KVKK 7 Ekim 2026 İhlal Dalgası: YTÜ Fidye Saldırısı ve Çağrı Merkezi İhlalleri

Yurt dışı haberleri konuşurken Türkiye'deki tabloyu es geçmeyelim. KVKK'nın 7 Ekim 2026'da ilan ettiği 17 yeni veri ihlali bildirimi, bence son dönemin en öğretici dosyalarından biri. Tek tek vakalardan çok, hepsinin ortak paydası dikkat çekiyor.

Rakamlar ne söylüyor?

Kişisel Verileri Koruma Kurulu'nun 07.10.2026 tarihli kararlarıyla ilan edilen bildirimlerde:

• İhlaller 28 Eylül - 3 Ekim 2026 arasında tespit edilmiş.
  
• 17 bildirimin 12'sinde veriler saldırganlar tarafından şifrelenmiş (yani fidye yazılımı).
  
• Yıldız Teknik Üniversitesi dışındaki 16 bildirimde etkilenen kişi sayısı henüz belirlenememiş.
  

Bu son iki madde aslında aynı cümlenin iki yarısı. Fidye yazılımı bir kurumu sadece verisinden değil, verisinin kapsamını görme yeteneğinden de ediyor. Hangi tabloda kaç kayıt vardı, ses arşivinde kaç görüşme duruyordu; hepsi şifreli diskin içinde kalıyor. KVKK ise 72 saat içinde bildirim istiyor. Sonuç: "etkilenen kişi sayısı belirlenemedi" ifadesi.

En büyük bildirim: Yıldız Teknik Üniversitesi

YTÜ, 01.10.2026'da sanallaştırma altyapısının ve üzerinde çalışan sunucuların fidye yazılımından etkilendiğini; yaklaşık 140.000 öğrenci ve 4.500 personelin ihlalden etkilenmiş olabileceğini bildirdi. Bildirime göre saldırı aynı gün tespit edilmiş, etkilenen veri kategorileri ise henüz netleşmemiş.

Çağrı merkezi ve ses kaydı saldırıları

Dosyanın en dikkat çeken kümesi bu. D Elektronik Şans Oyunları (nesine.com), 4 Race Teknoloji (atyarisi.com) ve GIG Sigorta; çağrı merkezi, IVR ve ses kaydı arşivleme hizmeti aldıkları veri işleyenlerin 30.09.2026'da siber saldırıya uğradığını bildirdi. GIG Sigorta özelinde 161 çağrıya ait ses kaydına erişilemediği belirtildi.

Burada teknik olarak önemli bir ayrıntı var: ses kayıtları, kimse özellikle planlamadan özel nitelikli veri deposuna dönüşebiliyor. Müşteri telefonda kimlik doğrulama için T.C. kimlik numarasını ve doğum tarihini söylüyor; bazı görüşmelerde sağlık/engellilik durumu gibi bilgiler de geçebiliyor. Tek bir ses dosyası hem kimlik doğrulamaya yetecek bilgiyi hem özel nitelikli veriyi bir arada barındırabiliyor.

Fidye ve yetkisiz erişim kümesi

Çağrı merkezi hizmeti de veren PCT Yazılım, PCX Operasyon, Procat Teknoloji ve Procatcx, neredeyse aynı metinli bildirimlerinde 30.09.2026'da fidye yazılımına uğradıklarını açıkladı. Ortadoğu Holding, Medikalyapı ve Gür Grup İnşaat 03.10.2026'da sistemlerine dışarıdan erişilip verilerin şifrelendiğini; Monnalisa Bebek Giyim ise 28-29 Eylül'de fidye saldırısını bildirdi. Üç pizza markası (Smart Delivery, DDP, Deniz Pizza) aynı veri işleyen üzerinden; Dodo Brands ise kendi sistemlerine yetkisiz erişim bildirdi.

Ortak payda: tedarik zinciri

Listeye bakınca tablo net: dört şirketin aynı içerikli bildirim yapması, üç şirketin aynı gün aynı tür hizmet sağlayıcıdan etkilenmesi, üç markanın tek bir veri işleyen üzerinden bildirimde bulunması. Tek bir sağlayıcıdaki olay, her müşteri için ayrı bir bildirim yükümlülüğü doğuruyor. Yani kendi sisteminiz kusursuz olsa bile, hizmet aldığınız çağrı merkezi ya da e-ticaret altyapısı sizi ihlale sürükleyebiliyor.

Pratik çıkarımlar

• Veri envanterinizin çevrimdışı ve güncel bir kopyasını tutun. Sistemler şifrelenince elinizde kalan tek şey bu olur; yoksa Kurula söylenebilecek şey "belirlenemedi"den ibaret kalıyor.
  
• Çağrı merkezi/IVR/ses kaydı hizmeti aldığınız sağlayıcıya yazılı olarak etkilenip etkilenmediğinizi sorun.
  
• Ses arşivlerinde saklama süresi, erişim yetkisi ve kimlik doğrulama bölümünün maskelenmesi kontrollerini ayrıca ele alın.
  
• Değiştirilemez (immutable) yedek ve düzenli geri yükleme testi; test edilmemiş yedek kurtarma planı değil, varsayımdır.
  

İlgili kişiler içinse klasik ama geçerli uyarı: bu kurumların hizmetini kullandıysanız parolalarınızı (ve aynı parolayı kullandığınız diğer hesapları) değiştirin, "kimliğinizi doğrulamak için" bilgi isteyen telefonlara karşı temkinli olun.

Kaynakça

• KVKK - Veri İhlali Bildirimleri: https://www.kvkk.gov.tr/veri-ihlali-bildirimi
  
• KVKK - GIG Sigorta AŞ veri ihlali bildirimi: https://www.kvkk.gov.tr/Icerik/9031/kamu...sigorta-as
  
• CyberArts - KVKK'da Haftanın Gündemi: 17 Yeni İhlal: https://www.cyberartspro.com/tr/kvkk-ilk...ekim-2026/
  

Görsel: Chapultepec, Wikimedia Commons, kamuya açık - https://commons.wikimedia.org/wiki/File:...(2007).jpg