Temsili: dizüstü bilgisayar yanında mini alışveriş sepeti (e-ticaret müşteri iletişimi temsili görseli)

Kişisel Verileri Koruma Kurumu (KVKK), 4 Kasım 2026 tarihinde Hepsiburada'nın veri sorumlusu şirketi D-Market Elektronik Hizmetler ve Ticaret A.Ş. tarafından Kurula iletilen veri ihlali bildirimini 6698 sayılı Kanun'un 12. maddesinin 5. fıkrası uyarınca kamuoyuna duyurdu. KVKK duyurusuna göre, şirkete chat altyapısı hizmeti sunan üçüncü taraf veri işleyen nezdinde barındırılan 2022 tarihli chat kayıtlarına sağlanan yetkisiz erişimden 9.882 kişi etkilendi.

KVKK duyurusunda neler var

KVKK duyurusuna göre veri sorumlusu D-Market Elektronik Hizmetler ve Ticaret A.Ş.'nin Kurula sunduğu özet bildirimde, yetkisiz erişimin şirketin kendi ana sistemlerinde değil, chat altyapısı hizmeti sağlayan veri işleyen nezdindeki 2022 tarihli chat kayıtlarında gerçekleştiği belirtildi.

İhlalden çalışanlar, müşteriler ve potansiyel müşteriler, tedarikçi çalışanları, iş ortakları ve satıcılar olmak üzere toplam 9.882 kişi etkilendi. Duyuruda etkilenen kişisel veri kategorileri; kimlik (ad, soyadı), iletişim (cep telefonu, e-posta adresi, adres) ve müşteri işlem bilgileri (sipariş numarası, gönderi numarası, talep ve şikâyet kayıtları, satın alınan veya iptal edilen ürün bilgileri) olarak sıralandı.

Kart, ödeme, şifre veya T. C. kimlik numarası verileri ise duyuruda yer almadı. İlgili kişilerin kvk@hepsiburada.com adresi ve 0850 252 40 00 numaralı çağrı merkezi üzerinden bilgi alabileceği kaydedildi. Konu, Kişisel Verileri Koruma Kurulunun 4 Kasım 2026 tarih ve 2026/2438 sayılı Kararı ile ilan edilirken Kurumun incelemesi sürüyor; açıklanmış bir idari para cezası veya yaptırım kararı bulunmuyor.

Aynı gün aynı karar sayısıyla (2026/2438) Hepsijet iletişim adresli D Fast Dağıtım Hizmetleri ve Lojistik A.Ş. için de benzer anlatımlı bir duyuru yayımlandı; bu bildirimde de veri işleyen nezdindeki 2022 tarihli chat kayıtlarına yetkisiz erişim sağlandığı, çalışanlar, müşteriler ve kargo alıcılarından oluşan 3.217 kişinin ve kargo ile gönderi numaralarının etkilendiği aktarıldı.

Bilinmeyenler

KVKK'nın yayımladığı özet metinde chat altyapısı hizmetini sunan veri işleyen şirketin adı, siber saldırının gerçekleştiği tarih ve ihlalin tespit edildiği tarih yer almadı. Yetkisiz erişimi gerçekleştiren saldırganların kimliği, erişilen kayıtların herhangi bir ortamda yayımlanıp yayımlanmadığı ve etkilenen kişilere doğrudan bireysel bildirim yapılıp yapılmadığı da duyuruda açıklanmadı.

KVKK 4 Kasım 2026'da aralarında NCL (Bahamas) Ltd. veri ihlali bildirimi de bulunan toplam 14 duyuru yayımladı.

Etkilenenler ne yapabilir

Sipariş ve gönderi numaralarının ad, soyadı, adres ve telefon numarasıyla birlikte ele geçirilmesi, geçmiş alışverişlere atıf yapan sahte kargo dolandırıcılığı mesajları veya iade konulu telefon aramaları riskini artırıyor. Bu kapsamda alınabilecek önlemler ve yasal haklar şunlardır:Sipariş numaranızı, aldığınız ürünü veya adresinizi doğru içerse bile SMS ya da e-posta ile gelen kargo ve iade bağlantılarına tıklamayın; işlemleri doğrudan resmi mobil uygulama veya web sitesi üzerinden kontrol edin. Geçmiş sipariş, iade veya kargo ücreti gerekçesiyle arayıp kart bilgisi ya da tek kullanımlık doğrulama kodu isteyen kişilere bilgi vermeyin. 2022 yılındaki chat kayıtlarınızın ihlal kapsamında olup olmadığını öğrenmek için duyuruda belirtilen kvk@hepsiburada.com adresine veya 0850 252 40 00 numaralı çağrı merkezine başvurun. 6698 sayılı Kanun'un 11. maddesi kapsamındaki başvuru ve Kurula şikâyet adımlarını veri ihlali sonrası haklar ve başvuru yolları yazımızdan inceleyin.

Kaynaklar

Temsili görsel: alışveriş sepeti ve dizüstü bilgisayar — Shixart1985, Wikimedia Commons (CC BY 2.0). Haber konusuyla doğrudan bağlantılı bir olay görseli değildir.

Sık sorulan sorular

D-Market veri ihlalinde hangi kişisel veriler etkilendi?

KVKK duyurusuna göre ad-soyad, cep telefonu, e-posta, adres, sipariş numarası, gönderi numarası, talep ve şikâyet kayıtları ile satın alınan veya iptal edilen ürün bilgileri etkilendi; kart, ödeme, şifre veya T.C. kimlik numarası bilgileri duyuruda yer almadı.

İhlal doğrudan Hepsiburada sistemlerinde mi gerçekleşti?

Hayır. KVKK duyurusuna göre yetkisiz erişim, veri sorumlusuna chat altyapısı hizmeti sunan üçüncü taraf veri işleyen nezdinde barındırılan 2022 tarihli chat kayıtlarında gerçekleşti.

İlgili kişiler ihlal hakkında nereden bilgi alabilir?

Duyuruya göre ilgili kişiler kvk@hepsiburada.com e-posta adresi ve 0850 252 40 00 numaralı çağrı merkezi üzerinden bilgi alabiliyor.