KVKK veri ihlali duyuruları, 4 Kasım 2026 tarihinde Kişisel Verileri Koruma Kurumu (KVKK) tarafından yayımlanan 14 ayrı bildirimle yeniden gündeme geldi. Turizmden e-ticarete, otomotivden sağlık teknolojilerine kadar farklı sektörlerde faaliyet gösteren şirketleri ilgilendiren bu gelişmeler, Türkiye’de kişisel verilerin korunması ve kurumsal siber güvenlik önlemlerinin önemini bir kez daha ortaya koydu.
KVKK’nın kamuoyuyla paylaştığı bildirimler, kişisel verilerin yetkisiz erişim sonucunda açığa çıkmasının artık yalnızca belirli sektörlerle sınırlı bir sorun olmadığını göstermektedir. Özellikle bulut tabanlı sistemler, müşteri iletişim platformları, çevrim içi rezervasyon uygulamaları ve veri işleyen kuruluşların altyapıları, veri güvenliğinin kritik bileşenleri hâline gelmiştir.
4 Kasım 2026’da Hangi Şirketler Veri İhlali Bildiriminde Bulundu?
KVKK’nın resmî internet sitesinde yayımlanan duyurulara göre, 4 Kasım 2026 tarihinde aşağıdaki 14 veri sorumlusuna ilişkin veri ihlali bildirimleri kamuoyuna açıklanmıştır:
- NCL (Bahamas) Ltd.: Rezervasyon yönetiminde kullanılan web uygulamasındaki güvenlik açığından yararlanan yetkisiz kişilerin müşterilere ait ad, e-posta adresi, doğum tarihi ve rezervasyon numarası bilgilerine erişmiş olabileceği bildirilmiştir. Potansiyel olarak etkilenen kişi sayısı 2.392 olarak açıklanmıştır.
- Yazıcı Turizm Yatırımları ve İşletmeleri AŞ: Veri işleyen sistemlerine yetkisiz erişim sonucunda kimlik, iletişim ve müşteri işlem bilgilerinin etkilendiği bildirilmiştir.
- Yazıcı Turizm Marmaris İşletmeleri AŞ: Veri işleyen altyapısına yetkisiz erişim sağlanması sonucunda müşterilere ait kimlik, iletişim ve müşteri işlem bilgilerinin ihlalden etkilendiği açıklanmıştır.
- Çamyuva Otelcilik İşletmeleri AŞ (Sveo Resort Kemer): Veri işleyen sistemlerine yetkisiz erişim sonucunda kimlik, iletişim ve müşteri işlem kategorilerindeki verilerin etkilendiği bildirilmiştir.
- Bize Proje Geliştirme AŞ (Bengodi Boutique Hotel): Veri işleyen sistemlerine gerçekleştirilen yetkisiz erişim sonucunda müşterilere ait kişisel verilerin ihlalden etkilendiği açıklanmıştır.
- Dalyan İztuzu Seyahat Acentası Turizm Ticaret Ltd. Şti.: Veri işleyen sistemlerine yetkisiz erişim sağlanması nedeniyle kimlik, iletişim ve müşteri işlem bilgilerinin etkilendiği bildirilmiştir.
- Yazz Otelcilik Turizm İşletmeleri Tic. AŞ: Müşterilere ait kimlik, iletişim ve müşteri işlem kategorilerindeki verilerin yetkisiz erişim sonucunda ihlalden etkilendiği açıklanmıştır.
- Vinero Bağcılık Sanayi ve Ticaret AŞ: Veri işleyen sistemlerine yetkisiz erişim sonucunda müşterilere ait kimlik, iletişim ve müşteri işlem bilgilerinin etkilendiği bildirilmiştir.
- Vava Cars Turkey Otomotiv AŞ: Veri işleyen nezdinde barındırılan sohbet (chat) kayıtlarına yetkisiz erişim sağlanmıştır. Ön değerlendirmeye göre ad, soyadı, telefon numarası, araç plakası ve randevu bilgileri ihlalden etkilenmiştir. İhlale konu kayıt sayısı 8.268 olarak açıklanmış, etkilenen kişi sayısının henüz belirlenemediği belirtilmiştir.
- WS Audiology Turkey Tıbbi Cihazlar AŞ: 14 Ekim 2026 tarihinde başladığı ve 23 Ekim 2026 tarihinde tespit edildiği bildirilen siber saldırı sonucunda bazı kişisel verilerin sistem dışına çıkarıldığı açıklanmıştır. İhlale konu olabilecek veriler arasında kurumsal müşteri çalışanlarının bilgileri, hastalara ait ad ve soyadı, işitme cihazı satın alma bilgileri ve bazı durumlarda odyogramlar bulunmaktadır.
