Üç ayrı sektörde siber ihlal

2020'li yılların başından bu yana siber güvenlik, teknoloji şirketleri ve kripto para platformlarıyla anılsa da artık saldırganların hedefi çok daha geniş bir yelpazeye yayılmış durumda. KVKK’nın yaptığı son açıklama, bu gerçeği net bir şekilde ortaya koyuyor. Bu kez hedef alınanlar arasında bir devlet destekli ulaşım firması, bir özel üniversite ve dünya çapında tanınan bir lüks eşya markasının Türkiye ayağı yer alıyor. Her biri farklı sektörde olmasına rağmen, ortak sorunları sistem açıkları ve yetersiz siber güvenlik önlemleri.

Siber saldırganlar, klasik yöntemlerin yanı sıra insan hatasını da fırsata çevirerek sistemlere erişim sağlıyor. Özellikle fidye yazılımları, kurum sistemlerine sızmak için en çok tercih edilen yöntemlerden biri hâline gelmiş durumda. Bu tip saldırılarda genellikle kurumun kritik verileri şifreleniyor ve erişim karşılığında fidye talep ediliyor. Son ihlaller, saldırganların ne kadar organize ve sistematik şekilde çalıştıklarını bir kez daha gösterdi.

Manulaş

Manisa merkezli toplu taşıma firması Manulaş, fidye yazılım saldırısının hedefi oldu. Şirketin sistemlerine 25 Mayıs 2025 tarihinde gerçekleştirilen siber saldırı sonucunda, 1.268.222 kayıt etkilendi. KVKK’ya iletilen resmi bildirimde, bu kayıtların büyük kısmının mükerrer olabileceği, ancak yine de binlerce gerçek kullanıcının kişisel bilgilerinin açığa çıktığı belirtildi.

Etkilenen veri türleri yalnızca temel kimlik bilgileriyle sınırlı değil. T.C. kimlik numarası, doğum tarihi, plaka numarası ve engellilik durumu gibi hassas sağlık bilgileri de dahil olmak üzere birçok veri türü saldırganların eline geçmiş olabilir. Bu tür bilgiler, sadece kimlik hırsızlığına değil, aynı zamanda dolandırıcılık, sahte belge düzenleme ve sosyal mühendislik saldırılarına da zemin hazırlayabilir. Bu durum, kamu hizmeti veren firmaların veri koruma konusunda daha fazla yatırım yapması gerektiğini ortaya koyuyor.

Richemont

Lüks saat ve mücevher markalarını bünyesinde barındıran Richemont Group’un Türkiye temsilcisi olan Richemont İstanbul, 2025 yılının başında yaşadığı ihlali ancak aylar sonra fark etti. 17–18 Ocak tarihlerinde gerçekleşen saldırı, 30 Mayıs’ta tespit edilerek KVKK’ya bildirildi. Saldırının temel nedeni, Richemont Group çalışanlarından birinin kullanıcı hesabının ele geçirilmesiydi.

Bu hesap üzerinden 25.737 müşteriye ait bilgiler sızdırıldı. İsim, e-posta adresi, doğum tarihi gibi bilgiler, e-ticaret sistemlerinde kullanıcı kimliğiyle eşleştirildiğinde oldukça değerli hâle geliyor. Bu tip bilgilerle yapılan kimlik doğrulama mekanizmaları da kolayca aşılabiliyor. Richemont gibi global bir markanın yaşadığı bu zafiyet, büyük ölçekli şirketlerin bile siber güvenlik açıkları barındırabileceğini gösteriyor.

İstanbul Gedik Üniversitesi

Eğitim sektörü de siber saldırganların radarına girmiş durumda. İstanbul Gedik Üniversitesi, 13–14 Mayıs 2025 tarihlerinde sistemlerine dış kaynaklı erişim tespit etti. Veri ihlali, üniversite adına hizmet veren üçüncü parti yazılım sağlayıcısının sunucularına yetkisiz giriş yapılmasıyla gerçekleşti. İhlal 23.269 kişinin doğrudan, 209.421 kaydın ise dolaylı olarak etkilenmesine yol açtı.

