KVKK Ekim 2026 Veri İhlali Duyuruları: Sitenize 4 Ders

Kişisel Verileri Koruma Kurumu (KVKK), 21 Ekim 2026'da internet sitesinde üç yeni veri ihlali duyurusu yayımladı. Duyurular, online satış yapan iki gıda şirketi ve bir sağlık ürünleri şirketinin Kurul'a yaptığı bildirimlere dayanıyor. Üç duyuruda da ihlalin nedeni neredeyse aynı cümlelerle anlatılıyor: veri işleyenin sistemlerindeki bir sunucuya, kullanılan üçüncü taraf bir yazılım kütüphanesindeki güvenlik açığından yararlanılarak yetkisiz erişim sağlanmış.

Bu yazıda duyurularda ne yazdığını, yalnızca KVKK'nın açıkladığı bilgilere bağlı kalarak özetliyoruz. Ardından aynı riskin kendi web sitenizde, online mağazanızda ya da müşteri panelinizde nasıl karşınıza çıkabileceğini ve yönetim olarak neleri sormanız gerektiğini anlatıyoruz. Şirket adlarını bilinçli olarak anmıyoruz; duyuruların kendisine yazının sonundaki kaynaklardan ulaşabilirsiniz. Amacımız şirketler hakkında yorum yapmak değil. KVKK'nın da belirttiği gibi incelemeler sürüyor. Bu olaylar, yazılımını dışarıdan alan her kurum için yararlı bir kontrol fırsatı.

Bu yazı genel bilgilendirme amaçlıdır, hukuki tavsiye değildir. Kendi yükümlülükleriniz için KVKK'nın karar ve duyurularına ve hukuk danışmanınıza başvurun.

KVKK duyurularında ne yazıyor?

Üç duyuru da 6698 sayılı Kanun'un 12'nci maddesinin (5) numaralı fıkrasına dayanıyor. Bu hükme göre kişisel veriler kanuni olmayan yollarla başkalarının eline geçerse veri sorumlusu bunu en kısa sürede ilgili kişilere ve Kurul'a bildirir. Kurul da gerekirse durumu kendi sitesinde ilan edebilir. Üç bildirimin ilan edilmesine Kurul'un 21.10.2026 tarihli ve 2026/2281 sayılı kararıyla karar verildi.

Ortak nokta: üçüncü taraf kütüphane ve veri işleyen

Duyurulara göre saldırı doğrudan şirketlerin kendi sunucularına yapılmadı. Hedef, şirketler adına veri işleyen hizmet sağlayıcının sistemlerindeki bir sunucuydu. Açık ise o sunucuda çalışan üçüncü taraf bir yazılım kütüphanesindeydi. Üç olayda da ihlal, veri işleyenin veri sorumlusuna yaptığı bildirimle fark edildi. Duyurularda veri işleyenin ve kütüphanenin adı yer almıyor. Üç şirketin aynı hizmet sağlayıcıyla çalışıp çalışmadığı da belirtilmiyor.

Tarihler ve etkilenen veriler

• Birinci duyuru (gıda): İhlal 07.10.2026'da tespit edildi. Mağaza müşterilerinin ad-soyad, telefon, e-posta ve adres bilgileri, hash'lenmiş şifre değerleri ile satıcı (yönetim) paneli kullanıcı hesapları ve bu hesapların hash'li şifreleri etkilendi. Etkilenmiş olabilecek kişi sayısı en fazla 15.303 müşteri ve 18 yönetim paneli hesabı sahibi olarak bildirildi.
• İkinci duyuru (gıda): İhlal 08.10.2026'da tespit edildi. Mağaza müşterilerinin ad-soyad, telefon, e-posta ve adres bilgileri, saklanan şifre değerleri ile satıcı paneli kullanıcı hesapları ve şifre değerleri etkilendi.
• Üçüncü duyuru (sağlık ürünleri): Veri işleyen 10.09.2026'da veri sorumlusuna bildirimde bulundu ve ihlal bu bildirimle tespit edildi. Müşterilerin ad-soyad, telefon, e-posta ve adres bilgileri ile hash'lenmiş parola ve kullanıcı giriş bilgileri etkilendi.

Dikkat çeken iki ayrıntı var. Birincisi, yalnızca müşteri verileri değil, yönetim paneli hesapları da etkilenmiş. İkincisi, şirketler olayı kendi izlemeleriyle değil, tedarikçilerinin bildirimiyle öğrenmiş.

Bu olaylar yöneticilere ne anlatıyor?

Yazılımı dışarıdan almak sorumluluğu devretmiyor

Kanun'un 12'nci maddesine göre veri sorumlusu, kişisel veriler kendi adına başka biri tarafından işleniyorsa gerekli güvenlik tedbirlerinin alınmasından o kişiyle birlikte müştereken sorumludur. KVKK bunu kendi sayfasında muhasebe şirketi örneğiyle açıklıyor. Web sitenizi bir ajans, online mağazanızı bir altyapı sağlayıcısı, sunucunuzu bir barındırma firması yönetiyor olabilir. Bu durum da aynı mantıkla değerlendirilir. Sözleşme ve denetim sizin gündeminizde kalır.

