İstanbul Haydarpaşa Limanı'nda konteyner terminali ve rıhtım vinçleri (temsili arşiv fotoğrafı; Asyaport tesisi değildir)

Kişisel Verileri Koruma Kurumu (KVKK), Tekirdağ'da konteyner terminali işleten Asyaport Liman AŞ'nin veri ihlali bildirimini 27 Ekim 2026 tarihinde kamuoyuna duyurdu. Şirketin Kurula ilettiği bildirimi özetleyen duyuruya göre saldırganlar, bir tedarikçi firmanın «Servis Destek Masası» uygulamasındaki güvenlik zafiyetinden yararlandı. İlk aşamada 855 kişinin ad soyad, e-posta adresi ve telefon numarası bilgisinin etkilendiği tespit edildi.

Duyuruda neler var

Duyuruda, veri sorumlusu Asyaport Liman AŞ'nin Kurula ilettiği bildirim özetleniyor. Buna göre ihlal, «Tedarikçi firmanın "Servis Destek Masası" uygulamasındaki bir güvenlik zafiyetinden yararlanan saldırganların kimlik doğrulama kontrollerini atlatarak birden fazla hesabın şifresini değiştirmesi ve bu hesaplara yetkisiz erişim sağlaması sonucunda veri sorumlusuna ait belgelerin ifşa olması suretiyle» gerçekleşti.

Bildirime göre ihlal 12 Ekim 2026'da başladı, 19 Ekim 2026'da tespit edildi. İhlalden etkilenen verilerin kimlik kategorisinde ad soyad, iletişim kategorisinde ise e-posta adresi ve telefon numarası olduğu kaydedildi. Etkilenen kişi sayısı ilk aşamada 855 olarak tespit edildi; bu grupta çalışanlar, kullanıcılar ve müşteriler yer alıyor.

İlgili kişiler, Asyaport'un kvkk@asyaport.com e-posta adresinden ve 0282 273 27 92 numaralı çağrı merkezinden ihlal hakkında bilgi alabiliyor. Kişisel Verileri Koruma Kurulu, 27.10.2026 tarihli ve 2026/2363 sayılı kararıyla bildirimin Kurum internet sitesinde ilan edilmesine karar verdi. Duyuru, 6698 sayılı Kanun'un 12. maddesinin 5. fıkrasına dayanıyor. KVKK'ya göre konuya ilişkin inceleme devam ediyor; duyuruda bir idari para cezası ya da yaptırımdan söz edilmiyor.

Bilinmeyenler

Yayımlanan özette tedarikçi firmanın adı, kullanılan uygulamanın hangi ürün olduğu ve zafiyetin teknik ayrıntıları açıklanmadı. Saldırganların kimliği, ifşa olan belgelerin türü ve verilerin internet ortamında yayımlanıp yayımlanmadığı da duyuruda yer almadı. Şirketin internet sitesinde 28 Ekim sabahı itibarıyla olaya ilişkin bir açıklama yer almıyor.

SGH 15 Ekim'de N0n grubunun Asyaport'u sızıntı sitesine eklediğini öne sürdüğünü aktarmıştı; KVKK duyurusunda bu iddiaya ya da saldırganların kimliğine değinilmiyor.

Etkilenenler ne yapabilir

Ad soyad, e-posta ve telefon bilgisi birlikte açığa çıktığında hedefli oltalama e-postası, sahte SMS ve sahte arama riski artar. Asyaport ya da liman ve lojistik şirketleri adına gelen beklenmedik e-posta, SMS ve aramalarda bağlantılara tıklamadan önce kurumun resmi kanallarından doğrulama yapmak gerekir.

Etkilenip etkilenmediğini öğrenmek isteyenler duyurudaki kvkk@asyaport.com adresini ve 0282 273 27 92 numaralı çağrı merkezini kullanabilir. 6698 sayılı Kanun'un 11. maddesindeki başvuru hakları için KVKK başvuru ve şikâyet rehberi adımları anlatıyor.

Türkiye açısından

Bildirim, şirketlerin yalnız kendi sistemlerinden değil, tedarikçilerin destek masası ve yardım masası uygulamalarından da risk alabildiğini gösteriyor. Kurumlar için genel ders: tedarikçi uygulamalarında çok faktörlü kimlik doğrulama kullanmak ve şifre sıfırlama akışlarını düzenli denetlemek. 6698 sayılı Kanun'un 12. maddesinin 5. fıkrası, kişisel veriler kanuni olmayan yollarla başkalarınca elde edildiğinde veri sorumlusunun durumu en kısa sürede ilgililere ve Kurula bildirmesini öngörüyor.

Kaynaklar

Kapak görseli (temsili, arşiv 2013): İstanbul Haydarpaşa Limanı konteyner terminali; Asyaport tesisi değildir — franganillo, Wikimedia Commons, CC BY 2.0 (1200×675 küçültüldü).