- Turksport Spor Ürünleri San. ve Tic. Ltd. Şti. (Decathlon): Veri işleyen tarafından sunulan bulut tabanlı müşteri iletişim ve çağrı merkezi altyapısındaki 541 sohbet kaydına yetkisiz erişim sağlanmıştır. İhlalden etkilenen kişi sayısı 383 olarak açıklanmıştır.
- KVK Teknik Servis Hiz. ve Tic. AŞ: Veri işleyen nezdinde bulunan 624 sohbet kaydına yetkisiz erişim sağlandığı bildirilmiştir. İhlalden etkilenen verilerin WhatsApp üzerinden elde edilen ad ve telefon numarası bilgileri olduğu açıklanmıştır.
- D-Market Elektronik Hizmetler ve Ticaret AŞ (Hepsiburada): 2022 yılına ait müşteri iletişim (chat) kayıtlarına yetkisiz erişim sağlanmıştır. İhlalden etkilenen kişi sayısı 9.882 olarak açıklanmıştır. Ad, soyadı, telefon, e-posta, adres, sipariş ve gönderi numaraları, talep ve şikâyet kayıtları ile satın alınan veya iptal edilen ürün bilgileri ihlale konu olmuştur.
- D Fast Dağıtım Hizmetleri ve Lojistik AŞ (HepsiJET): 2022 tarihli müşteri iletişim kayıtlarına yetkisiz erişim sağlanmıştır. İhlalden etkilenen kişi sayısı 3.217 olarak açıklanmıştır. Kimlik, iletişim ve müşteri işlem bilgileri ihlal kapsamındadır.
Not: Şirketlere ilişkin bilgiler, KVKK’nın 4 Kasım 2026 tarihli kamuoyu duyurularında yer alan bildirim özetlerine dayanmaktadır. Bazı ihlallerde etkilenen kişi sayısına ilişkin tespit çalışmaları devam etmektedir.
Veri İhlallerinin Ortak Noktası: Üçüncü Taraf Hizmet Sağlayıcıları
Açıklanan bildirimlerde öne çıkan en önemli hususlardan biri, birçok ihlalin doğrudan şirketlerin kendi sistemlerinden değil, hizmet aldıkları veri işleyen kuruluşların altyapılarından kaynaklanmasıdır.
Özellikle müşteri iletişim ve sohbet (chat) altyapıları üzerinden gerçekleşen ihlaller, üçüncü taraf hizmet sağlayıcılarının bilgi güvenliği süreçlerinin ne kadar kritik olduğunu göstermektedir.
Bir şirketin kişisel verileri kendi bünyesinde güvenli şekilde saklaması tek başına yeterli değildir. Müşteri hizmetleri, çağrı merkezi, rezervasyon yönetimi, bulut depolama, CRM ve mesajlaşma sistemleri gibi hizmetlerin dışarıdan temin edilmesi durumunda bu altyapılardaki güvenlik açıkları da veri sorumlusu açısından ciddi risk oluşturmaktadır.
Bu nedenle kurumların yalnızca kendi bilgi işlem altyapılarını değil;
- Veri işleyen firmaların güvenlik politikalarını,
- Üçüncü taraf erişim yetkilerini,
- API ve entegrasyon güvenliğini,
- Bulut sistemlerinin erişim kontrollerini,
- Veri saklama ve imha politikalarını,
- Güvenlik kayıtlarını ve izleme mekanizmalarını,
- Hizmet sağlayıcıların olay müdahale süreçlerini
düzenli olarak denetlemesi gerekmektedir.
Müşteri İletişim Sistemleri Siber Saldırganların Hedefinde
Duyurularda dikkat çeken bir diğer konu, müşteri iletişim platformlarında tutulan sohbet kayıtlarının hedef alınmasıdır.
Özellikle Hepsiburada, HepsiJET, Decathlon ve KVK Teknik Servis bildirimleri, müşteri hizmetleri altyapılarında tutulan kayıtların ne kadar fazla kişisel veri içerebildiğini göstermektedir.
Müşteri hizmetleri görüşmelerinde kullanıcılar çoğu zaman farkında olmadan şu bilgileri paylaşabilmektedir:
- Ad ve soyadı,
- Telefon numarası,
- E-posta adresi,
- Açık adres ve teslimat bilgileri,
- Sipariş ve gönderi numaraları,
- Satın alınan ürünler,
- Şikâyet ve talep içerikleri,
- Randevu ve işlem bilgileri.
