KVKK'dan iki ihlal duyurusu: Enka Vakfı'na fidye saldırısı, MW Phokaia'da e-posta ihlali

Kişisel Verileri Koruma Kurumu (KVKK), 21 Ekim 2026'da iki yeni veri ihlali bildirimini daha kamuoyuyla paylaştı. Duyurulara göre Enka Spor Eğitim ve Sosyal Yardım Vakfı, öğretmen ve öğrencilere ait pasaport kopyalarını etkileyen bir fidye yazılımı saldırısına uğradı. MW Phokaia Beach & Resort'u işleten Akropol Turizm ise tesisin bilgi işlem altyapısı ve kurumsal e-posta hesaplarına yönelik siber güvenlik olayları bildirdi. İki olayda da etkilenen kişi sayısı henüz belirlenmiş değil.

Duyurular, Kişisel Verileri Koruma Kurulu'nun 21 Ekim 2026 tarihli kararlarıyla, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12/5 maddesi uyarınca yayımlandı.

Neler oldu?

Enka Vakfı: KVKK'nın duyurusuna göre vakfın sunucu altyapısı fidye yazılımı saldırısının hedefi oldu. Saldırganın sisteme hangi yöntemle girdiği ve etkilenen sistemlerin tam kapsamı konusundaki teknik inceleme sürüyor. İhlalin gerçekleşme ve tespit tarihleri duyuruda yer almıyor.

MW Phokaia Beach & Resort: KVKK duyurusunda, Akropol Turizm'in işlettiği tesisin bilgi işlem altyapısı ve kurumsal e-posta hesaplarına yönelik siber güvenlik olayları yaşandığı belirtiliyor. Yetkisiz erişim şüphesi bulunan kurumsal hesaplar inceleniyor; duyuruya göre olası bir veri aktarımı da araştırılıyor. İhlalin başlangıç ve bitiş tarihleri henüz tespit edilemedi.

Kimler etkileniyor?

Enka duyurusuna göre etkilenen gruplar çalışanlar, öğrenciler, mezun öğrenciler ve çocuklar. Etkilenen veriler şöyle:

• öğretmen, öğrenci ve mezunlara ait pasaport kopyalarındaki ad-soyad, doğum tarihi ve yeri, uyruk, pasaport numarası ve fotoğraf gibi kimlik bilgileri;
• sunucuda arşivlenmiş etkinlik fotoğrafları ve pasaport fotoğrafları.

Etkilenen kişi ve kayıt sayısı bu aşamada bilinmiyor.

MW Phokaia için KVKK, inceleme sürerken şu veri kategorilerinin etkilenmiş olabileceğini belirtiyor: kimlik ve iletişim bilgileri, kurumsal e-posta yazışmalarında yer alan gerçek kişi bilgileri, rezervasyon ve konaklama süreçlerine ilişkin veriler, çalışanların özlük ve iletişim bilgileri ile gerçek kişilere ait finansal veya işlem bilgileri. Etkilenebilecek gruplar arasında çalışanlar, misafirler, tedarikçiler ve iş ortaklarının temsilcileri bulunuyor. Etkilenen kişi sayısı verilmedi.

Ne yapmalı?

Enka Vakfı ile bağlantılı veliler, öğrenciler, mezunlar ve çalışanlar, pasaport bilgileri ve fotoğraflarının kullanılabileceği kimlik dolandırıcılığı girişimlerine karşı dikkatli olmalı ve bilgi için vakıfla iletişime geçmeli. MW Phokaia'da konaklamış ya da otelle yazışmış kişilerin, otel adına gelen ve özellikle ödeme, kart bilgisi veya rezervasyon değişikliği isteyen e-postalara şüpheyle yaklaşması önerilir; ele geçirilen kurumsal e-posta hesapları fatura ve rezervasyon dolandırıcılığında sıkça kullanılıyor. Bu tür talepleri bilinen bir telefon numarasından doğrulamak yerinde olur.

İki duyuruda da kurumların aldığı önlemlere dair ayrıntı bulunmuyor; incelemelerin sürdüğü belirtiliyor.