KVKK'dan iki sağlık ihlali: DNC Sağlık'ta fidye yazılımı, Baxter Turkey'de vishing

Kişisel Verileri Koruma Kurumu (KVKK), 21 Ekim 2026'da sağlık sektöründen iki yeni veri ihlali duyurusu yayımladı. Duyurulardan biri Ankara Çankaya'daki özel sağlık kuruluşu DNC Sağlık Hizmetleri'ne yönelik fidye yazılımı saldırısını, diğeri ise Baxter'ın Türkiye'deki böbrek hizmetleri birimi Baxter Turkey Renal Hizmetler'i hedef alan sosyal mühendislik saldırısını konu alıyor. Duyurular, kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun durumu ilgilisine ve Kurul'a bildirmesini öngören 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesinin 5. fıkrası uyarınca yayımlandı. İki olayda da etkilenen kişi sayısı henüz belirlenmiş değil.

DNC Sağlık: Hasta veritabanı şifrelendi

KVKK'nın duyurusuna göre DNC Sağlık Hizmetleri AŞ'nin bilişim personeli, Ekim 2026'da sunucu ekranında Türkçe bir fidye notu gördü ve veritabanı dosyalarına erişilemediğini fark etti. Duyuruda olay, sunucudaki veritabanının şifrelendiği bir fidye yazılımı saldırısı olarak tanımlanıyor. Kesin başlangıç tarihi ve saldırganların sisteme nasıl girdiği açıklanmıyor.

İhlalden hastalar, hasta yakınları, şirket personeli ve iş ortakları etkilendi. KVKK'nın sıraladığı veri kategorileri şöyle: ad, soyad ve T.C. kimlik numarası gibi kimlik verileri; telefon, adres ve e-posta gibi iletişim verileri; muayene, tahlil, tetkik, tanı, reçete ve tedavi geçmişini kapsayan özel nitelikli sağlık verileri; randevu kayıtları, faturalandırma ile SGK ve özel sigorta provizyon kayıtları. Veritabanı şifrelendiği için kesin kişi ve kayıt sayısı ilk aşamada belirlenemedi. Kurul, duyurunun yayımlanmasına 2026/2282 sayılı kararla hükmetti; inceleme sürüyor.

Baxter Turkey: Telefonla oltalama Salesforce'a kapı açtı

KVKK'ya göre Baxter Turkey Renal Hizmetler AŞ'deki ihlal 4 Ağustos 2026'da başladı ve iki aydan uzun süre sonra, 6 Ekim 2026'da tespit edildi. Saldırganlar şirket çalışanlarını hedef alan telefonla oltalama (vishing) yoluyla bir sosyal mühendislik saldırısı düzenledi. Çalışanların kimlik bilgilerini ele geçirdikten sonra tek bir çalışan hesabı üzerinden bir Salesforce veritabanına ve Active Directory işlevi gören dahili bir veri dosyasına erişti.

Etkilenen veriler ad, e-posta adresi ve posta adresi gibi temel iş iletişim bilgilerinden oluşuyor. Etkilenen ilgili kişi grupları ve sayısı henüz belirlenmedi. Yayın kararı 2026/2292 sayılı Kurul kararıyla alındı ve inceleme devam ediyor.

Ne yapmalı?

DNC Sağlık hastaları ve yakınları, tıbbi geçmişlerine veya sigorta bilgilerine atıf yapan arama, mesaj ve e-postalara karşı dikkatli olmalı, beklenmedik taleplere karşılık kimlik veya banka bilgisi paylaşmamalı. T.C. kimlik numaraları da etkilendiği için adlarına hesap veya hat açılması girişimlerini takip etmeleri önerilir. Baxter Turkey ile iletişimi olan kişiler, şirketten geliyormuş gibi görünen beklenmedik mesajlara temkinli yaklaşmalı. Kurumlar açısından Baxter vakası, çalışanlara yönelik telefonla sosyal mühendisliğin bulut tabanlı CRM platformlarına erişim sağlayabildiğini bir kez daha gösteriyor; yardım masasında sıkı kimlik doğrulama ve oltalamaya dayanıklı çok faktörlü kimlik doğrulama bu riski azaltıyor.