Bu bilgiler tek başına veya bir araya getirildiğinde sosyal mühendislik saldırıları, hedefli oltalama (spear phishing), kimlik taklidi ve dolandırıcılık girişimleri için kullanılabilir.
NCL (Bahamas) Ltd. tarafından bildirilen olay ise bu riskin somut bir örneğidir. Rezervasyon bilgilerine erişen yetkisiz kişilerin müşterilere sahte e-postalar göndermek amacıyla bu verileri kullandığı değerlendirilmiştir.
Bu durum, veri ihlalinin yalnızca bilgilerin ele geçirilmesiyle sınırlı kalmadığını; ele geçirilen bilgilerin daha sonraki saldırılarda kullanılabileceğini de ortaya koymaktadır.
Sağlık Verileri ve Odyogramlar: Daha Yüksek Hassasiyet Gerektiren Bilgiler
WS Audiology Turkey Tıbbi Cihazlar AŞ tarafından bildirilen ihlal, sağlık alanındaki veri güvenliği açısından ayrıca değerlendirilmelidir.
Şirketin bildiriminde, ihlale konu sistemlerde hastalara ait ad ve soyadı bilgileri, satın alınan işitme cihazlarına ilişkin bilgiler ve bazı durumlarda odyogramların bulunabileceği belirtilmiştir.
Odyogramlar, kişinin işitme durumunu ve işitme testlerinin sonuçlarını gösteren sağlıkla ilişkili bilgilerdir.
6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında sağlık verileri özel nitelikli kişisel veri kategorisinde değerlendirilmektedir. Bu nedenle bu tür verilerin işlenmesi ve korunması, kanunun 6’ncı maddesi başta olmak üzere ilgili mevzuat hükümleri çerçevesinde ele alınmalıdır.
Sağlık verilerinin yetkisiz kişilerin eline geçmesi, yalnızca mahremiyet ihlaline değil, kişilerin ayrımcılık, hedefli dolandırıcılık ve farklı istismar türleriyle karşılaşmasına da zemin hazırlayabilir.
Bu nedenle sağlık teknolojileri alanında faaliyet gösteren kuruluşların veri erişim yetkilendirmesi, şifreleme, kayıt tutma ve güvenlik denetimlerini en üst düzeyde uygulaması büyük önem taşımaktadır.
KVKK Kapsamında Veri Sorumlularının Yükümlülükleri
6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12’nci maddesi, veri sorumlularına kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek, verilerin muhafazasını sağlamak amacıyla gerekli teknik ve idari tedbirleri alma yükümlülüğü getirmektedir.
Kanunun 12’nci maddesinin beşinci fıkrasına göre, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kuruluna bildirmek zorundadır.
Kurulun 24 Ocak 2019 tarihli ve 2019/10 sayılı kararı doğrultusunda veri ihlalinin Kurula bildirilmesi için öngörülen süre, ihlalin öğrenilmesinden itibaren 72 saattir. İlgili kişilere yapılacak bildirimin ise makul olan en kısa sürede gerçekleştirilmesi gerekmektedir.
Burada önemli bir ayrım bulunmaktadır: KVKK tarafından bir veri ihlali bildiriminin kamuoyuna duyurulması, tek başına şirket hakkında kesinleşmiş bir hukuka aykırılık veya idari para cezası kararı verildiği anlamına gelmez.
Kamuoyu duyuruları, ihlalin varlığına ilişkin bildirimin şeffaflık amacıyla paylaşılmasıdır. İhlalin kapsamı, sorumlulukların belirlenmesi ve mevzuata uygunluk değerlendirmesi Kurulun inceleme süreçleri kapsamında ele alınmaktadır.
Şirketler Siber Güvenlik Açısından Hangi Önlemleri Almalı?
4 Kasım 2026 tarihli duyurular, şirketlerin siber güvenlik yatırımlarını yalnızca antivirüs yazılımları veya güvenlik duvarlarıyla sınırlı tutamayacağını göstermektedir.
Kurumların bütüncül bir bilgi güvenliği yaklaşımı benimsemesi gerekmektedir.
Özellikle aşağıdaki önlemler kritik öneme sahiptir:
1. Düzenli güvenlik açığı taraması ve sızma testleri
Web uygulamaları, sunucular, API servisleri ve bulut altyapıları düzenli olarak güvenlik testlerinden geçirilmelidir. Tespit edilen güvenlik açıkları önem derecelerine göre önceliklendirilerek giderilmelidir.
