Hollanda'da spor kulüpleri, federasyonlar ve dernekler için üye yönetim yazılımı sağlayan Noordwijk merkezli AllUnited'a yönelik siber saldırı sonucunda yüzlerce kuruluşun üye verileri kopyalandı. AllUnited ve NU.nl tarafından paylaşılan bilgilere göre saldırgan, 9 Kasım 2026 Pazartesi akşamı yazılımdaki bir hatayı kullanarak veritabanına ulaştı ve kayıtları kopyaladı.
AllUnited'ın açıklamasına göre saldırgan, bir kulübün internet sitesindeki üyelik başvuru formu üzerinden şirketin sunucularından birine erişim sağladı. Yaşanan veri sızıntısı, AllUnited altyapısını kullanan tüm kulüp ve federasyonları kapsıyor. Şirket, sızıntıyı 10 Kasım 2026 Salı günü fark ettiğini, açığı aynı gün kapattığını, olayı Hollanda veri koruma otoritesi Autoriteit Persoonsgegevens'e (AP) bildirdiğini ve polise suç duyurusunda bulunduğunu açıkladı.
Hangi veriler çalındı
AllUnited tarafından paylaşılan bilgilere göre veritabanından kopyalanan kayıtlar hem yöneticileri hem de üyeleri kapsıyor:
- Kulüp yönetim kullanıcılarının adı, e-posta adresi, telefon numarası ve şifrelenmiş parolası.
- Üyeler, eski üyeler, gönüllüler ve sistemdeki diğer kişilerin adı, adresi, doğum tarihi, telefon numarası, e-posta adresi, IBAN numarası ile serbest notlar ve geçici parolalar dahil üye kaydındaki diğer alanlar.
- Kulüp siteleri üzerinden yapılan başvurularda girilen ad, e-posta, telefon, doğum tarihi ve IBAN bilgileri.
AllUnited'ın kulüplere gönderdiği örnek bilgilendirme metnine ve RTL Nieuws haberine göre doğum yeri, üye numarası, takım ve görev bilgileri de etkilenen kayıtlar arasında yer alıyor. Sistemde veli veya vasi kaydı bulunan kişiler üzerinden çocuk üyelerin verileri de kopyalandı.
Parolalar neden sıfırlandı
AllUnited, kullanıcı parolalarının veritabanında okunabilir biçimde değil şifrelenmiş olarak tutulduğunu bildirdi. Buna karşın saldırgan bu şifrelemenin nasıl çalıştığına dair bilgiyi de ele geçirdiği için yeterli zaman ve işlem gücüyle parolaları çözebilir. Şirket bu risk nedeniyle sistemdeki tüm parolaları geçersiz kıldı; üyelerin henüz değiştirmediği ve okunabilir halde saklanan geçici parolaları ise sildi.
AllUnited ve Tweakers'ın aktardığına göre şirket, kullanıcıların bir sonraki girişte «parolamı unuttum» adımı üzerinden yeni parola belirlemesini ve aynı parolayı başka hesaplarda kullananların o hesaplarda da değişikliğe gitmesini istedi. Şirket ayrıca ek güvenlik önlemleri ve kontroller getirileceğini belirtti.
Kaç kulüp etkilendi
RTL Nieuws ve Tweakers'ta yer alan bilgilere göre AllUnited, internet sitesinde yazılımın 35 federasyon tarafından kullanıldığını ve 2.500'den fazla spor, kültür ve öğrenci topluluğunun müşterisi olduğunu ifade ediyor. NU.nl ve Tweakers, etkilenen kurumlar arasında kriket federasyonu KNCB, dama ve bilardo federasyonları ile Atletiekunie ve Gehandicaptensport Nederland'ın bulunduğunu aktardı. Hollanda Hokey Federasyonu (KNHB) ise AllUnited'ı kullanmadığını, ancak önlem olarak veri alışverişini engellediğini NU.nl'ye bildirdi.
Autoriteit Persoonsgegevens sözcüsünün Hollanda haber ajansı ANP'ye verdiği bilgiye göre 350'den fazla Hollanda spor kulübü kuruma veri ihlali bildirdi ve bu sayının artması bekleniyor. Olaydan etkilenen toplam kişi sayısı açıklanmadı. AllUnited'ın saldırganla bir teması bulunmuyor; saldırının nereden yapıldığı ve amacı da bilinmiyor.
Oltalama riski ve bildirim süresi
AllUnited'a göre sızıntının ardından öne çıkan en büyük tehlike oltalama mesajları. Kulüp, federasyon veya AllUnited adına gönderilen; aidat, ceza ya da başka bir ödeme isteyen, giriş yapmayı veya bilgi paylaşmayı talep eden sahte iletilere ve kimlik taklidi riskine dikkat çekildi. Kriket federasyonu KNCB, RTL Nieuws'ta yer alan değerlendirmesinde çalınan bilgilerle hazırlanan mesajların kulüp ya da bankadan gelmiş gibi görünebileceğini ve dağınık bir spam e-postasından daha inandırıcı olabileceğini belirtti.
Üye verilerinden kulüpler sorumlu olduğu için AllUnited, her kulübün ihlali kendi adına 72 saat içinde Autoriteit Persoonsgegevens'e bildirmesini ve üyelerini sahte ödeme ile giriş isteklerine karşı uyarmasını istedi. Şirketin 11 Kasım 2026 tarihli güncellemesine göre bildirim süresi 13 Kasım 2026 Cuma günü saat 19.15'te doluyor. AllUnited, tüm kulüpler adına tek seferde bildirim yapıp yapamayacağını Autoriteit Persoonsgegevens ile görüşüyor.
Türkiye açısından
Türkiye'de de spor kulüpleri, dernekler ve okullar üye kayıtlarını, aidat ve ödeme bilgilerini çoğu zaman tek bir bulut tabanlı yazılım sağlayıcısında tutuyor. Böyle bir sağlayıcıdaki tek açık, tedarik zinciri riski doğurarak yüzlerce kuruluşun verisini aynı anda açığa çıkarabiliyor. Ad, doğum tarihi ve IBAN bilgilerinin birlikte ele geçmesi durumunda kulüp ya da federasyon adına gönderilen sahte aidat ve ödeme talepleri daha inandırıcı hale geliyor. Türkiye'de KVKK, veri ihlalinin Kurul'a bildirilmesini ve ilgili kişilerin bilgilendirilmesini istiyor.
Kaynaklar
- AllUnited, Beveiligingsincident bij AllUnited, 11 Kasım 2026
- NU.nl, Meer dan 350 sportclubs melden datalek na cyberaanval op AllUnited, 11 Kasım 2026
- RTL Nieuws, Datalek bij beheersysteem voor sportclubs: gegevens van amateursporters buitgemaakt, 10 Kasım 2026
- Tweakers, Hackers stelen gegevens bij sportverenigingen en -bonden door lek beheersysteem, 11 Kasım 2026
Kapak görseli: «Panoramio - henkiedenkie - SV Den Hoorn - football club - 2006», henkiedenkie (Panoramio), Wikimedia Commons, CC BY-SA 3.0 (kırpıldı, 1200x675).
