Seul Seocho'daki Samsung genel merkez kuleleri (Samsung Town), akşam saatlerinde (Wikimedia Commons)

Samsung Grubu'na bağlı Samsung SDS'in kurumsal çalışan eğitimi alanındaki yan kuruluşu Multicampus'ta bilgisayar korsanlığı kaynaklı kişisel veri ihlali yaşandı. Şirketin işlettiği çevrim içi çalışan eğitimi hizmeti «Learning Platform»a 9 Kasım 2026'da yetkisiz dış erişim sağlandı. Güney Kore merkezli The Asia Business Daily'nin 12 Kasım 2026 tarihli haberine göre olayda platformu kullanan yaklaşık 70 bin kişinin kişisel bilgileri açığa çıktı.

Hangi bilgiler açığa çıktı

Haberde yer alan bilgilere göre ihlal; kullanıcıların adı, telefon numarası, e-posta adresi, departman adı, sicil (çalışan) numarası, kullanıcı kimliği (ID), unvan ve pozisyon bilgilerini kapsıyor. Kesin ölçeğin ve etkilenen veri türlerinin inceleme tamamlandığında netleşeceği kaydedildi.

Multicampus, ihlali tespit ettikten kısa süre sonra 11 Kasım gecesi müşteri şirketlerini bilgilendirdi ve olayı Güney Kore Kişisel Bilgileri Koruma Komisyonu'na (PIPC) bildirdi. Şirket temsilcisi, «Learning Platform için kullanılan bulut ortamına yetkisiz erişimi doğruladık ve müşterilerimizi bilgilendirdik» açıklamasını yaptı. PIPC yetkilisi de bildirimin ulaştığını ve ön inceleme yürütüldüğünü belirtti.

Multicampus kimdir, etki neden geniş olabilir

Şirketlere ve kamu kurumlarına çalışan eğitimi ile yetenek geliştirme hizmeti sunan Multicampus, aynı zamanda Güney Kore'de OPIc İngilizce konuşma sınavının yerel operatörü olarak faaliyet gösteriyor. Şirketin açıkladığı rakamlara göre platform son beş yılda yurt içi ve yurt dışında yaklaşık 16 bin müşteriye hizmet verdi; Güney Kore'deki büyük iş gruplarının yüzde 96'sı şirketin müşterisi konumunda bulunuyor. Son 10 yılda toplam öğrenen sayısı 26 milyonu aşarken geçen yılki şirket gelirinin yaklaşık yüzde 49'u Samsung şirketleriyle yapılan işlerden sağlandı.

Müşteri ağının yaygınlığı nedeniyle bankalar dahil finans şirketlerinin çalışanlarına ait verilerin de etkilenmiş olabileceği endişesi bulunuyor. Çevrim içi eğitim hizmetini Multicampus'tan alan bazı ticari bankalar kendi eğitim birimleri üzerinden inceleme başlattı. Finans çalışanlarına yönelik olası etkinin ölçeği ise henüz doğrulanmadı.

Neler açıklanmadı

Şirket tarafından doğrulanan teknik bilgi, şu aşamada eğitim platformunun bulut ortamına sağlanan yetkisiz erişimle sınırlı bulunuyor. Saldırganın kimliği, fidye talebi olup olmadığı, yetkisiz erişimin hangi yöntemle gerçekleştirildiği ve hangi müşteri şirketlerin etkilendiği henüz açıklanmadı.

Çalışan verisi neden değerli

Genel siber güvenlik değerlendirmelerine göre kurumsal eğitim platformları, pek çok şirketin çalışan verisini tek bir üçüncü taraf ortamında topluyor. Ad, unvan, departman ve kurumsal e-posta adresinin bir araya gelmesi; hedefli oltalama (spear phishing, kişiye ve kuruma özel kurgulanan aldatıcı ileti saldırıları) ile yönetici taklidi (BEC, kurumsal yazışmaları taklit ederek yapılan dolandırıcılık girişimleri) açısından elverişli malzeme oluşturuyor. Tedarikçi ya da üçüncü taraf riski nedeniyle tek bir hizmet sağlayıcıda yaşanan ihlal, veriyi emanet eden çok sayıda kurumu aynı anda etkileyebiliyor.

Türkiye açısından

Türkiye'de de şirketler çalışan eğitimi, anket ve insan kaynakları süreçlerini bulut tabanlı dış hizmet sağlayıcılarla yürütüyor. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 12'nci maddesine göre veri işleyende yaşanan bir ihlalde bildirim yükümlülüğü veri sorumlusunda bulunuyor. Bu hafta KVKK'nın 11 Kasım 2026'da yayımladığı DHL AG kamuoyu duyurusunda da ihlalin çalışan anketi hizmeti veren veri işleyenin ortamında yaşandığı ve 10.622 çalışanın etkilendiği yer almıştı.

Kaynaklar

Kapak görseli: Oskar Alexanderson / Wikimedia Commons, CC BY-SA 2.0 (Samsung genel merkezi, Seul; kırpıldı, 1200x675).