KVKK üç online mağazadaki veri ihlalini duyurdu: 133 bin kişiye kadar etkilenmiş olabilir

Kısaca

• Üç bildirimde etkilenen kişi sayısı toplam 133.132'ye kadar çıkıyor: 67.193 (Güllüoğlu), 50.636 (Dermojet) ve en fazla 15.303 müşteri (Mehmet Efendi).
• Ad soyad, telefon, e-posta, adres ve şifrelerin saklanan (özetlenmiş) değerleri etkilenen veriler arasında.
• Güllüoğlu ve Mehmet Efendi bildirimlerinde satıcı/yönetim paneli kullanıcı hesapları da etkilenenler arasında sayılıyor.

Kişisel Verileri Koruma Kurulu, 21.10.2026 tarihli ve 2026/2281 sayılı kararıyla üç şirketin veri ihlali bildirimlerinin Kurum'un internet sitesinde yayımlanmasına karar verdi. Bildirimler, online satış yapan üç şirketin internet sitelerine ilişkin: dermojet.com.tr, karakoygulluoglu.com ve mehmetefendi.com.

Üç bildirimde ihlal aynı biçimde tarif ediliyor: veri işleme sistemlerindeki bir sunucuya, kullanılan üçüncü taraf bir yazılım kütüphanesindeki güvenlik açığından yararlanılarak yetkisiz erişim sağlandı. İhlaller, her üç şirkette de veri işleyenin bildirimi üzerine fark edildi. Tespit tarihleri Dermojet için 10.09.2026, Kurukahveci Mehmet Efendi için 07.10.2026, Güllüoğlu için 08.10.2026 olarak verildi. Bildirimlerde ihlalin başladığı tarih ve kullanılan yazılımın adı yer almıyor.

Güllüoğlu bildirimine göre ihlalden 67.193 kullanıcı etkilendi; mağaza müşterilerinin ad soyad, telefon, e-posta, adres bilgileri ile saklanan şifre değerleri ve satıcı paneli kullanıcı hesap bilgileri etkilenen veriler arasında. Dermojet bildiriminde 50.636 müşteri ve potansiyel müşterinin ad soyad, telefon, e-posta, adres bilgileri ile özetlenmiş şifreleri ve kullanıcı giriş bilgileri sayılıyor. Kurukahveci Mehmet Efendi bildiriminde ise etkilenenlerin en fazla 15.303 nihai müşteri ile 18 yönetim paneli hesabı sahibinden oluşabileceği belirtiliyor.

Kurum, her üç bildirimde de konuya ilişkin incelemenin devam ettiğini vurguluyor.

Kimi etkiler?

Kendi e-ticaret sitesini hazır altyapı, eklenti veya dış yazılım kütüphaneleriyle işleten tüm satıcılar için uyarı niteliğinde. Üç ihlalde de saldırı satıcının kendi kodundan değil, kullanılan üçüncü taraf bir yazılım bileşenindeki açıktan kaynaklandı ve ihlal satıcıya veri işleyen tarafından bildirildi. Söz konusu sitelerde hesabı olan müşteriler de şifrelerini değiştirmeleri için şirketlerin bildirdiği kanallardan bilgi alabilir.

Ne yapmalı?

• Altyapı sağlayıcınızdan, kullandığınız eklenti ve yazılım kütüphanelerinin güncel olduğuna dair bilgi isteyin; güncellemeleri ertelemeyin.
• Satıcı ve yönetim paneli hesaplarında güçlü, benzersiz şifre ve iki adımlı doğrulama kullanın; artık çalışmayan kişilerin hesaplarını kapatın.
• Veri işleyenlerle (altyapı, barındırma, entegrasyon firmaları) yaptığınız sözleşmelerde ihlal bildirimi yükümlülüğünün ve iletişim kişisinin tanımlı olduğunu kontrol edin.
• Bir ihlal fark ettiğinizde KVKK'ya bildirim yükümlülüğünüzü ve sürelerini hukuk danışmanınızla önceden netleştirin.