Kurukahveci Mehmet Efendi dükkânının tabelalı cephesi (temsili)

Kişisel Verileri Koruma Kurumu (KVKK), 21 Ekim 2026'da internet sitesinde 10 yeni veri ihlali kamuoyu duyurusu yayımladı. Listede üç çevrim içi mağaza var: Kurukahveci Mehmet Efendi, Güllüoğlu ve Dermojet. Üçünde de verilerin bulunduğu veri işleyen sunucusuna, üçüncü taraf bir yazılım kütüphanesindeki açık kullanılarak erişildi. Güllüoğlu 67.193, Dermojet 50.636 kişinin etkilendiğini bildirdi. Mehmet Efendi'de etkilenmiş olabilecek kişi sayısı en fazla 15.303 müşteri ve 18 yönetim paneli hesabı sahibi. Listede ayrıca sunucu ekranında Türkçe fidye notu çıkan DNC Sağlık, sunucu altyapısına fidye yazılımı saldırısı düzenlenen Enka Spor Eğitim ve Sosyal Yardım Vakfı ve ele geçirilmiş bir parolayla kurumsal e-posta hesaplarına erişilen İzmir Büyükşehir Belediyesi de bulunuyor.

Diğer duyurular Ondokuz Mayıs Üniversitesi, Choice Hotels, Baxter Turkey Renal Hizmetler AŞ ve MW Phokaia Beach & Resort'u işleten Akropol Turizm'e ait. Duyurulardaki bilgiler, şirketlerin ve kurumların Kişisel Verileri Koruma Kurulu'na yaptığı bildirimlere dayanıyor. Duyuruların hepsi Kurul'un 21 Ekim 2026 tarihli kararlarıyla ilan edildi ve hepsinde incelemenin sürdüğü belirtiliyor. KVKK bir önceki toplu listeyi 7 Ekim 2026'da 17 duyuruyla yayımlamıştı.

Üç çevrim içi mağaza: veri işleyen sunucusunda kütüphane açığı

Güllüoğlu, Dermojet ve Mehmet Efendi duyuruları aynı kalıpla yazılmış. Üçünde de şirkete ait verilerin bulunduğu veri işleyen sistemlerindeki bir sunucuya, kullanılan üçüncü taraf yazılım kütüphanesindeki güvenlik açığından yararlanılarak yetkisiz erişim sağlandı. İhlal, üç şirkette de veri işleyenin bildirimiyle fark edildi. Üç duyuru, Kurul'un 21 Ekim 2026 tarihli ve 2026/2281 sayılı kararıyla ilan edildi. Duyurular veri işleyenin ve kütüphanenin adını vermiyor. KVKK'nın 30 Eylül 2026 listesinde de üçüncü taraf yazılım kütüphanesindeki açıkla anlatılan bir bildirim vardı; duyurular bu bildirimlerle bağ kurmuyor.

Güllüoğlu Gıda'nın duyurusuna göre ihlal 8 Ekim 2026'da tespit edildi. Mağaza müşterilerinin ad-soyad, telefon numarası, e-posta adresi, adres bilgisi ve saklanan şifre değerleri ile satıcı paneli kullanıcı hesapları ve bu hesapların şifre değerleri etkilendi. Etkilenen kişi sayısı 67.193; etkilenen grup kullanıcılar olarak belirtiliyor.

Dermojet Sağlık Ürünleri'nin duyurusuna göre veri işleyen 10 Eylül 2026'da şirkete bildirim yaptı ve ihlal böylece tespit edildi. Ad-soyad, telefon numarası, e-posta adresi, adres bilgisi ile hash'lenmiş parola ve kullanıcı giriş bilgileri etkilendi. Hash'lenmiş parola, açık metin yerine tek yönlü bir özet olarak saklanan parola demek. Etkilenen 50.636 kişi müşteriler ve potansiyel müşterilerden oluşuyor.

