Büyüteç altında Canva web sitesinin logosu (temsili)

Tasarım platformu Canva, ürün geri bildirimi toplamak için kullandığı üçüncü taraf araç Canny'ye yetkisiz erişim sonucunda, Canny'nin Canva'nın Salesforce hesabıyla bağlantısı üzerinden bazı kurumsal müşteri kayıtlarına erişildiğini 19 Ekim 2026'da Cyber Daily'ye doğruladı. Şirkete göre Canva'nın kendi platformu ve sistemleri ele geçirilmedi; Canva hesapları, parolalar, tasarımlar ve içerikler güvende.

Şirket sözcüsüne göre etkilenen kayıtlar iş iletişim bilgileri ile rutin iş belgelerinden oluşuyor. Canva, Canny'nin erişimini hemen kaldırdığını, gerekli yerlerde etkilenen müşterileri bilgilendirdiğini, yükümlülüklerine uyduğunu ve ilgili kurumlarla iş birliği yaptığını açıkladı.

Cyber Daily'ye göre Seven Deadly Sins adlı fidye yazılımı grubu, Canva'yı 16 Ekim'de karanlık ağdaki sızıntı sitesine ekledi. Grup, 2 milyondan fazla Salesforce kaydı, kurumsal lisans siparişleri ve fatura PDF'leri ele geçirdiğini, verileri kimliği açıklanmayan bir alıcıya sattığını öne sürüyor. Grubun kanıt olarak yayımladığı örnek belge, Cyber Daily'ye göre gerçek görünen bir Canva for Enterprise sipariş formu; ancak 2 milyon kayıt ve satış iddiası doğrulanmadı. Grup ilk mağdurunu eylül sonunda duyurdu, o tarihten bu yana toplam 8 mağdur iddia etti.

Türkiye Bağlantısı ve KVKK Bildirimi

Kişisel Verileri Koruma Kurumu (KVKK), 16 Eylül 2026'da Canva Pty Ltd hakkında bir veri ihlali kamuoyu duyurusu (Kurul kararı 2026/2037) yayımlamıştı. Duyuruda, üçüncü taraf bir araçtaki yetkisiz erişim nedeniyle Türkiye'de 424 kuruluşla ilişkili verilerin etkilendiği, gerçek kişi sayısının ise henüz netleşmediği belirtilmişti. Etkilendiği bildirilen veriler arasında Canva müşterilerinin çalışanlarına ait isim, iş e-posta adresi, iş yeri konumu ve iş amaçlı telefon numarası ile sipariş formları, sözleşmeler ve faturalar yer alıyordu. Bu tablo şirketin açıklamasıyla örtüşüyor ancak iki bildirimin kesin olarak aynı olaya ait olup olmadığı açıklanmadı. KVKK bildirimini 17 Eylül'de haberleştirmiştik. KVKK'ya göre ilgili kişiler privacy@canva.com adresinden bilgi alabiliyor.

Kurumsal Canva müşterilerinin çalışanlarına, Canva adını kullanan ya da sipariş ve fatura bahanesiyle gelen olası oltalama e-postalarına karşı dikkatli olmaları önerilir. Canny sistemlerine nasıl sızıldığı, saldırının kesin tarihi veya dünya genelinde etkilenen toplam müşteri sayısı şu ana kadar açıklanmadı. Aylık 265 milyondan fazla aktif kullanıcısı olan Canva'nın açıklamasına göre bu olayda etkilenen kayıtlar kurumsal müşterilere ait. Şirket 2019 ve 2020'de de veri ihlalleri yaşamıştı.

Kaynaklar

Kapak görseli (temsili): büyüteç altında Canva web sitesi — Jernej Furman from Slovenia / Wikimedia Commons, CC BY 2.0 (1200×675 kırpıldı).