Dermojet, Karaköy Güllüoğlu ve Mehmet Efendi'nin çevrim içi mağazalarında veri ihlali

Kişisel Verileri Koruma Kurumu (KVKK), 21 Ekim 2026'da üç tanınmış markaya ait veri ihlali bildirimlerini kamuoyuyla paylaştı: kozmetik ve sağlık ürünleri üreticisi Dermojet, baklava üreticisi Güllüoğlu Gıda (Karaköy Güllüoğlu) ve kahve şirketi Kurukahveci Mehmet Efendi. Duyurulara göre üç olayda da veri işleyene ait bir sunucuya, kullanılan üçüncü taraf yazılım kütüphanesindeki güvenlik açığı istismar edilerek yetkisiz erişim sağlandı. Bildirilen rakamlar toplandığında etkilenen kişi sayısı 130 bini aşıyor.

Duyurular, Kişisel Verileri Koruma Kurulu'nun 21 Ekim 2026 tarihli kararıyla, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12/5 maddesi uyarınca yayımlandı.

Neler oldu?

KVKK'nın duyurularında üç vaka için neredeyse aynı ifadeler kullanılıyor. Her birinde, şirket adına veri işleyen üçüncü taraf, veri sorumlusuna ait verilerin bulunduğu sunucuya üçüncü taraf bir kütüphanedeki zafiyet üzerinden yetkisiz erişildiğini veri sorumlusuna bildirdi. Duyurularda veri işleyenin, kullanılan yazılım platformunun veya açığın bulunduğu kütüphanenin adı verilmiyor; ihlalin ne zaman başladığı da belirtilmiyor.

KVKK'ya göre ihlallerin tespit tarihleri şöyle:

• Dermojet: 10 Eylül 2026
• Kurukahveci Mehmet Efendi: 7 Ekim 2026
• Güllüoğlu Gıda: 8 Ekim 2026

Duyurular üç olayın birbiriyle bağlantılı olup olmadığına dair bilgi içermiyor; yalnızca benzer ifadelere bakarak ortak bir kaynak olduğu sonucuna varmak doğru olmaz.

Kimler etkileniyor?

KVKK duyurularındaki kapsam şöyle:

• Dermojet: 50.636 müşteri ve potansiyel müşteri. Ad-soyad, telefon numarası, e-posta adresi, adres bilgisi ile hash'lenmiş parola ve kullanıcı giriş bilgileri etkilendi.
• Güllüoğlu Gıda: 67.193 kullanıcı. Mağaza müşterilerinin ad-soyad, telefon, e-posta ve adres bilgileri ile saklanan şifre değerleri; ayrıca satıcı paneli hesap bilgileri ve bu hesapların şifre değerleri etkilendi.
• Kurukahveci Mehmet Efendi: En fazla 15.303 nihai müşteri ve 18 yönetim paneli hesap sahibi. Müşterilerin ad-soyad, telefon, e-posta, adres bilgileri ve hash'lenmiş şifreleri ile yönetim paneli hesap bilgileri ve hash'li şifreleri etkilendi.

KVKK, incelemelerin sürdüğünü belirtiyor. Duyurularda şirketlerin aldığı teknik önlemlere ilişkin ayrıntı yer almıyor.

Ne yapmalı?

Bu mağazalardan alışveriş yapanların ilgili sitelerdeki parolalarını ve aynı parolayı kullandıkları diğer hizmetlerdeki parolalarını değiştirmesi önerilir. Ad, telefon ve adres bilgileri açığa çıktığı için bu markalar adına gönderilmiş gibi görünen sipariş, kargo veya iade temalı SMS, e-posta ve aramalara karşı dikkatli olunmalı. Çevrim içi mağazasını üçüncü taraf platformlar üzerinden işleten işletmelerin de sağlayıcılarına savunmasız kütüphanelerden etkilenip etkilenmediklerini sorması ve panel hesaplarında güçlü, benzersiz parolalar ile çok faktörlü kimlik doğrulama kullanması yerinde olur.

Duyurulara göre ilgili kişiler Dermojet'e [email protected], Güllüoğlu'na [email protected] adresi veya çağrı merkezi, Mehmet Efendi'ye ise [email protected] adresi üzerinden ulaşabiliyor.