Bursa Ticaret ve Sanayi Odası (BTSO), SQL injection yöntemiyle düzenlenen siber saldırı sonucunda üye firma ve şahıslara ait kayıtların dışarı aktarıldığını Kişisel Verileri Koruma Kurulu'na bildirdi. Veri ihlali, 2 Kasım 2026 tarihinde veri tabanı hizmetinin durması üzerine gerçekleştirilen kontrollerde tespit edildi ve Kişisel Verileri Koruma Kurumu (KVKK) tarafından 11 Kasım 2026'da ilan edildi.
Hangi kayıtlar dışarı aktarıldı
Kurula sunulan veri ihlali bildirimine göre olaydan etkilenen kişi grubunu aboneler ve üyeler oluşturuyor. Saldırıda üye firma ve şahıslara ait kimlik, iletişim, üyelik ve tahsilat kayıtları dışarı aktarıldı; genel muhasebe kayıtları ise etkilenmedi. İhlal kapsamında etkilenen kişisel veri kategorileri şunlar oldu:
- Kimlik verileri
- İletişim verileri
- Müşteri işlem verileri
- İşlem güvenliği verileri
Etkilenen gerçek kişi sayısı ile kişisel veri kaydı sayısı henüz kesin olarak belirlenemedi. Kişisel Verileri Koruma Kurulu, 6698 sayılı KVKK'nın 12'nci maddesinin 5'inci fıkrası uyarınca aldığı 11 Kasım 2026 tarihli ve 2026/2494 sayılı kararla bildirimin Kurum internet sitesinde ilan edilmesine karar verdi. İnceleme devam ediyor.
SQL injection nedir
SQL injection, bir web uygulamasının kullanıcıdan aldığı veriyi denetlemeden veri tabanı sorgusuna eklemesinden yararlanan bilinen bir saldırı türü olarak tanımlanıyor. Bu zafiyet, saldırganın veri tabanındaki kayıtları okumasına veya değiştirmesine imkân verebiliyor. Parametreli sorgu kullanımı ve girdi doğrulama kontrolleri bu saldırı türüne karşı yaygın önlemler arasında yer alıyor. BTSO tarafında ise hangi uygulamanın etkilendiği açıklanmadı.
Neler bilinmiyor
KVKK duyurusunda saldırının teknik kapsamına ve sonrasına dair bazı ayrıntılar açıklanmadı:
- Saldırının hangi sistem veya uygulama üzerinden yapıldığı açıklanmadı.
- Saldırganın kim olduğu ve saldırının başlangıç tarihi açıklanmadı.
- Dışarı aktarılan verilerin herhangi bir ortamda yayımlanıp yayımlanmadığı açıklanmadı.
- Üyelere bildirim yapılıp yapılmadığı açıklanmadı.
Türkiye açısından
Türkiye'nin büyük ticaret ve sanayi odalarından biri olan BTSO'daki ihlal, Bursa'daki üye firmaları ve şahısları doğrudan ilgilendiriyor. Dışarı aktarılan üye verileri arasında KVKK metninde içeriği açıklanmayan «işlem güvenliği verileri» kategorisinin de yer alması önem taşıyor.
Kimlik, iletişim ve tahsilat bilgilerinin dışarı aktarıldığı bu tür olaylarda, oda ya da tahsilat adına yapılabilecek oltalama girişimleri ve sahte ödeme talepleri genel bir siber güvenlik riski oluşturuyor.
Kaynaklar
Kapak görseli: Kadı / Wikimedia Commons, CC BY-SA 2.0 (kırpıldı, 1200x675).
