Kişisel Verileri Koruma Kurumu (KVKK), 4 Kasım 2026 tarihinde NCL (Bahamas) Ltd. tarafından Kurula iletilen veri ihlali bildirimini 6698 sayılı Kanun'un 12. maddesinin 5. fıkrası uyarınca kamuoyuna duyurdu. KVKK duyurusuna göre, rezervasyon yönetiminde kullanılan bir web uygulamasındaki güvenlik açığından yararlanan yetkisiz kişiler bazı müşterilerin bilgilerine erişerek bu müşterilere kötü amaçlı sahte e-postalar gönderdi; erişilen bilgilerin en fazla 2.392 kişiye ait olabileceği değerlendirildi.
KVKK duyurusunda neler var
KVKK duyurusuna göre veri sorumlusu sıfatıyla NCL (Bahamas) Ltd. tarafından yapılan bildirimde, rezervasyon yönetimi amacıyla kullanılan bir web uygulamasındaki güvenlik açığının yetkisiz kişilerce kullanıldığı aktarıldı. Bu açık üzerinden bazı müşterilerin adı, e-posta adresi, doğum tarihi ve rezervasyon numarasına erişildiğine dair bulgular tespit edildi.
Duyuruda yer alan bilgilere göre yetkisiz kişi ya da kişiler, eriştikleri bu bilgileri kullanarak ilgili müşterilere kötü amaçlı sahte e-postalar gönderdi. Veri sorumlusu, müşterilere gönderilen oltalama e-postalarından 10 Ekim 2026 tarihinde haberdar oldu; yürütülen incelemede 12 Ekim 2026 tarihinde bu sahte e-postalarla bağlantılı zararlı faaliyet bulguları saptandı.
KVKK duyurusuna göre yetkisiz kişi ya da kişilerin en fazla 2.392 ilgili kişiye ait bilgilere erişmiş olabileceği değerlendirildi. İlgili kişilerin veri sorumlusunun çağrı merkezi kanalı üzerinden bilgi alabileceği belirtildi. Konu, Kişisel Verileri Koruma Kurulunun 4 Kasım 2026 tarih ve 2026/2437 sayılı Kararı ile ilan edilirken Kurumun olayla ilgili incelemesi devam ediyor; duyuruda açıklanmış bir idari para cezası ya da yaptırım kararı bulunmuyor.
Bilinmeyenler
KVKK'nın yayımladığı özet bildirimde rezervasyon yönetiminde kullanılan web uygulamasının ürün adı ve güvenlik açığının teknik ayrıntıları yer almadı. Yetkisiz erişimi gerçekleştiren saldırganların kimliği ile erişilen kişisel verilerin herhangi bir ortamda yayımlanıp yayımlanmadığı da duyuruda açıklanmadı. Ayrıca ilgili kişilerin bilgi alabileceği çağrı merkezine ait telefon numarası veya e-posta adresi metinde paylaşılmadı.
Türkiye açısından
KVKK, 6698 sayılı Kanun kapsamında Kurula iletilen veri ihlali bildirimlerini kamuoyuna duyurabiliyor. Duyuruda toplam etkilenen kişi sayısı için üst sınır 2.392 olarak paylaşılmış olup, bu sayı içinde Türkiye'deki kişilerin payı ayrı olarak belirtilmedi. Kurumun yakın dönemde yayımladığı bir diğer bildirim olan Anadolu Planet veri ihlali duyurusu da aynı resmi listede yer alıyor.
Etkilenenler ne yapabilir
Ad, e-posta adresi, doğum tarihi ve rezervasyon numarasının birlikte ele geçirilmesi, saldırganların gerçek bir rezervasyon işlemine atıf yapan hedefli oltalama mesajları hazırlamasını kolaylaştırıyor. Bu çerçevede alınabilecek önlemler ve yasal haklar şunlardır:
- Rezervasyon numaranızı, adınızı veya doğum tarihinizi doğru içerse bile beklenmedik e-postalardaki bağlantılara tıklamayın ve ekli dosyaları açmayın.
- Rezervasyonunuzla ilgili ödeme, değişiklik ya da doğrulama isteyen iletileri, e-postadaki bağlantıyı kullanmadan doğrudan şirketin resmi çağrı merkezi üzerinden teyit edin.
- İhlale ilişkin bilgi almak için veri sorumlusunun resmi çağrı merkezi kanalına başvurun.
- 6698 sayılı Kanun'un 11. maddesi kapsamındaki haklarınızı kullanmak için izlenecek adımları veri ihlali sonrası başvuru ve şikâyet hakları yazımızdan inceleyebilirsiniz.
Kaynaklar
- Kişisel Verileri Koruma Kurumu — Kamuoyu Duyurusu (Veri İhlali Bildirimi) – NCL (Bahamas) Ltd., 4 Kasım 2026
- Kişisel Verileri Koruma Kurumu — Veri İhlali Bildirimleri listesi
Temsili görsel: oltalama e-postası illüstrasyonu — Mohamed Hassan, Wikimedia Commons (CC0). Haber konusuyla doğrudan bağlantılı bir olay görseli değildir.
Sık sorulan sorular
NCL (Bahamas) Ltd. veri ihlalinde hangi kişisel veriler etkilendi?
KVKK duyurusuna göre ihlalden bazı müşterilerin adı, e-posta adresi, doğum tarihi ve rezervasyon numarası etkilendi.
İhlalden kaç kişi etkilendi ve nasıl bilgi alınabilir?
KVKK duyurusuna göre yetkisiz kişilerin en fazla 2.392 ilgili kişiye ait bilgilere erişmiş olabileceği değerlendirildi; ilgili kişiler veri sorumlusunun çağrı merkezi kanalıyla bilgi alabiliyor.
Rezervasyon numaramı içeren şüpheli bir e-posta alırsam ne yapmalıyım?
İhlalde rezervasyon numaralarına da erişildiği için gelen e-postalardaki bağlantılara tıklamadan önce durumu şirketin resmi kanallarından doğrulamanız önerilir.
