Ana Sayfa Hakkımızda Hizmetler Ödüller Ekip Yayınlar Kariyer İletişim TÜRKÇEENGLISH Devin Patent — İstanbul
Veri Koruma/Yayınlar

Kişisel Verileri Koruma Kurulu Kararları — Ekim 2026 (II): 21 Ekim 2026 Tarihli Veri İhlali Bildirimleri

Turkish Data Protection Board Decisions — October 2026 (II): The Data Breach Notifications of 21 October 2026
Yayım26 Ekim 2026
Okuma süresi9 dk
Devin Law & IP

Bu konu marka ve patent vekilliğinin dışında kalır. Bu alandaki hukuki hizmetler hukuk büromuz Devin Law & IP tarafından verilir.

devinlaw.com.tr adresine git →
ÖzetSummary

Bu bilgi notunda, Kişisel Verileri Koruma Kurulunun 21 Ekim 2026 tarihli kararlarıyla Kişisel Verileri Koruma Kurumunun internet sitesinde ilan edilmesine karar verilen on veri ihlali bildirimi aktarılmaktadır. İlanların tamamı 21 Ekim 2026 tarihinde Kurumun internet sitesinde yayımlanmıştır. Not, 19 Ekim 2026 – 25 Ekim 2026 tarihleri arasında Kurumun internet sitesinde yayımlanan duyuruları kapsamaktadır; bu dönemde yeni bir Kurul karar özeti, ilke kararı veya rehber yayımlanmamıştır.

Kilit sonuç · Key takeaway

Kurul, 21 Ekim 2026 tarihli kararlarıyla on veri ihlali bildirimini ilan etmiştir; üç bildirimde ihlal veri işleyen sistemlerindeki üçüncü taraf yazılım kütüphanesi zafiyetine, ikisinde fidye yazılımı saldırısına dayandırılmıştır.

01
Giriş

Kurul, 21 Ekim 2026 tarihinde on veri ihlali bildiriminin Kurumun internet sitesinde ilan edilmesine karar vermiştir. Bildirimlerin üçünde ihlalin, veri sorumlusuna ait verilerin bulunduğu veri işleyen sistemlerindeki bir sunucuya, kullanılan üçüncü taraf yazılım kütüphanesindeki güvenlik zafiyetinin istismar edilmesi suretiyle yetkisiz erişim sağlanması sonucunda gerçekleştiği belirtilmiştir. İki bildirimde fidye yazılımı saldırısı, iki bildirimde sosyal mühendislik yöntemiyle çalışan hesaplarına yetkisiz erişim, bir bildirimde ele geçirilmiş parola ile kurumsal e-posta hesabına erişim, bir bildirimde yazılımdaki güvenlik açığından yararlanılarak yetkisiz erişim bildirilmiştir. Bir bildirimde ise otel işletmesinin bilgi işlem altyapısına ve kurumsal e-posta hesaplarına yönelik siber güvenlik olaylarının incelenmekte olduğu ifade edilmiştir.

İlan edilen bildirimler arasında Ankara'da faaliyet gösteren özel bir sağlık kuruluşunun muayene, tahlil, tanı ve tedavi kayıtlarını içeren sunucusunun şifrelenmesine ilişkin bildirim, İzmir Büyükşehir Belediyesi ve Ondokuz Mayıs Üniversitesi gibi kamu kurumlarının bildirimleri ile Choice Hotels International, Inc. ve Baxter Turkey Renal Hizmetler AŞ gibi uluslararası grup şirketlerinin bildirimleri yer almaktadır. Etkilenen ilgili kişi sayısı beş bildirimde rakam olarak belirtilmiş, diğer bildirimlerde sayının henüz tespit edilemediği ifade edilmiştir. İlanların tamamında konuya ilişkin incelemenin devam ettiği belirtilmiş; ilan kararlarında ihlale ilişkin bir yaptırıma yer verilmemiştir.

