+90 540 097 1035
ChatGPT
Gemini
Claude
Grok
PerplexityKişisel Verileri Koruma Kurulu, incelemesi devam ederken 21.10.2026 tarih ve 2026/2281 sayılı Kararı ile Dermojet Sağlık Ürünleri Sanayi ve Ticaret Anonim Şirketi, Güllüoğlu Gıda San. ve Tic. AŞ ve Kurukahveci Mehmet Efendi Mahdumları Gıda Sanayi ve Ticaret Anonim Şirketi tarafından yapılan veri ihlali bildirimlerinin Kurumun internet sitesinde ilan edilmesine karar verdi. Bildirimlere göre her üç olayda da üçüncü taraf yazılım kütüphanesindeki güvenlik zafiyeti istismar edilerek veri işleyenin, yani verileri şirketler adına işleyen hizmet sağlayıcının sistemlerinde verilerin bulunduğu bir sunucuya yetkisiz erişildi. Şirketler ihlali veri işleyenin bildirimi üzerine öğrendi; ihlal Dermojet'te 10.09.2026 tarihli bildirimle, Kurukahveci Mehmet Efendi'de 07.10.2026 tarihinde, Güllüoğlu'nda ise 08.10.2026 tarihinde tespit edildi. Dermojet'te 50.636 müşteri ve potansiyel müşteri, Güllüoğlu'nda 67.193 kullanıcı etkilendi; Kurukahveci Mehmet Efendi'de ise etkilenmiş olabilecek kişilerin en fazla 15.303 nihai müşteri ile 18 yönetim paneli hesabı sahibinden oluşabileceği belirtildi. Etkilenen bilgiler ad-soyad, telefon numarası, e-posta adresi, adres bilgisi ile parola ve kullanıcı giriş bilgileridir; Güllüoğlu ve Kurukahveci Mehmet Efendi'de satıcı paneli kullanıcı hesapları da etkilendi.
Bu üç şirketin internet sitelerinden alışveriş yapan veya üye olan müşteriler, potansiyel müşteriler ve Kurukahveci Mehmet Efendi bakımından çalışanlar doğrudan etkileniyor. Satıcı ve yönetim paneli hesabı bulunan kullanıcılar ile e-ticaret altyapısını dış hizmet sağlayıcılar ve üçüncü taraf yazılım kütüphaneleri üzerinden işleten şirketler de bu gelişmeyi yakından izlemelidir.
İlanın dayanağı, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun veri güvenliğine ilişkin yükümlülükleri düzenleyen 12. maddesinin (5) numaralı fıkrasıdır. Bu hükme göre işlenen kişisel veriler kanuni olmayan yollarla başkalarınca elde edilirse, veri sorumlusu durumu en kısa sürede ilgili kişiye ve Kurula bildirir. Kurul da gerekli gördüğünde bu bildirimi kendi internet sitesinde veya uygun göreceği başka bir yöntemle ilan edebilir.
Bildirimlere göre üç olayda da ihlal, veri sorumlusunun, yani verileri kendi adına işleten şirketin sistemlerinde değil, veri işleyenin, yani verileri şirket adına işleyen hizmet sağlayıcının sunucusunda gerçekleşti. Bildirimi ise veri sorumlusu sıfatıyla şirketlerin kendisi yaptı. Duyurular, ihlallerin aynı veri işleyende veya aynı zafiyetten kaynaklanıp kaynaklanmadığını açıkça belirtmiyor; ancak üç bildirimin aynı mekanizmayı anlatmasının ve aynı Kurul kararıyla ilan edilmesinin ortak bir kaynağa işaret ettiği değerlendirilebilir.
Uygulamada bu tablodan, veri işleyenin kullandığı yazılım bileşenlerindeki bir açığın birden fazla veri sorumlusunu aynı anda bildirim yükümlülüğü altına sokabileceği sonucu çıkarılabilir. Etkilenen kişiler için en belirgin risk, ele geçirilen iletişim bilgileriyle yapılabilecek oltalama girişimleri ve aynı parolanın başka hizmetlerde de kullanılması hâlinde ortaya çıkabilecek hesap ele geçirmeleridir. Şirketlerin hizmet sağlayıcılarla yaptıkları sözleşmelerde güvenlik açığı bildirimi ve sorumluluk paylaşımına ilişkin hükümleri gözden geçirmesi beklenebilir.
Kurulun incelemesi sürüyor ve sonucu henüz açıklanmadı. İncelemede veri sorumlularının ve veri işleyenin gerekli teknik ve idari tedbirleri alıp almadığının ve bildirimlerin zamanında yapılıp yapılmadığının değerlendirilmesi beklenebilir.
- Bu şirketlere üye olan kişilerin, aynı parolayı kullandıkları diğer hesaplarda da parolalarını değiştirmeleri yerinde olur.
- Etkilenen kişiler, şirket veya Kurum adına gelen ve parola ya da ödeme bilgisi isteyen e-posta, SMS ve aramalara karşı dikkatli olmalıdır.
- İşledikleri kişisel verilerin kanuni olmayan yollarla başkalarınca elde edildiğini veri işleyen hizmet sağlayıcısından öğrenen şirketler, 6698 sayılı Kanun'un 12. maddesinin (5) numaralı fıkrası uyarınca durumu en kısa sürede ilgili kişilere ve Kurula bildirmekle yükümlüdür.
Bu şirketlerden birinden alışveriş yaptım, bilgilerimin etkilenip etkilenmediğini nasıl öğrenebilirim?
İlgili şirketin duyuruda belirtilen iletişim kanallarından bilgi alabilirsiniz. Dermojet için info@dermojet.com.tr adresi ve şirketin internet sitesi, Güllüoğlu için çağrı merkezi, info@karakoygulluoglu.com adresi ve internet sitesi gösterildi. Kurukahveci Mehmet Efendi için ise kvkk@mehmetefendi.com adresi bildirildi.
Parolam ele geçirildiyse ne yapmalıyım?
Öncelikle ilgili sitedeki parolanızı ve aynı parolayı kullandığınız diğer hesaplardaki parolaları değiştirmeniz yerinde olur. Dermojet ve Kurukahveci Mehmet Efendi duyurularına göre parolalar hash'lenmiş, yani okunamaz biçime dönüştürülmüş olarak saklanıyordu. Güllüoğlu duyurusunda ise saklanan şifre değerlerinin etkilendiği belirtiliyor, ancak saklama yöntemine yer verilmiyor. Hash'leme her durumda tam koruma sağlamayabileceği için önlem almak makul olacaktır.
İhlal hizmet sağlayıcının sunucusunda olduysa şirketin bildirim yükümlülüğü var mı?
Evet, 6698 sayılı Kanun'un 12. maddesinin (5) numaralı fıkrası bildirim yükümlülüğünü veri sorumlusuna yükler. Bu olaylarda da ihlal veri işleyenin sunucusunda gerçekleşmesine rağmen bildirimi veri sorumlusu şirketler yaptı. Bildirimlere göre veri işleyenin ihlali veri sorumlusuna haber vermesi, bu sürecin başlangıç noktasını oluşturdu.