Nesine ve 4 Race'in çağrı merkezi tedarikçisine siber saldırı: Ses kayıtları risk altında

Kişisel Verileri Koruma Kurumu'nun (KVKK) 7 Ekim'de yayımladığı iki duyuruya göre iletişim adresleri nesine.com alan adına ait olan D Elektronik Şans Oyunları ve Yayıncılık A.Ş. ile 4 Race Teknoloji ve Yazılım A.Ş., çağrı merkezi hizmeti aldıkları veri işleyenin sistemlerine siber saldırı düzenlendiğini bildirdi. İki duyuru olayı neredeyse aynı ifadelerle anlatıyor.

Neler oldu?

KVKK'nın duyurularına göre siber saldırgan, çağrı merkezi hizmeti veren veri işleyenin altyapısına yetkisiz erişim sağlayarak verileri şifreledi ve erişilemez hale getirdi. Veri işleyen, 30 Eylül 2026'da sisteminde yaşanan hizmet kesintisi üzerine durumu fark ederek veri sorumlularını bilgilendirdi. Saldırının başlangıç tarihi duyurularda yer almıyor.

Duyurulara göre ilk incelemelerde verilerin dışarı aktarıldığına dair bir bulgu tespit edilmedi; ancak saldırganın sistemde kaldığı süre ve altyapının paylaşımlı yapısı dikkate alındığında yetkisiz erişim ihtimali tamamen dışlanamıyor. Kesin sonuç, sürdürülen adli bilişim incelemesiyle netleşecek. Kişisel Verileri Koruma Kurulu, 2026/2212 ve 2026/2211 sayılı kararlarıyla bildirimlerin 6698 sayılı Kanun'un 12/5 maddesi uyarınca Kurum internet sitesinde ilan edilmesine karar verdi.

Kimler etkileniyor?

Etkilenen kişiler; çağrı merkezini arayan veya çağrı merkezi tarafından aranan müşteriler ile üyelik için arama yapan potansiyel müşteriler. Etkilenen veriler arasında çağrı detay kayıtlarındaki telefon numaraları, görüşmelerde beyan edilen ad-soyad ve kimlik doğrulama bilgileri, talep ve şikâyet içerikleri, işlem bilgileri ve ses kayıtları bulunuyor. Görüşme içeriğine bağlı olarak ses kayıtlarında doğum tarihi ve T.C. kimlik numarası da yer alabiliyor. Görme engelli üyelerin destek süreci çağrı merkezi üzerinden yürütüldüğü için sınırlı sayıda görüşmede özel nitelikli veri sayılan engellilik durumuna ilişkin beyanlar bulunabiliyor.

Hangi dosyaların şifrelendiği ve verilerin üçüncü kişilerce elde edilip edilmediği kesinleşmediği için etkilenen kişi ve kayıt sayısı henüz belirlenemedi.

Ne yapmalı?

Her iki platformun müşterileri, geçmiş destek görüşmelerine atıfta bulunarak parola, doğrulama kodu ya da ödeme isteyen arama ve mesajlara karşı dikkatli olmalı. Duyurulara göre ilgili kişiler şirketlere çağrı merkezleri, "Bize Yazın" kanalları ve duyurularda belirtilen destek e-posta adresleri üzerinden ulaşabiliyor; 6698 sayılı Kanun'un 11. maddesindeki haklarını kullanmak için şirketlerin internet sitelerindeki başvuru formlarından yararlanabiliyor.