Kurukahveci Mehmet Efendi'nin duyurusunda ihlalin 7 Ekim 2026'da tespit edildiği belirtiliyor. Mağaza müşterilerinin ad-soyad, telefon numarası, e-posta adresi, adres bilgisi ve hash'lenmiş şifre değeri ile satıcı (yönetim) paneli kullanıcı hesapları ve hash'li şifre değerleri etkilendi. Etkilenmiş olabilecek kişi sayısı en fazla 15.303 nihai müşteri ve 18 yönetim paneli hesabı sahibi. Etkilenen gruplar çalışanlar ile müşteriler ve potansiyel müşteriler.

DNC Sağlık'ta fidye notu, Enka Vakfı'nda fidye yazılımı

Ankara Çankaya'da hizmet veren özel sağlık kuruluşu DNC Sağlık Hizmetleri AŞ'nin duyurusuna göre (Karar 2026/2282) ihlal, Ekim 2026'da bilişim personelinin sunucu ekranında Türkçe bir fidye notu görmesi ve veritabanı dosyalarına erişilemediğini anlamasıyla fark edildi. Şifrelenen sunucuda hastalar, hasta yakınları, şirket personeli ve iş ortaklarına ait kimlik (T.C. kimlik numarası dahil), iletişim ve finansal veriler (randevu, faturalandırma, SGK ve özel sigorta provizyon kayıtları) ile muayene, tahlil, tanı, reçete ve tedavi geçmişini içeren sağlık verileri bulunuyor. Veritabanı şifrelendiği için kesin kişi ve kayıt sayısı ilk aşamada tespit edilemedi.

Enka Spor Eğitim ve Sosyal Yardım Vakfı'nın duyurusunda (Karar 2026/2284) vakfın sunucu altyapısına fidye yazılımı saldırısı düzenlendiği belirtiliyor. Saldırganın sisteme nasıl girdiği ve etkilenen sistemlerin kapsamı için teknik inceleme sürüyor. Etkilenen gruplar çalışanlar, öğrenciler, mezunlar ve çocuklar. Öğretmen, öğrenci ve mezunlara ait pasaport kopyalarındaki ad-soyad, doğum tarihi ve yeri, uyruk, pasaport numarası ve fotoğraf ile sunucuda arşivlenmiş etkinlik fotoğrafları etkilendi. Kişi ve kayıt sayısı bu aşamada bilinmiyor. SGH 5 Ekim'de Doommageddon grubunun ENKA Okulları'nı sızıntı listesine eklediğini yazmıştı; KVKK duyurusu saldırganın adını vermiyor ve iki olayı ilişkilendirmiyor.

Kurumsal e-posta hesaplarına yetkisiz erişim

İzmir Büyükşehir Belediyesi'nin duyurusuna göre (Karar 2026/2271) 30 Eylül 2026'da bir kurumsal e-posta hesabından olağan dışı hacimde e-posta gönderildiği tespit edildi. Hesaba e-posta sunucusundaki bir güvenlik açığıyla değil, önceden ele geçirilmiş bir parolayla erişildi. Yetkisiz erişilen hesaplardan ikisinin posta kutusu içeriği kurum dışına aktarıldı. Gelen iletileri silen kural tanımlandı, toplu spam gönderildi, ileti ayarları değiştirildi, yazışmalar açıldı ve e-posta imza alanına dolandırıcılık içerikli metin eklendi. Ad, soyad, e-posta adresi ve dahili telefon numarası etkilendi; etkilenen kişi sayısı tam olarak belirlenemedi.

Akropol Turizm'in duyurusuna göre (Karar 2026/2285) şirketin işlettiği MW Phokaia Beach & Resort'un bilgi işlem altyapısına ve kurumsal e-posta hesaplarına yönelik siber güvenlik olayları yaşandı. Yetkisiz erişim şüphesi olan hesaplarda çalışanlar, misafirler, tedarikçiler ve iş ortaklarına ait veriler bulunabileceği için kimlik ve iletişim bilgileri, e-posta yazışmaları, rezervasyon ve konaklama verileri, çalışanların özlük bilgileri ile finansal ya da işlem bilgilerinin etkilenip etkilenmediği araştırılıyor. Olayın tarihleri, etkilenen hesaplar, kişi sayısı ve olası veri aktarımı için inceleme sürüyor.