Sızdırılan veriler arasında ad, soyad, kullanıcı adı, maskelenmiş T.C. kimlik numarası, e-posta adresi, departman bilgisi ve kullanıcı trafik verileri yer aldı. Bu bilgiler, öğrencilerin ve çalışanların günlük eğitim ve iletişim süreçlerine doğrudan entegre olduğu için, herhangi bir sızıntı durumunda eğitim süreçlerinin sekteye uğraması muhtemel hâle geliyor. Aynı zamanda kurumlar arası bilgi güvenliği sözleşmelerinin zayıf noktaları da yeniden tartışma konusu oldu.

Veriler neden bu kadar değerli ve tehlikeli?

Siber saldırganların hedefinde olan veriler genellikle şu özellikleri taşır: kişisel tanımlayıcı bilgiler, iletişim bilgileri, sağlık verileri, finansal bilgiler ve sistem erişim detayları. Bu veriler, karaborsa ya da deep web üzerinden satışa sunulabiliyor. Kimlik dolandırıcılığı, kredi başvurusu, sahte sigorta kayıtları gibi birçok yasa dışı işlemde bu veriler kullanılıyor. Dolayısıyla bir verinin sızdırılması yalnızca “kişisel mahremiyet” sorunu değil, aynı zamanda potansiyel bir suç ağına hizmet anlamına gelir.

Özellikle devlet destekli hizmetlerde kullanılan sistemler aracılığıyla toplanan veriler, daha da riskli hâle gelir. Çünkü bir kullanıcıya ait çok sayıda bilgi tek bir sistemde tutulur. Ad-soyad, adres, plaka, meslek bilgisi ve sağlık durumunun birlikte sızdırılması, dolandırıcılar için tam anlamıyla “paket veri” anlamına gelir. Bu yüzden hem bireylerin hem de kurumların veri koruma bilinci yüksek olmalıdır.

KVKK’nın rolü ve yaptırımlar

Kişisel Verileri Koruma Kurumu (KVKK), Türkiye'de kişisel verilerin işlenmesini, saklanmasını ve aktarılmasını düzenleyen ana kurumdur. 6698 sayılı kanun gereğince, veri sorumlularının veri ihlali yaşandığında bunu 72 saat içinde Kurum’a bildirmesi zorunludur. İhlal tespiti ve bildirim süreci şeffaf bir şekilde yürütülmeli, etkilenen kullanıcılar da uygun kanallardan haberdar edilmelidir.

KVKK, olayları sadece duyurmakla kalmaz; ayrıca inceleme başlatarak gerekli hallerde idari para cezası uygulayabilir. Bu cezalar, ihlalin büyüklüğüne, alınan güvenlik önlemlerine ve kurumun iş birliğine bağlı olarak değişebilir. Bu durum, veri ihlallerine karşı kurumların daha dikkatli hareket etmesini sağlamak açısından oldukça caydırıcıdır.

Ne yapılmalı? Bireyler ve kurumlar için öneriler

Kurumlar için:

• Siber güvenlik politikaları düzenli olarak güncellenmeli.

• Fidye yazılım saldırılarına karşı etkili yedekleme sistemleri kurulmalı.

• Üçüncü parti hizmet sağlayıcılar sıkı bir denetime tabi tutulmalı.

• Çalışanlar için sosyal mühendislik farkındalık eğitimleri verilmelidir.

Bireyler için:

• Aynı şifreyi farklı platformlarda kullanmaktan kaçınılmalı.

• E-posta, SMS ya da sosyal medya yoluyla gelen şüpheli bağlantılara tıklanmamalı.

• Verilerinin hangi platformlarda tutulduğunu sorgulamalı ve gerekirse KVKK’ya başvuru yapmalı.

• 2 faktörlü kimlik doğrulama (2FA) sistemleri etkinleştirilmelidir.

Veri ihlalleri artık istisna değil, norm hâline geliyor

KVKK’nın son duyurusu, veri ihlallerinin ne kadar yaygınlaştığını ve ne denli ciddi sonuçlar doğurabileceğini net biçimde gözler önüne seriyor. Eğitimden lüks tüketime, şehir içi ulaşımdan finans sektörüne kadar her alanda kullanıcı verileri dijital ortamlarda saklanıyor ve tehdit altında. Bu nedenle hem kurumların altyapılarını güçlendirmesi hem de bireylerin dijital okuryazarlığını artırması artık bir tercih değil, zorunluluk hâline gelmiş durumda.