02
Veri İşleyen Sistemlerindeki Üçüncü Taraf Yazılım Kütüphanesi Zafiyetine Dayanan Üç Bildirim

Kurulun 21.10.2026 tarihli ve 2026/2281 sayılı kararıyla Dermojet Sağlık Ürünleri Sanayi ve Ticaret Anonim Şirketi, Güllüoğlu Gıda San. ve Tic. AŞ ve Kurukahveci Mehmet Efendi Mahdumları Gıda Sanayi ve Ticaret Anonim Şirketi bildirimleri ilan edilmiştir. Üç bildirimde de ihlalin, veri sorumlusuna ait verilerin bulunduğu veri işleyen sistemlerindeki bir sunucuya, kullanılan üçüncü taraf yazılım kütüphanesindeki güvenlik zafiyetinin istismar edilmesi suretiyle yetkisiz erişim sağlanması sonucunda gerçekleştiği ve ihlalin veri işleyenin veri sorumlusuna yaptığı bildirim üzerine tespit edildiği belirtilmiştir. Tespit tarihi Dermojet bildiriminde 10.09.2026, Mehmet Efendi bildiriminde 07.10.2026, Güllüoğlu bildiriminde 08.10.2026 olarak yer almaktadır.

Dermojet bildirimine göre ihlalden ilgili kişilere ait ad-soyad, telefon numarası, e-posta adresi, adres bilgisi ve hash'lenmiş parola/kullanıcı giriş bilgileri etkilenmiş; etkilenen ilgili kişi sayısı 50.636, etkilenen ilgili kişi grubu müşteriler/potansiyel müşteriler olarak bildirilmiştir. Güllüoğlu bildiriminde ihlalden mağaza müşterilerine ait ad-soyad, telefon numarası, e-posta adresi, adres bilgisi ve saklanan şifre değerleri ile satıcı paneli kullanıcı hesapları ve saklanan şifre değerlerinin etkilendiği, etkilenen ilgili kişi sayısının 67.193 olduğu belirtilmiştir. Mehmet Efendi bildiriminde etkilenen veriler mağaza müşterilerine ait ad-soyad, telefon numarası, e-posta adresi, adres bilgisi ve hash'lenmiş şifre değeri ile satıcı (yönetim) paneli kullanıcı hesapları ve hash'li saklanan şifre değeri olarak sayılmış; ihlalden etkilenmiş olabilecek ilgili kişi sayısının en fazla 15.303 nihai müşteri ile 18 yönetim paneli hesabı sahibinden oluşabileceği ifade edilmiştir. Üç bildirimde de ilgili kişilerin veri sorumlusunun e-posta adresi, telefon numarası veya internet sitesi üzerinden ihlal hakkında bilgi alabilecekleri belirtilmiştir.

Kurulun Değerlendirmesi

Üç ilanda da "Konuya ilişkin inceleme devam etmekle birlikte, Kişisel Verileri Koruma Kurulunun 21.10.2026 tarih ve 2026/2281 sayılı Kararı ile söz konusu veri ihlali bildiriminin Kurumun internet sitesinde ilan edilmesine karar verilmiştir." ifadesine yer verilmiştir. İlan metinlerinde veri işleyenin kimliğine ve istismar edilen yazılım kütüphanesine ilişkin bilgi bulunmamaktadır.

Kurumun internet sitesinde 7 Ekim 2026 tarihinde ilan edilen Hüşyar Tekstil Paz. İth. İhr. San. Tic. Ltd. Şti. bildiriminde de ihlal, aynı ifadelerle, veri işleyen sistemlerindeki bir sunucuya üçüncü taraf yazılım kütüphanesindeki güvenlik zafiyetinin istismar edilmesi suretiyle yetkisiz erişim sağlanması olarak tanımlanmış ve etkilenen veriler mağaza müşterilerinin kimlik ve iletişim bilgileri ile saklanan şifre değerleri olarak bildirilmişti. Dört bildirim arasında bir bağlantı bulunup bulunmadığına ilişkin bir açıklama ilan metinlerinde yer almamaktadır.

03
Sağlık Sektöründen İki Bildirim
DNC Sağlık Hizmetleri AŞ: Sağlık Kayıtlarını İçeren Sunucunun Şifrelenmesi

Kurulun 21.10.2026 tarihli ve 2026/2282 sayılı kararıyla ilan edilen DNC Sağlık Hizmetleri AŞ bildiriminde, veri sorumlusunun Ankara Çankaya'da sağlık hizmeti sunan özel bir sağlık kuruluşu olduğu ve ihlalin, veri sorumlusu bilişim personeli tarafından sunucu ekranında beliren Türkçe fidye notunun görülmesi ve veri tabanı dosyalarına erişilemediğinin anlaşılması üzerine tespit edildiği belirtilmiştir. Bildirime göre ihlalden veri sorumlusundan hizmet alan hastalar, hasta yakınları, şirket personeli ve iş ortakları etkilenmiştir.

