim’de yazmıştık.

Tedarikçi dışındaki üç vaka

Pegasus ilanında yönetici parolasının nasıl ele geçirildiği belirtilmemiş, o yüzden bu konuda tahmin yürütmek doğru olmaz. Genel ölçüt ise her kurum için geçerli. Tek bir yönetici parolasıyla açılabilen bir sistemde ikinci bir doğrulama ve ayrı bir erişim kontrolü bulunmalı. Ayrıcalıklı erişim yönetimi bu tür yetkili hesapların korunmasına odaklanıyor.

Bursa Ticaret ve Sanayi Odası’ndaki SQL injection saldırısı, internete açık bir web uygulamasında kullanıcının girdiği her verinin veri tabanına ulaşan bir sorguya dönüşebileceğini hatırlatıyor. Mard-Inn Hotel ilanında ise saldırıdan hem sunucuların hem de misafir kablosuz ağının etkilendiği belirtilmiş. İki ortam arasındaki geçiş ilanda anlatılmıyor. Vaka yine de otelde, kafede ya da ofisin bekleme salonunda misafirlere açılan ağın şirket sunucularından tamamen ayrı tutulması gerektiğini hatırlatıyor.

Bir şirket bu KVKK veri ihlali ilanlarından ne çıkarmalı?

Yedi KVKK veri ihlali ilanının ortak dersi şu: iyi bir güvenlik düzeni, ihlali kurumun kendisinin fark etmesini sağlar. Bunun için iki şey gerekiyor. Birincisi kendi sistemlerinizde olup biteni görebilmek. İkincisi, verinizi emanet ettiğiniz tedarikçiden neyi, ne zaman öğreneceğinizi önceden yazıya dökmek. Air India vakasında ihlal tedarikçinin ortamında yaşandı ve o süreyi ancak tedarikçiyi de kapsayan bir denetim kısaltabilirdi. Bu adımların çoğu büyük bütçe istemiyor.

Tedarikçi sözleşmelerinde ihlalin size kaç saat içinde bildirileceği açıkça yazılmalı. 24 saatlik bir süre, müdahale için en değerli saatleri kaybetmemenizi sağlar. Verinin yazılı onayınız olmadan bir alt tedarikçiye aktarılamayacağı da aynı sözleşmede yer almalı. Hangi tedarikçide hangi kişisel verinin durduğunu gösteren bir liste, ihlal günü sorulacak ilk soruyu cevaplar. İş bittiğinde verinin silindiğini belgeyle istemek ise bu listeyi kısa tutar.

Teknik tarafta yönetici hesaplarında çok faktörlü doğrulama yetkisiz girişi zorlaştırıyor. Oturum kayıtlarını düzenli izlemek de geçerli bir parolayla yapılan olağandışı girişleri erkenden yakalamaya yardım ediyor. Sunuculardaki şüpheli oturumları ve veri hareketini izlemek uç nokta tespit ve müdahale (EDR) katmanının işi. ESET PROTECT’teki EDR ve bu uyarıları uzman bir ekibin izlediği MDR hizmeti bu ihtiyaca göre tasarlandı.

Bazı adımlar aynı gün atılabilir. Misafir kablosuz ağı ayrı bir ağ bölümüne alınabilir, internete açık web uygulamaları güvenlik açığı taramasından geçirilebilir. Çalışanlara da telefonda kendini BT desteği olarak tanıtan hiç kimseye parola ya da doğrulama kodu verilmemesi hatırlatılabilir.

Son bir not: Kurul ilanları herkese açık ve dolandırıcılar da bunları okuyor. Önümüzdeki haftalarda bu kurumların adını taşıyan “hesabınız etkilendi” e-postaları ve mesajları dolaşmaya başlayabilir. Sahte veri ihlali uyarılarını gerçeğinden ayırmanın yolları bu dönemde işe yarayacak.

Yedi ilanın hepsinde Kurul’un incelemesi sürüyor. Kararlar çıktığında hangi tedbirin eksik bulunduğu daha net görülecek. O zamana kadar ilanlardan çıkan en somut bilgi tespit sütununda duruyor: aynı gün ile üç yıl arasındaki farkı belirleyen, ihlalin kimin gözü önünde yaşandığı.