Açık çoğu zaman sizin yazmadığınız kodda çıkar

Günümüzde bir web sitesi ya da e-ticaret altyapısı, başka ekiplerin geliştirdiği çok sayıda kütüphane, eklenti ve modül üzerine kurulur. Bu parçalardan birinde bulunan açık, güncelleme yapılmadığı sürece sistemde kalmaya devam eder. Bu nedenle soru yalnızca "sitemiz güvenli mi" değildir. Asıl sorulması gereken şudur: "Sitemizde hangi bileşenler var, kim güncelliyor ve en son ne zaman güncellendi?"

Süre kısa: 72 saat

KVKK Kurulu, 24.01.2019 tarihli ve 2019/10 sayılı kararıyla Kanun'daki "en kısa sürede" ifadesini 72 saat olarak yorumladı. Buna göre veri sorumlusu ihlali öğrendiği andan itibaren gecikmeden ve en geç 72 saat içinde Kurul'a bildirimde bulunmalıdır. Etkilenen kişilere de makul en kısa sürede bildirim yapılmalıdır. Kişiye doğrudan ulaşılamıyorsa bildirim, örneğin veri sorumlusunun kendi web sitesinde yayımlanabilir. Aynı karar, veri işleyenin ihlali gecikmeden veri sorumlusuna bildirmesini ve veri sorumlusunun belirli aralıklarla gözden geçirilen bir veri ihlali müdahale planı hazırlamasını da öngörüyor. 72 saat içinde bildirim yapılamazsa, gecikmenin nedenleri bildirimle birlikte Kurul'a açıklanmalıdır.

Uygulamada bu süre, ihlali tedarikçinizden öğrendiğiniz anda işlemeye başlar. Kimin karar vereceği, hangi bilgilerin toplanacağı ve müşterilere hangi metinle yazılacağı önceden belli değilse 72 saat çok çabuk geçer.

Yönetim paneli en değerli hedeflerden biri

İki duyuruda satıcı ya da yönetim paneli hesaplarının da etkilendiği belirtiliyor. Yönetim paneli siparişlere, müşteri listelerine ve site içeriğine erişim sağlar. Bu hesaplarda güçlü kimlik doğrulama, gereksiz hesapların kapatılması ve erişim kayıtlarının tutulması teknik bir ayrıntı değil, temel bir risk kontrolüdür.

Kontrol listesi: web siteniz ve dijital sistemleriniz için

Aşağıdaki sorular hukuki bir değerlendirmenin yerini tutmaz. Ama yönetim toplantısında teknik ekibinize ya da tedarikçinize sormanız için iyi bir başlangıçtır.

Envanter ve güncelleme

• Kurumsal web sitenizin, online mağazanızın ve müşteri panellerinizin listesi çıkarıldı mı? Hangisini hangi firma işletiyor?
• Bu sistemlerde kullanılan altyapı, eklenti ve üçüncü taraf kütüphanelerin güncel bir listesi var mı?
• Güvenlik güncellemeleri ne sıklıkla, kim tarafından uygulanıyor? Son güncellemenin tarihi biliniyor mu?
• Artık kullanılmayan eski siteler, test ortamları ya da kampanya sayfaları kapatıldı mı?

Tedarikçi ve sözleşme

• Web sitenizi veya mağazanızı işleten firma ile yaptığınız sözleşmede güvenlik tedbirleri ve ihlal halinde size ne kadar sürede haber verileceği yazıyor mu?
• Tedarikçinizin kişisel verileri hangi sunucularda, hangi ülkede tuttuğunu biliyor musunuz?
• Tedarikçiden düzenli güvenlik ve güncelleme raporu istiyor musunuz?

Erişim ve veri

• Yönetim paneli hesaplarında iki aşamalı doğrulama açık mı? Ayrılan çalışanların ve eski ajans hesaplarının erişimi kaldırıldı mı?
• Kullanıcı şifreleri düz metin olarak değil, güncel ve güçlü yöntemlerle hash'lenerek mi saklanıyor?
• Gerçekten ihtiyaç duymadığınız müşteri verilerini topluyor ya da gereğinden uzun süre saklıyor musunuz?
• Panel girişleri ve veri dışa aktarımları kayıt altına alınıyor mu? Bu kayıtları kim izliyor?

Olay anı hazırlığı

• Yazılı bir veri ihlali müdahale planınız var mı? Planda kimin karar vereceği ve kime raporlanacağı belli mi?
• Kurul'a yapılacak bildirim için KVKK'nın veri ihlali bildirim formunu ve kılavuzunu inceleyen sorumlu belli mi?
• Müşterilere gönderilecek bildirim metni ve gerekirse sitenizde yayımlanacak duyuru için bir taslak hazır mı?
• Güncel ve geri dönülebilir yedekleriniz var mı? Geri yükleme hiç denendi mi?

Küçük bir site de bu kapsama girebilir

Üç duyuruda da etkilenen veriler ad, telefon, e-posta, adres ve şifre gibi sıradan bilgiler. İletişim formu, üyelik sistemi, bayi paneli ya da online satış özelliği olan her web sitesi bu tür verileri işler. Dolayısıyla konu yalnızca büyük e-ticaret şirketlerini ilgilendirmiyor. Kurumsal sitesi bir ajans tarafından kurulup yıllardır güncellenmeden yayında kalan şirketler için de geçerli.

Sitenizin bugünkü durumunu görmek isterseniz ücretsiz web sitesi sağlık karnesi ile ilk bir değerlendirme alabilirsiniz. Düzenli güncelleme ve izleme için web sitesi bakım ve destek sayfamızı inceleyebilirsiniz. Mevzuat gündeminden önceki yazımız ise TSRS 2026 muafiyetleri hakkındaydı.