Pegasus Hava Taşımacılığı A.Ş., Kişisel Verileri Koruma Kuruluna veri ihlali bildiriminde bulundu. Kişisel Verileri Koruma Kurumunun (KVKK) 11 Kasım 2026'da yayımladığı kamuoyu duyurusuna göre, şirketin bilgi teknolojileri (BT) talep ve geliştirme sistemine yönetici (admin) parolası kullanılarak yetkisiz erişim sağlandı.
Bildirimde yer alan bilgilere göre ihlalden çalışanlar ve kullanıcılardan oluşan 11.762 ilgili kişinin kimlik ve iletişim verileri etkilendi.
İhlal nasıl gerçekleşti
KVKK kamuoyu duyurusuna göre, Pegasus'un BT talep ve geliştirme sistemine ait yönetici parolasının ne şekilde elde edildiği kesin olarak tespit edilemedi. Ancak bu parola kullanılarak ilgili sisteme yetkisiz erişim sağlandığı belirlendi.
12 Ekim 2026 tarihinde başlayan yetkisiz erişim, 26 Ekim 2026 tarihinde tespit edildi. Böylece veri ihlali yaklaşık iki hafta (14 gün) boyunca fark edilmeden sürdü.
Hangi veriler etkilendi
Şirketin Kurula sunduğu bildirimde etkilenen kişisel veri kategorileri kimlik ve iletişim verileri olarak sıralandı. İhlalden çalışanlar ve kullanıcılar grubunda yer alan toplam 11.762 kişi etkilendi. İlgili kişiler, Pegasus'un internet sayfasındaki iletişim kanalları aracılığıyla ihlal hakkında bilgi alabiliyor.
Kişisel Verileri Koruma Kurulu, 11 Kasım 2026 tarihli ve 2026/2486 sayılı kararıyla bu bildirimin Kurum internet sitesinde ilan edilmesine karar verdi ve duyuruyu aynı gün yayımladı. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12'nci maddesinin 5'inci fıkrası uyarınca veri sorumlusu, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde bu durumu en kısa sürede ilgilisine ve Kurula bildirmekle yükümlü bulunuyor; Kurul da gerekmesi hâlinde bu durumu kendi internet sitesinde ilan edebiliyor. Olayla ilgili Kurul incelemesi devam ediyor.
173 GB iddiasıyla bağlantı
Kasım 2026 başında bir siber suç forumunda Pegasus'a ait olduğu öne sürülen 173 GB büyüklüğünde bir veri iddiası gündeme gelmişti. Pegasus, 4 Kasım 2026'da Anadolu Ajansı (AA) ve Demirören Haber Ajansına (DHA) yaptığı açıklamada iç sistemlerinden birindeki açığın kapatıldığını bildirmiş, 7 Kasım 2026'da yayımlanan önceki haberimiz bu iddiayı ve şirketin açıklamasını aktarmıştı.
Buna karşın 11 Kasım 2026 tarihli KVKK duyurusunda 173 GB rakamından, siber suç forumundaki paylaşımdan veya herhangi bir veri boyutundan söz edilmiyor. Zaman çizelgesi örtüşmekle birlikte, KVKK bildirimi ile 173 GB veri iddiasının aynı olayla ilgili olup olmadığı resmî olarak teyit edilmedi ve bu yönde bir açıklama yapılmadı.
Neler açıklanmadı
KVKK tarafından yayımlanan kamuoyu duyurusunda olayın bazı boyutlarına ilişkin bilgiler henüz yer almıyor:
- BT talep ve geliştirme sistemine ait yönetici parolasının nasıl ele geçirildiği kesin olarak tespit edilemedi ve yetkisiz erişimi gerçekleştiren saldırganın kimliği açıklanmadı.
- Etkilenen verilerin sistem dışına aktarılıp aktarılmadığı ya da herhangi bir ortamda yayımlanıp yayımlanmadığı paylaşılmadı.
- İhlalden etkilenen 11.762 kişinin ne kadarının çalışan, ne kadarının kullanıcı olduğu belirtilmedi.
- Duyurudaki «kullanıcılar» ifadesinin yolcuları kapsayıp kapsamadığı açıklanmadı.
- Etkilenen kimlik verisi kategorisinin T.C. kimlik numarası gibi hangi spesifik veri alanlarını içerdiğine yer verilmedi.
Türkiye açısından
Türkiye'nin büyük havayolu şirketlerinden biri olan Pegasus'un bildirdiği bu ihlalde giriş noktasının tek bir yönetici parolası olması öne çıkıyor. Kurumsal sistemlerdeki yönetici hesaplarında çok faktörlü doğrulama (parolaya ek ikinci bir doğrulama adımı), sıkı parola yönetimi ve olağandışı oturum izlemesi yetkisiz erişim riskini azaltan temel önlemler arasında sayılıyor; bununla birlikte Pegasus'un ilgili sistemde çok faktörlü doğrulama kullanıp kullanmadığı bilinmiyor.
Kimlik ve iletişim verilerinin etkilendiği veri ihlallerinin ardından, havayolu şirketi adına gönderildiği izlenimi veren sahte bilet iadesi, rezervasyon iptali veya ödeme talebi mesajları genel bir oltalama riski barındırıyor. Bu tür mesajlarla karşılaşılması durumunda bildirimlerin doğrudan şirketin resmî kanalları üzerinden teyit edilmesi önem taşıyor.
Kaynaklar
Kapak görseli: MarcelX42 / Wikimedia Commons, CC BY-SA 4.0 (Pegasus Boeing 737-800 TC-CPK, Hamburg; kırpıldı, 1200x675).
_TC-CPK_(DSC09849).jpg){kind=link}