KVKK, 16 Eylül 2026 tarihli ve 2026/2039 sayılı Kurul Kararı kapsamında 12 şirkete ilişkin veri ihlali bildirimlerini internet sitesinde yayımladı. Kurumun duyurularında, farklı şirketlerin sistemlerinde yaşanan yetkisiz erişimler sonucunda çeşitli kişisel verilerin ihlalden etkilendiği belirtildi. Tüm dosyalara ilişkin incelemelerin ise devam ettiği kaydedildi.
En yüksek etkilenen kişi sayısı, Eve Kozmetik markasıyla faaliyet gösteren Yeni Mağazacılık A.Ş.'de görüldü. KVKK'nın duyurusuna göre, üçüncü taraf bir yazılım kütüphanesindeki güvenlik zafiyetinin istismar edilmesi sonucunda şirketin veri işleyen sistemlerindeki bir sunucuya yetkisiz erişim sağlandı. İhlalden 6 milyon 263 bin 305 müşterinin ad, soyad, e-posta adresi ve telefon numarası bilgilerinin etkilendiği bildirildi.
Listenin ikinci sırasında Shaya Mağazacılık A.Ş. yer aldı. Veri işleyen sistemlerine yetkisiz erişim sonucunda 2 milyon 298 bin 726 çalışan ve müşterinin ad, soyad, e-posta ve adres bilgilerinin ihlalden etkilendiği açıklandı.
Deniz Deniz Butik'te ise üçüncü taraf yazılım kütüphanesindeki güvenlik zafiyeti nedeniyle 1 milyon 271 bin 96 müşterinin üye adı, telefon numarası ve e-posta bilgilerinin etkilendiği bildirildi.
Shaya Kahve A.Ş.'de 133 bin 991 çalışan ve müşterinin ad, soyad, e-posta ve adres bilgilerinin; Haşema Tekstil'de 95 bin 857 müşterinin ad, soyad, e-posta, adres, telefon ve hash'lenmiş giriş bilgilerinin ihlalden etkilendiği açıklandı.
KVKK'nın açıkladığı diğer veri ihlalleri ise şöyle:
- Yiğit Alışveriş Merkezleri: 81 bin 593 kişi
- Valmenti Mağazacılık: 32 bin 292 kişi
- Taşkınırmak Giyim: 29 bin 265 kişi
- İyileştiren Mamuller Gıda: 6 bin 547 kişi
- Back and Bond: 5 bin 435 kişi
- Mersin Mana Tarım: 695 kişi
Bu 11 şirkette etkilenen kişi sayısı toplam 10 milyon 218 bin 802 olarak kayıtlara geçti.
Bir şirkette sayı henüz belirlenemedi
İnternet Tekstil Sanayi ve Ticaret A.Ş. hakkındaki bildirime göre ise şirketin veri işleyen sistemlerindeki bir sunucuya, üçüncü taraf yazılım kütüphanesindeki güvenlik zafiyetinin istismar edilmesiyle yetkisiz erişim sağlandı.
KVKK, ihlalden ad, soyad, telefon, e-posta, adres ve hash'lenmiş kullanıcı giriş bilgilerinin etkilenmiş olabileceğini açıkladı. Ancak etkilenen kişi sayısının henüz belirlenemediği bildirildi.
Ortak nokta: üçüncü taraf yazılımlar
KVKK'nın yayımladığı bildirimlerde özellikle bazı şirketlerde üçüncü taraf yazılım kütüphanelerindeki güvenlik zafiyetlerinin yetkisiz erişimlerde rol oynadığı görülüyor. Ancak Kurum, söz konusu şirketlerin tamamının aynı siber saldırının hedefi olduğuna ilişkin kesin bir tespit bulunduğunu açıklamadı.
KVKK, tüm ihlallere ilişkin incelemelerin sürdüğünü bildirirken, etkilenen kişilerin ilgili şirketlerin belirlediği iletişim kanalları üzerinden ihlal hakkında bilgi alabileceğini de duyurdu.