Choice Hotels ve Baxter'da sosyal mühendislik

Choice Hotels International'ın duyurusuna göre (Karar 2026/2288) tehdit aktörü, sosyal mühendislik yöntemiyle bir çalışanın ağ hesabına yetkisiz erişim sağladı. Şirketin güvenlik izleme sisteminin ürettiği bir uyarıyla fark edilen olay 5 Haziran 2026'da başladı ve 6 Haziran 2026'da sona erdi. Müşterilerin ad-soyad ve iletişim bilgileri ile bir kısmının geçmiş otel konaklamalarına ilişkin ayrıntılar etkilendi. KVKK'ya bildirilen etkilenen kişi sayısı 9.550. Olay Haziran'da yaşandı, duyuru Ekim'de yayımlandı.

Baxter Turkey Renal Hizmetler AŞ'nin duyurusuna göre (Karar 2026/2292) yetkisiz üçüncü taraflar, şirket çalışanlarını hedef alan sesli oltalama (telefonla kandırma) temelli bir sosyal mühendislik saldırısı düzenledi. Saldırgan çalışanların kimlik doğrulama bilgilerini elde etti ve tek bir çalışan hesabı üzerinden Baxter'ın Salesforce veritabanına ve Active Directory işlevi gören dahili bir veri dosyasına erişti. İhlal 4 Ağustos 2026'da başladı, 6 Ekim 2026'da tespit edildi. Ad, e-posta adresi ve posta adresi gibi temel iş iletişim bilgileri etkilendi; etkilenen kişi grubu ve sayısı henüz tespit edilemedi. SGH Ağustos'ta Baxter International'ın üçüncü taraf uygulamalardaki yetkisiz etkinlik açıklamasını ve ShinyHunters'ın Salesforce kayıtlarına ilişkin iddiasını yazmıştı; KVKK duyurusu saldırganın adını vermiyor ve bu iddiayla bağ kurmuyor.

Ondokuz Mayıs Üniversitesi ve açıklanmayanlar

Ondokuz Mayıs Üniversitesi'nin duyurusuna göre (Karar 2026/2290) üniversitenin kullandığı bir yazılımdaki güvenlik açığından yararlanılarak yetkisiz erişim sağlandı ve 109 kişinin kişisel verileri ele geçirildi. Kimlik, iletişim ve lokasyon verileri etkilendi; etkilenen kişi grupları henüz bilinmiyor. İhlal, Ulusal Siber Olaylara Müdahale Merkezi'nden (USOM) gelen bildirimle 14 Ekim 2026'da tespit edildi.

Duyuruların hepsi 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12'nci maddesine dayanıyor. Bu maddeye göre kişisel veriler kanuni olmayan yollarla başkalarınca elde edilirse veri sorumlusu durumu ilgili kişilere ve Kurul'a bildiriyor; Kurul da gerekirse bunu ilan edebiliyor. Beş duyuruda etkilenen kişi sayısı yer almıyor. Saldırganların kim olduğu, üç mağazanın hizmet aldığı veri işleyenin ve açığın bulunduğu kütüphanenin adı ile Ondokuz Mayıs Üniversitesi'nde açığın bulunduğu yazılım açıklanmadı.

Şifre bilgisinin etkilendiği belirtilen mağazalarda hesabı olanlar, o sitedeki şifrelerini ve aynı şifreyi kullandıkları diğer hesapları değiştirebilir. İzmir Büyükşehir Belediyesi adresinden beklenmedik ya da ödeme isteyen bir e-posta alanlar, bağlantılara tıklamadan resmi kanaldan teyit edebilir. Bazı duyurularda ilgili kişilerin bilgi alabileceği iletişim kanalları da yer alıyor.

Kaynaklar

Kapak fotoğrafı (temsili): Kurukahveci Mehmet Efendi dükkânı, Sadrettin / Wikimedia Commons, CC BY-SA 4.0 (1200×675 kırpıldı). İhlal bildirimi şirketin çevrim içi mağazasıyla ilgilidir; fotoğraftaki dükkân ve kişilerle ilgisi yoktur.