2. Çok faktörlü kimlik doğrulama (MFA)
Yönetici hesapları, uzaktan erişim sistemleri, bulut platformları ve kritik uygulamalarda çok faktörlü kimlik doğrulama kullanılmalıdır.
3. Yetki ve erişim yönetimi
Çalışanların ve üçüncü taraf hizmet sağlayıcılarının yalnızca görevleri için gerekli verilere erişebilmesi sağlanmalıdır. Gereksiz yetkiler kaldırılmalı ve erişim izinleri düzenli olarak gözden geçirilmelidir.
4. Veri şifreleme
Kişisel veriler hem aktarım sırasında hem de saklandıkları ortamlarda uygun şifreleme yöntemleriyle korunmalıdır.
5. Üçüncü taraf güvenlik denetimleri
Bulut hizmeti, çağrı merkezi, CRM, rezervasyon ve müşteri iletişim hizmeti alınan firmaların bilgi güvenliği uygulamaları düzenli olarak denetlenmelidir.
6. Güvenlik izleme ve olay müdahalesi
Sistemlerdeki olağan dışı hareketler izlenmeli, yetkisiz erişim girişimleri kayıt altına alınmalı ve olası veri ihlallerinde hızlı müdahale edilebilmesi için olay müdahale planları hazırlanmalıdır.
7. Yedekleme ve iş sürekliliği
Kritik verilerin düzenli olarak yedeklenmesi, yedeklerin güvenli ortamlarda saklanması ve geri yükleme süreçlerinin test edilmesi gerekmektedir.
8. Çalışan farkındalığı
Kimlik avı (phishing), sosyal mühendislik, sahte e-postalar ve şüpheli bağlantılar konusunda çalışanlara düzenli siber güvenlik eğitimleri verilmelidir.
Kişisel Verilerin Korunması Artık Bir Tercih Değil, Kurumsal Sorumluluktur
4 Kasım 2026 tarihinde yayımlanan 14 veri ihlali bildirimi, Türkiye’de faaliyet gösteren şirketler için önemli bir uyarı niteliğindedir.
Bir kuruluşun büyüklüğü, faaliyet gösterdiği sektör veya kullandığı teknoloji ne olursa olsun, kişisel verilerin korunması kurumsal yönetimin temel unsurlarından biridir.
Özellikle dijitalleşmenin hızlandığı günümüzde müşteri verileri, çalışan bilgileri, sağlık kayıtları, sipariş geçmişleri ve iletişim kayıtları çok sayıda farklı sistemde işlenmektedir. Bu sistemlerden herhangi birinde ortaya çıkabilecek güvenlik açığı, yalnızca ilgili kuruluşu değil, o kuruluşla ilişkili binlerce kişiyi etkileyebilmektedir.
Bu nedenle siber güvenlik, yalnızca teknik bir departmanın sorumluluğu olarak görülmemeli; şirket yönetiminden çalışanlara, yazılım geliştiricilerinden dış hizmet sağlayıcılarına kadar bütün paydaşların ortak sorumluluğu olarak ele alınmalıdır.
Unutulmamalıdır ki veri güvenliği, bir siber saldırı gerçekleştikten sonra alınacak önlemlerle değil, saldırı gerçekleşmeden önce oluşturulan güvenlik politikaları, teknik tedbirler ve sürekli denetim mekanizmalarıyla sağlanır.
Resmî Kaynak
Kişisel Verileri Koruma Kurumu (KVKK) – Veri İhlali Bildirimleri:
https://www.kvkk.gov.tr/veri-ihlali-bildirimi
Bu makale, KVKK tarafından 4 Kasım 2026 tarihinde kamuoyuna duyurulan veri ihlali bildirimleri ve ilgili mevzuat hükümleri esas alınarak hazırlanmıştır. Bildirimlerde yer alan olaylara ilişkin incelemelerin devam ettiği hususu dikkate alınmalıdır.
UYARI : Bu web sitesinde yayımlanan, tarafıma ait tüm özgün yazı, makale, görsel ve içerikler 5846 sayılı Fikir ve Sanat Eserleri Kanunu kapsamında korunmaktadır. İzinsiz kopyalanması, çoğaltılması, dağıtılması ve yayımlanması hâlinde yasal haklarım saklıdır. Telif Hakkı ve İçerik Kullanım Uyarısı için tıklayın.!