Akkoyunlar'da zararlı yazılım saldırısı: Tahminen 1.690 çalışanın verisi etkilendi

Akkoyunlar Otomotiv İletişim Tekstil San ve Dış Ticaret A.Ş., üçüncü parti bir uygulama kaynaklı zararlı yazılım yoluyla siber saldırıya uğradı ve tahminen 1.690 çalışanın kişisel verileri etkilendi. Kişisel Verileri Koruma Kurumu'nun (KVKK) 30 Eylül 2026'da yayımladığı kamuoyu duyurusu, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesinin 5. fıkrası uyarınca yapıldı.

Neler oldu?

KVKK'nın duyurusuna göre ihlal 23 Eylül 2026'da başladı ve 24 Eylül 2026'da tespit edildi. Kurum, veri sorumlusunun üçüncü parti uygulama kaynaklı zararlı yazılım yoluyla siber saldırıya uğradığını belirtiyor. Duyuruda uygulamanın veya zararlı yazılımın adı verilmiyor; verilerin şifrelenip şifrelenmediği, dışarı sızdırılıp sızdırılmadığı ya da yayımlanıp yayımlanmadığı da açıklanmıyor.

Kurum'un aktardığına göre Kişisel Verileri Koruma Kurulu, bildirimin internet sitesinde ilan edilmesine 30 Eylül 2026 tarihli ve 2026/2138 sayılı kararıyla hükmetti.

Hangi veriler etkilendi?

KVKK'nın duyurusunda ihlalden etkilenen kişisel veri kategorileri şöyle sıralanıyor:

• Kimlik bilgileri
• İletişim bilgileri
• Görsel ve işitsel kayıtlar

Kurum'a göre ihlal, 2025 yılında şirkette çalışan personelin verilerini, şirket verilerini ve güncelliğini yitirmiş eski dokümantasyonları kapsıyor.

Kimler etkileniyor?

KVKK'ya göre ihlalden etkilenen ilgili kişi grubu şirket çalışanlarından oluşuyor. Etkilenen kişi sayısı tahmini 1.690 olarak açıklandı; duyuruda veriler arasında mükerrer kayıtlar bulunduğu için detaylı incelemenin sürdüğü belirtiliyor. Bu nedenle kesin sayı değişebilir.

Ne yapmalı?

Şirketin mevcut ve eski çalışanlarının, kişisel bilgilerini kullanan oltalama e-postalarına, SMS'lere ve aramalara karşı dikkatli olması; işveren adına aradığını söyleyen kişilerle parola veya doğrulama kodu paylaşmaması gerekiyor. Görsel kayıtlar da etkilenen kategoriler arasında yer aldığından fotoğraf veya kimlik belgelerinin kötüye kullanılmasına yönelik girişimlere karşı da tetikte olunmalı. Kurumların üçüncü taraf uygulamaları kurmadan önce güvenlik açısından değerlendirmesi, uç noktalarda yazılım kurma yetkilerini kısıtlaması, uç nokta tespit ve müdahale araçlarını güncel tutması ve artık ihtiyaç duyulmayan eski personel belgelerini saklama politikaları doğrultusunda imha etmesi öneriliyor.