KVKK'dan üç ihlal duyurusu: İzmir BB e-postaları, Ondokuz Mayıs Üniversitesi ve Choice Hotels

Kişisel Verileri Koruma Kurumu (KVKK), 21 Ekim 2026'da İzmir Büyükşehir Belediyesi, Samsun'daki Ondokuz Mayıs Üniversitesi ve ABD merkezli otel zinciri Choice Hotels International'a ilişkin yeni veri ihlali duyuruları yayımladı. Duyurular, kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun durumu ilgilisine ve Kurul'a bildirmesini öngören 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesinin 5. fıkrası uyarınca yayımlandı. KVKK, üç olaydaki incelemenin de sürdüğünü belirtiyor.

İzmir Büyükşehir Belediyesi: Çalınmış parolayla e-posta hesapları ele geçirildi

KVKK'nın duyurusuna göre İzmir Büyükşehir Belediyesi, 30 Eylül 2026'da kurumsal bir e-posta hesabından olağan dışı hacimde e-posta gönderildiğini fark etti. Duyuruda saldırganın e-posta sunucusundaki bir güvenlik açığını değil, daha önce ele geçirilmiş bir parolayı kullandığı belirtiliyor.

KVKK, iki hesapta görülen eylemleri şöyle sıralıyor: posta kutusu içeriklerinin kurum dışına aktarılması, gelen iletileri silen bir kural tanımlanması, toplu spam gönderilmesi, ileti ayarlarının değiştirilmesi, mevcut yazışmalara erişilmesi ve e-posta imzasına dolandırıcılık içerikli bir metin eklenmesi. Etkilenen veriler ad, soyad, e-posta adresi ve dahili telefon numarası. Etkilenen kişi sayısı tam olarak belirlenemedi. Yayın kararı 2026/2271 sayılı Kurul kararıyla alındı.

Ondokuz Mayıs Üniversitesi: Yazılım açığı

KVKK'ya göre Ondokuz Mayıs Üniversitesi'nin kullandığı bir yazılımdaki güvenlik açığından yararlanılarak yetkisiz erişim sağlandı. İhlal, Ulusal Siber Olaylara Müdahale Merkezi'nden (USOM) gelen bildirim üzerine 14 Ekim 2026'da tespit edildi. Duyuruda etkilenen kişi sayısı 109 olarak veriliyor; etkilenen veri kategorileri kimlik, iletişim ve lokasyon. Etkilenen ilgili kişi grupları henüz belirlenmedi, ihlalin başlangıç tarihi ise belirtilmedi. Yayın kararı 2026/2290 sayılı Kurul kararıyla alındı.

Choice Hotels: Çalışan hesabı ele geçirildi

KVKK'nın aktardığına göre bir tehdit aktörü, sosyal mühendislik yöntemiyle Choice Hotels International çalışanlarından birinin ağ hesabına yetkisiz erişim sağladı. İhlal 5 Haziran 2026'da başladı, 6 Haziran'da sona erdi ve şirketin güvenlik izleme kontrollerinin ürettiği bir uyarıyla 5 Haziran'da tespit edildi. Etkilenen grup müşteriler, etkilenen kişi sayısı 9.550. İhlalde ad-soyad ve iletişim bilgileri ile bir kısım müşteri için geçmiş otel konaklamalarına ilişkin ayrıntılar yer alıyor. Yayın kararı 2026/2288 sayılı Kurul kararıyla alındı.

Ne yapmalı?

İzmir Büyükşehir Belediyesi ile yazışmış kişilerin belediye adreslerinden gelen beklenmedik iletilere, özellikle ödeme talep eden veya alışılmadık imza metni içeren e-postalara karşı dikkatli olması ve talepleri resmî kanallardan doğrulaması önerilir. Choice Hotels müşterileri rezervasyonlarına veya konaklamalarına atıf yapan oltalama girişimlerine karşı tetikte olmalı. Kurumlar açısından İzmir vakası, sunucuda bir açık olmasa bile çok faktörlü kimlik doğrulamanın, yeni yönlendirme ve silme kurallarının izlenmesinin ve olağan dışı gönderim hacmine yönelik uyarıların neden önemli olduğunu gösteriyor.