Bildirimde, şifrelenen sunucuda sağlık kuruluşu faaliyetleri kapsamında etkilenen kişisel veriler dört kategori altında sayılmıştır: kimlik verileri (ad, soyadı, T.C. kimlik numarası), iletişim verileri (telefon numarası, adres, e-posta adresi), özel nitelikli kişisel veriler olarak sağlık verileri (muayene, tahlil, tetkik, tanı, teşhis, reçete ve tıbbi tedavi geçmişine dair sağlık kayıtları) ve finansal veriler (randevu kayıtları, faturalandırma ve SGK/özel sigorta provizyon kayıtları). Sunucu veri tabanının şifrelenmiş olması sebebiyle kesin kişi ve kayıt sayısının ilk aşamada tespit edilemediği ifade edilmiştir.

Baxter Turkey Renal Hizmetler AŞ: Sesli Oltalama Temelli Sosyal Mühendislik Saldırısı

Kurulun 21.10.2026 tarihli ve 2026/2292 sayılı kararıyla ilan edilen Baxter Turkey Renal Hizmetler AŞ bildiriminde ihlalin 04.08.2026 tarihinde başladığı ve 06.10.2026 tarihinde tespit edildiği belirtilmiştir. Bildirime göre yetkisiz üçüncü taraflarca veri sorumlusu çalışanlarını hedef alan sesli oltalama temelli bir sosyal mühendislik saldırısı gerçekleştirilmiş; bu saldırı "tehdit aktörünün çalışanların kimlik bilgilerini elde etmesine ve tek bir çalışan hesabı üzerinden Baxter'ın Salesforce veri tabanına ve Baxter'ın Active Directory'si olarak işlev gören bir dahili veri dosyasına erişmesine" olanak sağlamıştır. Etkilenen kişisel verilerin ad, e-posta adresi ve posta adresi gibi temel iş iletişim bilgileri olduğu, etkilenen ilgili kişi grubunun ve sayısının henüz tespit edilemediği ve incelemelerin devam ettiği ifade edilmiştir.

04
Kamu Kurumlarının Bildirimleri
İzmir Büyükşehir Belediyesi: Ele Geçirilmiş Parola ile Kurumsal E-Posta Hesabına Erişim

Kurulun 21.10.2026 tarihli ve 2026/2271 sayılı kararıyla ilan edilen İzmir Büyükşehir Belediyesi bildiriminde, bir kurumsal e-posta hesabından olağan dışı hacimde e-posta gönderimi yapıldığının 30.09.2026 tarihinde tespit edildiği belirtilmiştir. Bildirime göre ilgili hesaba e-posta sunucusundaki bir güvenlik zafiyetinden ötürü değil, önceden ele geçirilmiş parola vasıtasıyla erişim sağlandığı anlaşılmıştır.

Bildirimde, yetkisiz erişim sağlanan hesaplardan ikisine ait posta kutusu içeriklerinin Kurum dışına aktarıldığının, gelen iletileri silmeye yönelik kural tanımlandığının, toplu spam gönderimi yapıldığının, ileti ayarlarının değiştirildiğinin, mevcut yazışmaların açıldığının ve e-posta imza alanına dolandırıcılık içerikli metin eklendiğinin görüldüğü ifade edilmiştir. Etkilenen kişisel veriler ad, soyad, e-posta adresi ve dahili telefon numarası olarak bildirilmiş; etkilenen ilgili kişi sayısının tam olarak belirlenemediği belirtilmiştir.

Ondokuz Mayıs Üniversitesi: USOM Bildirimiyle Tespit Edilen Yetkisiz Erişim

Kurulun 21.10.2026 tarihli ve 2026/2290 sayılı kararıyla ilan edilen Ondokuz Mayıs Üniversitesi bildiriminde, veri sorumlusunun kullandığı bir yazılımdaki güvenlik açığından yararlanılarak yetkisiz erişim gerçekleştirildiği ve 109 kişinin kişisel verilerinin ele geçirildiği belirtilmiştir. İhlal, Ulusal Siber Olaylara Müdahale Merkezinden (USOM) gelen bildirim ile 14.10.2026 tarihinde tespit edilmiştir. Etkilenen kişisel veri kategorileri kimlik, iletişim ve lokasyon olarak bildirilmiş; etkilenen ilgili kişi gruplarının henüz bilinmediği ifade edilmiştir.

