Haziran'da veri ihlali dalgası: KVKK arka arkaya siber saldırı duyurusu yaptı

Türkiye'de haziran ayı, kişisel veri güvenliği açısından yoğun bir gündemle kapandı. Kişisel Verileri Koruma Kurumu (KVKK), ay boyunca birbiri ardına gelen siber saldırılara ilişkin veri ihlali bildirimlerini kamuoyuyla paylaştı. Bu bildirimlerin en dikkat çekeni, güvenlik firması CyberArts'ın da aktardığı Tempo Makina Pazarlama A.Ş.'ye yönelik saldırı oldu.

KVKK'nın duyurusuna göre Tempo Makina'daki ihlal 20 Haziran 2026'da gerçekleşti ve ertesi gün tespit edildi. Olayı diğerlerinden ayıran nokta, etkilenen veri kategorilerinin genişliği: kimlik, iletişim ve finans bilgilerinin yanı sıra sağlık ve biyometrik veriler ile ırk ve etnik köken gibi özel nitelikli kişisel verilerin de sızdırıldığı belirtildi. Bu tür özel nitelikli veriler KVKK mevzuatında en yüksek koruma yükümlülüğüne tabi olduğu için, hem ağır idari yaptırım hem de kalıcı itibar riski doğuruyor.

Tempo Makina tek örnek değildi. CyberArts'ın derlediği bildirimlere göre haziran ortasında Makel Elektrik Malzemeleri ile Mepa Aktif Elektrik de siber saldırıya uğradı; her iki olayda da şirketlerin dijital sistemlerine erişimin kısıtlandığı, etkilenen kişi ve veri gruplarının ise henüz kesinleşmediği kaydedildi. Bu tablo, saldırganların özellikle üretim ve elektrik sektöründeki orta ölçekli şirketleri hedef aldığına işaret ediyor.

Kurumsal sistemlere yönelik tehdit yalnızca yerel şirketlerle sınırlı değil. CyberArts, Cisco'nun Catalyst SD-WAN ürünlerinde CVE-2026-20245 koduyla izlenen kritik bir 'sıfırıncı gün' (zero-day) açığına dikkat çekti. Kurumsal ağ altyapılarında yaygın kullanılan bu tür ürünlerdeki açıklar, tek bir zafiyetin çok sayıda kurumu aynı anda riske atabildiği tedarik zinciri saldırılarının en tipik örneklerinden.

Hukukçular, ihlal sonrası sürecin de en az saldırının kendisi kadar kritik olduğunu vurguluyor. Avukat Bilal Alyar'ın konuya ilişkin değerlendirmesine göre veri sorumluları, bir ihlali öğrendikleri andan itibaren 72 saat içinde KVKK'ya bildirimde bulunmakla yükümlü; bu süreye uyulmaması başlı başına ayrı bir yaptırım nedeni oluşturuyor.

Uzmanlar, artan ihlal sayısının tesadüf olmadığı görüşünde. Fidye yazılımlarının yaygınlaşması, biyometrik veri gibi geri alınamaz bilgilerin giderek daha fazla toplanması ve tedarik zinciri açıkları bir araya geldiğinde; 2026'nın kurumlar için 'ihlal olur mu' değil 'ne zaman olur' sorusuyla geçtiği belirtiliyor. KVKK'nın nisan ayında mesai takibinde biyometrik veri kullanımını sınırlayan ilke kararı da bu risk ikliminin bir yansıması olarak okunuyor.