Eylül 2026 KVKK Veri İhlali Raporu

1. Yönetici Özeti

Eylul 2026 veri setinde toplam 92 veri ihlali bildirimi yer almaktadir. Kisi sayisi aciklanan 53 olayda bildirilen toplam etkilenen kayit/kisi sayisi 12.875.414 olup medyan deger 7.591 kisidir.

En belirgin bulgu, olaylarin %84,8'inde veri isleyen, hizmet saglayici veya altyapi saglayici baglantisininin bulunmasidir.

Olaylarin sektor dagilimi perakende ve e-ticaret cevresinde yogunlasmaktadir. Perakende kumesi tek basina 46 olayla toplamin yarisini olustururken, e-ticaret kumesi 12 olayla ikinci siradadir. Bu yogunlasma, musteri verisi isleyen cevrimici satis altyapilarinda ortak tedarikci ve uygulama bileseni riskinin onemini artirmaktadir.

Veri tiplerinde ad-soyad/kimlik verisi 90 olayda, e-posta 72 olayda, adres 66 olayda; telefon ve parola/hash/login verileri ise 64'er olayda gorulmektedir. Bu dagilim, ihlallerin onemli bolumunun kimlik ve hesap guvenligi acisindan yeniden kullanilabilir veri kumeleri urettigini gostermektedir.

2. Kapsam ve Metodoloji

Rapor, "KVKK_Eylul_2026_Veri_Ihlali_Analizi.xlsx" calisma kitabindaki 92 kaydin analizi uzerine kuruludur. Her kayit icin duyuru tarihi, kurum/firma, sektor, saldiri veya ihlal tipi, teknik vektor, veri isleyen baglantisin, kisi sayisi, ilgili kisi gruplari, veri kategorileri ve kaynak URL alanlari kullanilmistir.

• Kisi sayisi bilinmeyen olaylar toplam ve medyan hesaplarinda sifir kabul edilmemistir.
• Sektor siniflari analiz amaciyla normalize edilmistir; KVKK'nin resmi sektor siniflandirmasi degildir.
• "Veri isleyen kaynakli" isareti yalniz veri setinde veri isleyen/hizmet saglayici/altyapi saglayici baglantisin acik bicimde kodlanmis olaylara verilmistir.
• Tespit suresi yalniz ihlal baslangic tarihi ile tespit tarihi birlikte bulunan olaylarda hesaplanmistir.

3. Sektor Kumeleri

Perakende (46 olay) ve e-ticaret (12 olay) birlikte degerlendirildiginde, Eylul ayindaki bildirimlerin %63,0'i dogrudan cevrimici satis veya yogun musteri verisi isleyen ticari yapilarda kumelenmektedir. Gida, kozmetik ve turizm de eklendiginde musteri/son kullanici verisi agirlikli sektorlerin baskinligi daha da belirginlesmektedir.

4. En Sik Etkilenen Veri Tipleri

Kimlik ve iletisim verileri acik ara en sik etkilenen veri grubudur. Ozellikle e-posta, telefon, adres ve parola/hash/login kombinasyonu; hesap ele gecirme, kimlik avi ve credential stuffing gibi ikincil riskler acisindan onem tasir.

Parola/hash/login bilgisinin 64 olayda gorulmesi dikkat cekicidir. Hashlenmis parola dogrudan acik parola anlamina gelmez; ancak kullanilan algoritma, salt yaklasimi ve parola kalitesi bilinmedigi icin bu veri sinifi yine de yuksek operasyonel onem tasir.

5. Saldiri Vektorleri ve Ortak Zincirler

5.1 Baskin Saldiri Zinciri

Veri setinde en sik gorulen zincir su sekilde ozetlenebilir: veri sorumlusu → dis hizmet/veri isleyen → ortak e-ticaret veya uygulama bileseni → ucuncu taraf kutuphanesi ya da sunucu zafiyeti → yetkisiz erisim → musteri ve hesap verilerinin etkilenmesi.

5.2 Fidye Yazilimi Zinciri

Fidye yazilimi olaylari sayi olarak daha sinirlidir; ancak veri setinde genis kurumsal veri kategorilerinin etkilenmesiyle iliskilidir. Bazi olaylarda ozluk, finans, saglik ve ceza mahkumiyeti verileri gibi hassas siniflar ayni olay icinde yer almaktadir.

5.3 Kimlik ve Erisim Zinciri

Phishing ve credential compromise az sayida acikca etiketlenmis olsa da, Papara Menkul orneginde veri isleyen calisanina yonelik oltalama ile Okta SSO/MFA altyapisina yetkisiz erisimin ayni zincirde yer almasi kimlik altyapisinin tedarikci riskine nasil baglandigini gostermektedir.

6. Veri Isleyen ve Tedarikci Riski

Perakende kumesindeki 46 olayin tamami veri isleyen baglantilidir. E-ticaret kumesinde ise 12 olayin 11'i ayni sinifa girmektedir. Bu yogunluk, tedarikci guvenliginin yalniz sozlesmesel bir kontrol alani degil, teknik izleme ve envanter yonetimi konusu oldugunu gostermektedir.