05
Konaklama Sektöründen İki Bildirim
Choice Hotels International, Inc.

Kurulun 21.10.2026 tarihli ve 2026/2288 sayılı kararıyla ilan edilen Choice Hotels International, Inc. bildiriminde ihlalin, tehdit aktörünün sosyal mühendislik yöntemini kullanarak veri sorumlusu çalışanının ağ hesabına yetkisiz erişim sağlaması neticesinde gerçekleştiği ve veri sorumlusunun güvenlik izleme kontrolleri aracılığıyla üretilen bir uyarı vasıtasıyla tespit edildiği belirtilmiştir. Bildirime göre ihlal 05.06.2026 tarihinde başlamış, 06.06.2026 tarihinde sona ermiş ve 05.06.2026 tarihinde tespit edilmiştir. Etkilenen ilgili kişi grubu müşteriler; etkilenen kişisel veriler ad-soyad ve iletişim bilgileri ile etkilenen kişilerin bir kısmı için geçmiş otel konaklamalarına ilişkin detaylardır. Etkilenen kişi sayısı 9.550 olarak bildirilmiştir.

Akropol Turizm Yatırımları İnşaat ve Dış Ticaret Anonim Şirketi (MW Phokaia Beach & Resort)

Kurulun 21.10.2026 tarihli ve 2026/2285 sayılı kararıyla ilan edilen Akropol Turizm Yatırımları İnşaat ve Dış Ticaret Anonim Şirketi bildiriminde, veri sorumlusu tarafından işletilen MW Phokaia Beach & Resort'un bilgi işlem altyapısı ve kurumsal elektronik posta hesaplarına yönelik siber güvenlik olaylarının meydana geldiği belirtilmiştir. Bildirime göre yetkisiz erişim şüphesi bulunan kurumsal hesaplarda veri sorumlusu çalışanları, misafirleri, tedarikçi ve iş ortaklarının gerçek kişi temsilcilerine ait kişisel verilerin bulunması mümkündür; bu çerçevede kimlik ve iletişim bilgileri, kurumsal elektronik posta yazışmalarındaki gerçek kişilere ait bilgiler, rezervasyon ve konaklama süreçlerine ilişkin kişisel veriler, çalışanlara ilişkin özlük ve iletişim bilgileri ile gerçek kişilere ait finansal veya işlem bilgilerinin ihlalden etkilenip etkilenmediği araştırılmaktadır. Olayın başlangıç ve bitiş tarihi, etkilenen hesaplar, kişisel veri kategorileri, ilgili kişi sayısı ve olası veri aktarımının tespiti için veri sorumlusu tarafından inceleme sürecinin yürütülmekte olduğu ifade edilmiştir.

06
Vakıf Sunucu Altyapısına Fidye Yazılımı Saldırısı: Enka Spor Eğitim ve Sosyal Yardım Vakfı

Kurulun 21.10.2026 tarihli ve 2026/2284 sayılı kararıyla ilan edilen Enka Spor Eğitim ve Sosyal Yardım Vakfı bildiriminde, veri sorumlusunun sunucu altyapısına yönelik fidye yazılımı saldırısı gerçekleştirildiği ve saldırganın sisteme giriş yöntemi ile etkilenen sistemlerin tam kapsamına ilişkin teknik incelemenin devam ettiği belirtilmiştir. Etkilenen ilgili kişi grupları çalışanlar, öğrenciler, mezun öğrenciler ve çocuklar olarak bildirilmiştir.

Bildirime göre etkilenen kişisel veri kategorileri, öğretmen, öğrenci ve mezunlara ait pasaport kopyalarında yer alan ad-soyad, doğum tarihi ve yeri, uyruk, pasaport numarası ve fotoğraf bilgilerinden oluşan kimlik verileri ile sunucuda arşivlenmiş etkinlik fotoğrafları ve pasaport fotoğraflarından oluşan görsel ve işitsel kayıtlardır. İhlalden etkilenen kişi ve kayıt sayısının bu aşamada bilinmediği ifade edilmiştir.

07
İhlal Bildirimine İlişkin Yükümlülükler
Mevzuattaki Düzenleme

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12 nci maddesinin beşinci fıkrasına göre "İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir." On ilanın tamamında bu hükme atıf yapılmış ve ilan kararının bu hükme dayandığı belirtilmiştir.

