KVKK yedi veri ihlali bildirimi yayımladı, Pegasus'ta 11.762 kişi etkilendi

Kişisel Verileri Koruma Kurumu (KVKK), 11 Kasım’da yedi veri sorumlusunun Kurul’a yaptığı veri ihlali bildirimlerini internet sitesinde yayımladı. Kurul bütün bildirimlerde konuya ilişkin incelemenin sürdüğünü belirtiyor. Aşağıdaki bilgiler, veri sorumlularının Kurul’a ilettiği bildirimlerin Kurum tarafından yayımlanan özetlerinden alındı.

Pegasus Hava Taşımacılığı

Bildirime göre Pegasus’un bilgi teknolojileri talep ve geliştirme sistemine ait yönetici (admin) parolası kullanılarak sisteme yetkisiz erişim sağlandı. Parolanın ne şekilde elde edildiği kesin olarak tespit edilemedi.

• İhlal 12 Ekim 2026’da başladı ve 26 Ekim 2026’da tespit edildi.
• Etkilenen kişisel veri kategorileri kimlik ve iletişim verileri.
• Etkilenen kişi sayısı 11.762.
• Etkilenen kişi grupları çalışanlar ve kullanıcılar.

Bildirime göre ilgili kişiler, şirketin internet sayfasındaki iletişim kanallarından ihlal hakkında bilgi alabiliyor. Pegasus, 4 Kasım’da şirketten 173 GB veri alındığı iddiasını yanıltıcı bulduğunu ve şirket içi destek süreçlerinde kullandığı sistemlerle bağlantılı bir güvenlik açığını giderdiğini açıklamıştı. KVKK’nın yayımladığı bildirim özeti bu iddiaya ya da şirketin açıklamasına değinmiyor.

DHL AG

Bildirime göre ihlal, DHL’in merkezi olarak yürüttüğü çalışan anketleri kapsamında hizmet aldığı veri işleyenin işlettiği veri analizi ve raporlama ortamına yetkisiz erişim sağlanması sonucunda gerçekleşti.

• İhlal 2 Kasım 2026’da tespit edildi.
• Etkilenen kişisel veri kategorileri kimlik, iletişim ve özlük verileri.
• Türkiye’de istihdam edilen 10.622 çalışanın verilerinin etkilendiği tespit edildi.

Bursa Ticaret ve Sanayi Odası

Bildirime göre Oda bir SQL injection saldırısına maruz kaldı. İhlal, 2 Kasım 2026’da veri tabanı hizmetinin durması üzerine yapılan kontrollerde tespit edildi.

• Üye firma ve şahıslara ait kimlik, iletişim, üyelik ve tahsilat kayıtları dışarı aktarıldı. Bildirime göre genel muhasebe kayıtları etkilenmedi.
• Etkilenen kişisel veri kategorileri kimlik, iletişim, müşteri işlem ve işlem güvenliği verileri.
• Etkilenen kişi grubu aboneler ve üyeler.
• Etkilenen gerçek kişi sayısı ve kişisel veri kaydı sayısı henüz kesin olarak belirlenemedi.

Ethica Sigorta

Bildirime göre hasar süreçlerinde danışmanlık hizmeti alınan firmanın kullandığı alt tedarikçi yazılımındaki bir güvenlik açığı nedeniyle hasar dosyalarına ve evraklarına yetkisiz erişildiği anlaşıldı. İhlal 15 Ocak 2022’de başladı ve 14 Şubat 2022’de sona erdi. Etkilenenler müşteriler ve potansiyel müşteriler.

Bildirimde etkilenen veriler adetleriyle birlikte veriliyor. Ad, soyadı, T.C. kimlik numarası, dosya numarası, poliçe numarası, hasar bilgisi ve araç plakası bilgisi 3.091 adet. Bildirimde ayrıca 2.318 araç model yılı, 2.321 araç marka ve model adı, 2.256 şasi numarası ve 2.251 motor numarası bilgisi, 885 sigorta bedeli, 722 hasar ödeme tarihi, 657 cep telefonu ve 153 IBAN bilgisi sayılıyor. Bildirim, ilgili kişilerin başvurabileceği telefon, e-posta ve KEP adreslerini de içeriyor.

Air India

Bildirime göre ihlal, Air India’nın veri işleyeninin sistemlerinde bulunan seyahat rezervasyonu verilerine yetkisiz erişilmesiyle gerçekleşti. İhlal 10 Ağustos 2023’te başladı, 23 Eylül 2026’da sona erdi ve veri işleyenin haber vermesiyle 3 Kasım 2026’da tespit edildi.

Etkilenen veriler sınırlı sayıda ad, soyadı ve rezervasyon bilgisi: rezervasyon referans numarası ya da kısmi PNR kayıtları, uçuş tarihi ve numarası ile maskelenmiş kart bilgileri. Etkilenen kişi grubu müşteriler, etkilenen kişi sayısı bilinmiyor. Bildirim veri işleyenin adını vermiyor.

Sadunoğlu İnşaat (Mard-Inn Hotel)

Bildirime göre şirketin sunucu sistemlerine ve misafir kablosuz ağ altyapısına yönelik bir siber saldırı sonucunda sistemlere ve dosyalara erişim engellendi, sunucuda kayıtlı otel misafirlerine ait kişisel veriler yetkisiz kişilerce ele geçirildi. İhlal 27 Ekim 2026’da başladı ve aynı gün tespit edildi.

Etkilenen veri kategorileri kimlik, iletişim, özlük, müşteri işlem, fiziksel mekân güvenliği, işlem güvenliği, finans ile görsel ve işitsel kayıtlar. Etkilenenler çalışanlar, müşteriler ve kullanıcılar. Etkilenen kişi sayısı hakkında net bir tespit yapılamadı.

Stemline Therapeutics

Bildirime göre şirketin alt veri işleyeninden edindiği beyana göre yetkisiz bir üçüncü kişi, sesli oltalama (vishing) yöntemiyle alt veri işleyenin bilgi teknolojileri personelinin kimliğine büründü, bu yolla çalışanların hesaplarına ve alt veri işleyenin bazı bulut uygulamalarına erişerek veri sızıntısına neden oldu. Alt veri işleyen yetkisiz erişimi sonlandırdığını, harici siber güvenlik uzmanlarını görevlendirdiğini ve kolluk makamlarını bilgilendirdiğini belirtti.

Bildirime göre alt veri işleyenin verilerini işlediği kişi sayısı en fazla 18. İhlalin kapsamı ve ayrıntıları henüz belirlenmedi. Alt veri işleyen, sağlık verilerini ve genetik verileri takma adlandırılmış (psödonimleştirilmiş) biçimde işliyor. Etkilenmesi muhtemel kişi grubu hastalar.

KVKK’nın 4 Kasım’da yayımladığı 14 bildirim ayrı bir haberde.