Hepsiburada ve HepsiJet'te veri ihlali: 13 bin kişi etkilendi

Kısaca

• Kişisel Verileri Koruma Kurulu, Hepsiburada'nın (D-Market) ve kargo şirketi HepsiJet'in (D Fast) veri ihlali bildirimlerini 4 Kasım'da yayımladı.
• Her iki şirkete sohbet altyapısı hizmeti sunan aynı veri işleyendeki 2022 yılına ait kayıtlara siber saldırganlar yetkisiz erişim sağladı; Hepsiburada'da 9.882, HepsiJet'te 3.217 kişi etkilendi.
• Etkilenen veriler arasında ad, soyad, telefon, e-posta, adres, sipariş ve gönderi numaraları ile şikâyet kayıtları var; Hepsiburada bildiriminde satıcılar da etkilenen gruplar arasında.

Kişisel Verileri Koruma Kurulu (KVKK), 4 Kasım 2026 tarihli ve 2026/2438 sayılı kararıyla iki ayrı veri ihlali bildirimini internet sitesinde ilan etti. Her iki bildirim de Hepsiburada ekosisteminin parçası olan şirketlere ait: D-Market Elektronik Hizmetler ve Ticaret A.Ş. (Hepsiburada) ve D Fast Dağıtım Hizmetleri ve Lojistik A.Ş. (HepsiJet). İhlallerin aynı Kurul kararıyla yayımlanması ve aynı saldırı vektörünü tanımlaması, her ikisinin ortak bir kaynaktan beslendiğine işaret ediyor.

Sohbet altyapısı üzerinden 2022 kayıtlarına erişim

Her iki bildirimde de aynı anlatım yer alıyor: şirketlere sohbet altyapısı hizmeti sunan bir veri işleyen nezdinde barındırılan 2022 tarihli sohbet kayıtlarına siber saldırgan ya da saldırganlarca yetkisiz erişim sağlanmış. KVKK, veri işleyenin adını açıklamadı. Saldırının ne zaman gerçekleştiği ve ne zaman tespit edildiği de bildirimde yer almıyor; yalnızca etkilenen kayıtların 2022 yılına ait olduğu belirtiliyor.

Etkilenen kişi sayısı Hepsiburada tarafında 9.882, HepsiJet tarafında 3.217; toplamda 13.099 kişi. Bazı kişilerin her iki listede de yer alma olasılığı var; ancak bildirimler bunu ayrıştırmıyor.

Etkilenen veriler: sipariş ve gönderi numaralarından şikâyet kayıtlarına

Her iki bildirimde de kimlik (ad, soyad), iletişim (cep telefonu, e-posta, adres) ve müşteri işlem verileri (sipariş numarası, gönderi numarası, talep ve şikâyet kayıtları) etkilenmiş olarak listeleniyor. Hepsiburada bildiriminde ayrıca satın alınan ve iptal edilen ürün bilgileri de var. HepsiJet bildiriminde ek olarak alışveriş platformu bilgisi ve kargo numaraları sayılıyor. Ödeme bilgisi, şifre veya özel nitelikli kişisel veri (sağlık, biyometri gibi) etkilenen veriler arasında görünmüyor.

KVKK bildiriminde satıcılar da etkilenen gruplar arasında sayılıyor; yani ihlal yalnızca müşterileri değil, Hepsiburada'da mağaza açan satıcıları da kapsıyor. Satıcılar için riskin boyutu bildirimdeki kısıtlı bilgiyle tam olarak değerlendirilemiyor; ancak sohbet kayıtlarında satıcının müşteri sorularına verdiği yanıtlar, kargo sorunları ve iade talepleri gibi ticari detaylar yer alabilir. İnceleme devam ediyor.

Etkilenen kişiler ve satıcılar ne yapmalı

• Hepsiburada müşterileri ve satıcıları: kvk@hepsiburada.com adresine ya da 0850 252 40 00 numaralı çağrı merkezine başvurarak kendi verilerinin etkilenip etkilenmediğini öğrenebilir.
• HepsiJet kullanıcıları: kvk@hepsijet.com veya 0850 558 0 333 üzerinden bilgi alabilir.
• 2022 yılında Hepsiburada müşteri hizmetleriyle ya da HepsiJet kargosuyla sohbet üzerinden iletişim kuranlar öncelikli risk grubunda. Bu kişilerin hesap şifrelerini güncellemeleri ve tanımadıkları kaynaklardan gelen sipariş ya da kargo numarası içeren mesajlara karşı dikkatli olmaları yerinde olur.
• Satıcılar: Mağaza hesaplarında olağandışı bir işlem ya da yetkisiz giriş denemesi görürseniz Hepsiburada'nın son mali tablolarındaki güvenlik yatırımı detaylarına bakabilir ve KVKK'ya bireysel başvuru hakkınızı 6698 sayılı Kanun'un 13. maddesi kapsamında 30 gün içinde kullanabilirsiniz.

KVKK, her iki bildirim için de incelemenin devam ettiğini belirtti. Kurulun sonraki kararı, şirketlere idari para cezası uygulanıp uygulanmayacağını belirleyecek. 6698 sayılı Kanun'a göre veri güvenliği yükümlülüklerine aykırılık halinde 2026 yılı için 85.437 TL ile 5.127.648 TL arasında ceza öngörülüyor.