Kurulun 24.01.2019 tarihli ve 2019/10 sayılı kararı uyarınca veri sorumlusunun ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirmesi, veri işleyenin ise nezdinde gerçekleşen ihlali gecikmeye yer vermeksizin veri sorumlusuna bildirmesi gerekmektedir. Bu notta aktarılan bildirimlerin üçünde ihlal veri işleyen sistemlerinde gerçekleşmiş ve veri işleyen tarafından veri sorumlusuna bildirilmiştir. İlan metinlerinde bildirimlerin Kurula yapıldığı tarihlere yer verilmemiştir.

Kurul karar noVeri sorumlusuEtkilenen ilgili kişi sayısı / grubu
2026/2271İzmir Büyükşehir BelediyesiTam olarak belirlenemedi
2026/2281Dermojet Sağlık Ürünleri Sanayi ve Ticaret Anonim Şirketi50.636; müşteriler/potansiyel müşteriler
2026/2281Güllüoğlu Gıda San. ve Tic. AŞ67.193; mağaza müşterileri ve satıcı paneli kullanıcıları
2026/2281Kurukahveci Mehmet Efendi Mahdumları Gıda Sanayi ve Ticaret Anonim ŞirketiEn fazla 15.303 nihai müşteri ve 18 yönetim paneli hesabı sahibi
2026/2282DNC Sağlık Hizmetleri AŞİlk aşamada tespit edilemedi; hastalar, hasta yakınları, personel, iş ortakları
2026/2284Enka Spor Eğitim ve Sosyal Yardım VakfıBu aşamada bilinmiyor; çalışanlar, öğrenciler, mezun öğrenciler, çocuklar
2026/2285Akropol Turizm Yatırımları İnşaat ve Dış Ticaret Anonim Şirketiİnceleme süreci yürütülüyor
2026/2288Choice Hotels International, Inc.9.550; müşteriler
2026/2290Ondokuz Mayıs Üniversitesi109; gruplar henüz bilinmiyor
2026/2292Baxter Turkey Renal Hizmetler AŞHenüz tespit edilemedi
08
Sonuç

Kurul, 21 Ekim 2026 tarihli 2026/2271, 2026/2281, 2026/2282, 2026/2284, 2026/2285, 2026/2288, 2026/2290 ve 2026/2292 sayılı kararlarıyla on veri ihlali bildirimini Kurumun internet sitesinde ilan etmiştir. Dermojet, Güllüoğlu ve Kurukahveci Mehmet Efendi bildirimlerinde ihlal, veri işleyen sistemlerindeki bir sunucuya üçüncü taraf yazılım kütüphanesindeki güvenlik zafiyetinin istismar edilmesi suretiyle yetkisiz erişim sağlanmasına dayandırılmış; bu üç bildirimde etkilenen ilgili kişi sayısı sırasıyla 50.636, 67.193 ve en fazla 15.303 nihai müşteri ile 18 yönetim paneli hesabı sahibi olarak bildirilmiştir. DNC Sağlık Hizmetleri AŞ bildiriminde fidye yazılımı saldırısıyla şifrelenen sunucuda hastalara ait sağlık kayıtlarının bulunduğu, Enka Spor Eğitim ve Sosyal Yardım Vakfı bildiriminde fidye yazılımı saldırısından pasaport kopyalarındaki verilerin etkilendiği belirtilmiştir.

Baxter Turkey Renal Hizmetler AŞ ve Choice Hotels International, Inc. bildirimlerinde ihlal sosyal mühendislik yöntemiyle çalışan hesaplarına yetkisiz erişime, İzmir Büyükşehir Belediyesi bildiriminde önceden ele geçirilmiş parola ile kurumsal e-posta hesabına erişime, Ondokuz Mayıs Üniversitesi bildiriminde yazılımdaki güvenlik açığından yararlanılarak gerçekleştirilen yetkisiz erişime dayandırılmıştır. Choice Hotels bildiriminde etkilenen kişi sayısı 9.550, Ondokuz Mayıs Üniversitesi bildiriminde 109 olarak belirtilmiş; Akropol Turizm bildiriminde olayın kapsamına ilişkin incelemenin sürdüğü ifade edilmiştir. İlanların tamamında konuya ilişkin incelemenin devam ettiği belirtilmiş, ilan kararlarında ihlale ilişkin bir yaptırıma yer verilmemiştir.

Bilgi notunun tamamıBilgi notunun iki dilli PDF sürümünü indirin.
PDF indir