• Alt veri isleyenlerin ve kullanilan SaaS/e-ticaret bilesenlerinin envanteri guncel tutulmali.
• Tedarikci tarafinda kullanilan ucuncu taraf kutuphaneler ve platform surumleri izlenmeli.
• Veri sorumlusu, olay bildirim ve log paylasim surelerini sozlesmesel olarak tanimlamali.
• Kimlik altyapisi, API anahtarlari, yonetim paneli hesaplari ve servis hesaplari ayri kontrol alani olarak ele alinmali.
• Ihlal sonrasi sadece veri sorumlusunun degil, veri isleyenin loglari ve teknik kanitlari da olay mudahale surecine alinmali.

7. Etki Olcegi ve En Buyuk Ihlaller

#	Kurum/Firma	Sektor	Etkilenen Kisi
1	Yeni Magazacilik AS (Eve Kozmetik)	Perakende / Kozmetik	6.263.305
2	Shaya Magazacilik A.S.	Perakende / Tekstil	2.298.726
3	Deniz Deniz Butik Tekstil Sanayi ve Ticaret AS	Perakende / Tekstil	1.271.096
4	Locco Elektronik Magazacilik ve Ticaret Ltd. Sti.	E-ticaret / Elektronik	517.306
5	Bademkaya Elektronik Satis A.S.	E-ticaret / Elektronik	473.284

Kisi sayisi aciklanan 53 olayda toplam 12.875.414 kayit/kisi bildirilmistir. Ilk uc olay bu toplamin %76,4'unu, ilk bes olay ise %84,1'ini olusturmaktadir.

8. En Sik Etkilenen Kisi Gruplari

Ilgili Kisi Grubu	Olay Sayisi
Musteriler	48
Calisanlar	27
Kullanicilar	25
Aboneler/Uyeler	23
Musteriler/Potansiyel Musteriler	22
Yonetim paneli kullanicilari	2
Potansiyel Musteriler	2
Ogrenciler	2

Musteriler en sik etkilenen grup olarak one cikmaktadir. Calisanlar, kullanicilar ve aboneler/uyeler de tekrar eden gruplardir. Bu dagilim, Eylul ihlallerinin agirlikli olarak dijital musteri ve uyelik sistemleri cevresinde gerceklestigini desteklemektedir.

9. Tespit Suresi ve Zamanlama

Tespit suresi yalniz 10 olay icin hesaplanabilmistir. Bu sinirli orneklemde ortalama tespit suresi 1,8 gun, medyan tespit suresi 1,0 gundur.

Bu deger butun Eylul olaylarina genellenmemelidir. Baslangic tarihi aciklanmayan veya olayin baslangici henuz tespit edilemeyen bildirimler oldukca fazladir. Bu durum, olcumun kendisinin de guvenlik olgunlugunun bir parcasi oldugunu gostermektedir: tespit suresini olcebilmek icin yeterli log, zaman damgasi ve olay korelasyonu gerekir.

10. Kurumsal Kontrol Oncelikleri

Veri setindeki tekrar eden desenler asagidaki teknik ve yonetsel kontrol alanlarini onceliklendiriyor. Bu bolum, hukuki yukumluluklerin yerine gecen bir gorus degil; veri setinden turetulen guvenlik ve yonetisim oncelikleridir.

Oncelik	Veri Setindeki Sinyal	Onerilen Kontrol
Tedarikci guvenligi	78/92 olay veri isleyen baglantilin	Tedarikci envanteri, alt isleyen gorunurlugu, guvenlik sartlari, olay/log paylasim SLA'lari
Zafiyet yonetimi	22 olay acikca zafiyet istismari	SCA/SBOM, internet yuzeyi takibi, kritik yama SLA, WAF/virtual patching
Kimlik guvenligi	Parola/hash/login 64 olayda	MFA, yonetici hesabi ayristirma, parola politikasi, credential rotation, SSO loglari
Veri minimizasyonu	Kimlik ve iletisim verileri hemen her olayda	Veri saklama suresi, gereksiz alanlarin azaltilmasi, tokenization/maskeleme
Olay tespiti	Tespit suresi yalniz 10 olayda olculebiliyor	Merkezi loglama, SIEM, zaman senkronizasyonu, olay siniflandirma ve olcum
Fidye dayanikliligi	9 olay	Immutable/offline yedek, segmentasyon, EDR, restore testleri, ayricalikli erisim kontrolu

11. Sonuc

Eylul 2026 veri ihlali bildirimleri, tekil olaylardan cok ortak altyapi ve tedarikci bagimliklarinin one ciktigi bir tablo sunmaktadir. Perakende ve e-ticaret yogunlugu, veri isleyen kaynakli olay orani ve ucuncu taraf kutuphane zafiyeti tekrarlari birlikte degerlendirildiginde, kurumlarin yalniz kendi sistemlerini korumasinin yeterli gorunmemektedir.

Ozellikle kimlik, e-posta, telefon, adres ve parola/hash/login verilerinin tekrar eden bicimde etkilenmesi, olay sonrasi riskin yalniz gizlilik ihlaliyle sinirli kalmadigini; hesap guvenligi, oltalama ve sonraki saldirilar acisindan da kalici bir risk olusturabildigi gostermektedir.