Kişisel Verileri Koruma Kurulu, 21 Ekim, 27 Ekim ve 4 Kasım 2026 tarihli kararlarıyla 26 veri ihlali bildirimini internet sitesinde ilan etti. Yapılan derlemeye göre bu bildirimlerin 16'sında ihlal, şirketin kendisinde değil hizmet aldığı tedarikçide, yani veri işleyende gerçekleşti.
Hangi alanlarda yaşandı?
Tedarikçi kaynaklı ihlaller özellikle üç alanda toplandı: canlı sohbet ve çağrı merkezi hizmetleri (5 bildirim), e-ticaret (4) ve konaklama-turizm (7). Etkilenen kişi sayısının açıklandığı 11 bildirimde toplam rakam 160 bini aşıyor; diğerlerinde tespit sürüyor.
Örneklerden birinde, büyük bir e-ticaret şirketinin canlı destek hizmeti aldığı firmanın sistemlerine sızıldı. 2022 tarihli sohbet kayıtlarındaki yaklaşık 9 bin 900 kişinin adı, telefon numarası, e-posta ve adres bilgileri ile sipariş ve şikâyet kayıtları etkilendi. Bu örnek, artık ihtiyaç duyulmayan eski kayıtların saklanmasının da bir risk olduğunu gösteriyor.
İhlallerin nedenleri
Bildirimlerde öne çıkan nedenler tanıdık: fidye yazılımı saldırıları, oltalama e-postaları ve telefonla yapılan sesli oltalama, daha önce ele geçirilmiş parolalarla yapılan girişler ve üçüncü taraf yazılım kütüphanelerindeki açıklar.
Tedarikçi riskini nasıl azaltırsınız?
KVKK'ya göre veri işleyende yaşanan ihlalden veri sorumlusu olarak siz de sorumlusunuz. Riskleri azaltmak için:
- Hangi tedarikçinin hangi kişisel verilere eriştiğinin envanterini çıkarın.
- Sözleşmelere güvenlik yükümlülüklerini ve ihlali size ne kadar sürede bildireceklerini yazın.
- Tedarikçi erişimlerini en az yetkiyle, çok faktörlü doğrulamayla ve süreli verin; erişimleri kayıt altına alın.
- Tedarikçiye yalnızca gereken veriyi aktarın, saklama sürelerini belirleyip süresi dolan kayıtları imha ettirin.
- Kritik tedarikçilerin güvenliğini düzenli olarak değerlendirin; kendi sistemlerinizi de penetrasyon testi ile sınayın.
Veri ihlallerinin Kurul'a en geç 72 saat içinde bildirilmesi gerektiğini de unutmayın. Teknik tedbirler için veri güvenliği çözümlerimize göz atabilirsiniz.