Pegasus Hava Yolları'na ait yaklaşık 173 GB boyutunda şirket içi dosya ve yolcu kaydının dark web'de satışa çıkarıldığı öne sürüldü. 4 Kasım 2026 tarihinde paylaşılan ilana göre verilere Jira ve Confluence (şirket içi iş takibi ve bilgi paylaşım yazılımları) sunucuları ile AWS bulut altyapısı üzerinden ulaşıldığı ileri sürüldü.
Pegasus Hava Yolları aynı akşam yaptığı açıklamada iddiaları kamuoyunu yanıltıcı bulduğunu belirterek şirket içi destek sistemlerinde tespit edilen bir güvenlik açığının kapatıldığını, misafir veri tabanlarının bu sistemlerde yer almadığını duyurdu.
İlanda neler var
Dark web üzerinde yayımlanan ilanda yer alan ve bağımsız kaynaklarca doğrulanmamış iddialara göre satış listesine konulan veriler şunları içeriyor:
- Yaklaşık 430 bin Jira destek kaydı, yazışma yorumları ve ekli belgeler,
- Çalışan kılavuzlarını da içeren yaklaşık 37 bin Confluence dokümanı,
- Yaklaşık 18 bin şirket çalışanının isim ve kurumsal e-posta adresleri,
- Müşterilere ait PNR (rezervasyon kodu), uçuş bilgisi, ad-soyad, T.C. kimlik numarası, pasaport numarası, telefon ve e-posta kayıtları.
Paylaşılan ekran görüntüsünde şirket içi destek sistemine benzeyen bir ekran görülüyor; görüntüde müşteri kişisel verisi yer almıyor.
Pegasus ne dedi
Pegasus Hava Yolları, 4 Kasım 2026 akşam saatlerinde basına yaptığı yazılı açıklamada iddiaları kamuoyunu yanıltıcı bulduğunu bildirdi. Şirket açıklamasında birebir şu ifadelere yer verildi: «Basında ve sosyal medyada şirketimizin bilgi sistemlerine ilişkin yer alan kamuoyunu yanıltıcı olarak gördüğümüz iddialarla ilgili açıklama zorunluluğu doğmuştur.»
Açıklamanın devamında sistem güvenliğine ilişkin şu bilgi paylaşıldı: «Şirket içi destek süreçlerinde kullandığımız sistemlere bağlı olarak tespit edilen güvenlik açığı şirketimizce giderilmiştir.»
Yolcu bilgilerine ilişkin ise «Misafir veri tabanları bu sistemlerde yer almamaktadır» denildi.
Şirkete göre bu sistemler şirket içi uygulama geliştirme çalışmalarına hizmet ediyor, kritik operasyonel sistemler arasında yer almıyor ve uçuş operasyonlarında kullanılmıyor; bilgi güvenliği ve kişisel verilerin korunması çalışmaları ulusal ve uluslararası düzenlemeler ve standartlar çerçevesinde yürütülüyor. Türkiye Today'in de belirttiği gibi şirket, kapatılan açığın ne olduğunu, ne zaman fark edildiğini, sistemlere yetkisiz erişim olup olmadığını ve veri çıkarılıp çıkarılmadığını açıklamadı. Açıklama, ilanda adı geçen çalışan ad ve e-posta bilgilerine değinmiyor.
Ne biliniyor, ne bilinmiyor
Gelişmeyle ilgili somut kayıtlar ile belirsizliğini koruyan noktalar tabloda özetleniyor:
| Bilinen | Bilinmeyen |
|---|---|
| Pegasus iç destek sisteminde bir güvenlik açığı kapatıldı. | Kapatılan güvenlik açığının teknik türü ve ayrıntısı açıklanmadı. |
| Misafir veri tabanları bu sistemlerde yer almıyor. | Sistemlerden fiilen herhangi bir veri çıkarılıp çıkarılmadığı bilinmiyor. |
| Dark web ortamında 173 GB veri iddiasıyla bir ilan açıldı. | İlandaki 173 GB, 430 bin kayıt ve çalışan verisi rakamları doğrulanmadı. |
| İlandaki örnek görüntülerde müşteri verisi yer almadı. | Müşteri verisinin gerçekten var olup olmadığı ve satış bedeli bilinmiyor. |
Kişisel Verileri Koruma Kurulu'nun 24 Ocak 2019 tarihli ve 2019/10 sayılı kararına göre veri sorumluları bir veri ihlalini tespit ettikleri andan itibaren en geç 72 saat içinde Kurul'a bildirim yapmakla yükümlü. 7 Kasım 2026 itibarıyla Kurum'un veri ihlali duyuruları arasında Pegasus için bir kamuoyu duyurusu görünmüyor; şirket de kişisel veri ihlali yaşandığını açıklamadı. Süreçle ilgili haklar KVKK veri ihlali sonrası haklar ve başvuru rehberi üzerinden incelenebilir.
Türkiye açısından: yolcular ne yapmalı
Pegasus, Türkiye'de çok sayıda yolcunun kullandığı bir hava yolu; Türkiye Today'in şirketin faaliyet raporuna dayandırdığı verilere göre Pegasus 2025'te 43,3 milyon yolcu taşıdı. Bu rakam iddiadan etkilenen kişi sayısını göstermiyor. İlanda sözü edilen türden gerçek PNR, uçuş ve kimlik bilgileri dolaşıma girerse yolcular bu bilgilerle hazırlanmış hedefli oltalama (phishing) mesajlarıyla karşılaşabilir; bunun yaşandığına dair bir kanıt yok. Şirket misafir veri tabanlarının bu sistemlerde bulunmadığını belirtse de yolcuların alabileceği tedbirler şunlardır:
- Pegasus adına gelen ve rezervasyon iptali, iade, ceza, ek ödeme veya kart bilgisi güncelleme talep eden iletilerdeki bağlantılara tıklamayın.
- Uçuş ve rezervasyon bilgilerinizi yalnızca resmi mobil uygulama üzerinden ya da doğrudan flypgs.com adresine tarayıcıdan girerek sorgulayın.
- PNR (rezervasyon kodu) bilginizi, T.C. kimlik ve pasaport numaralarınızı sizi telefonla arayan yabancı kişilerle paylaşmayın.
- Pegasus üyelik hesabınızda kullandığınız şifre diğer platformlarla ortaksa yeni bir şifre belirleyin.
- Bankalardan cep telefonunuza ulaşan onay ve tek kullanımlık güvenlik kodlarını hiç kimseye iletmeyin.
Doğrulama durumu
Dark web'de yayımlanan ilandaki iddialar bağımsız olarak doğrulanmadı. SGH verileri indirmedi ve incelemedi; ilan abartılmış ya da eksik olabilir. Pegasus bir güvenlik açığını kapattığını açıkladı, ancak veri alındığını kabul etmedi ve misafir veri tabanlarının bu sistemlerde olmadığını söyledi. Şirketten yeni bir açıklama ya da KVKK duyurusu gelirse haber güncellenecek.
Kaynaklar
- Anadolu Ajansı (CNN Türk) — Pegasus'tan «güvenlik açığı» iddialarına yanıt, 4 Kasım 2026
- DHA (BirGün) — Pegasus Havayolları'ndan veri çalınma iddialarına yanıt geldi, 4 Kasım 2026
- Türkiye Today — Pegasus addresses internal security flaw after 173 GB data theft claims, 5 Kasım 2026
- Kişisel Verileri Koruma Kurumu — Veri ihlali bildirimi kararı (2019/10)
Kapak görseli (temsili): Pegasus Airlines Airbus A320neo, 2026 — NorbertNagel, Wikimedia Commons, CC BY-SA 4.0 (kırpıldı, küçültüldü).
