+90 540 097 1035
ChatGPT
Gemini
Claude
Grok
PerplexityNCL (Bahamas) Ltd., müşterilerine gönderilen oltalama e-postalarından, yani kişisel bilgileri ele geçirmeye yönelik sahte e-postalardan 10 Ekim 2026 tarihinde haberdar olduğunu ve 12 Ekim 2026 tarihli incelemede bu sahte e-postalarla bağlantılı olduğu değerlendirilen zararlı faaliyet bulguları tespit ettiğini Kurula bildirdi. Bu bildirime göre, rezervasyon yönetimi için kullanılan bir web uygulamasındaki güvenlik açığından yararlanan yetkisiz kişiler en fazla 2.392 müşterinin ad, e-posta adresi, doğum tarihi ve rezervasyon numarası bilgilerine erişmiş olabilir. Yazıcı Turizm Marmaris İşletmeleri A.Ş. 25 Ekim 2026 tarihinde, Yazıcı Turizm Yatırımları ve İşletmeleri AŞ ise 26 Ekim 2026 tarihinde, verilerinin bulunduğu veri işleyen sistemlerine, yani kendileri adına veri işleyen hizmet sağlayıcının sistemlerine yetkisiz erişim sağlandığını tespit etti; iki şirketin bildirimine göre müşterilerin kimlik, iletişim ve müşteri işlem bilgileri etkilendi ve etkilenen kişi sayısının tespiti sürüyor. Kişisel Verileri Koruma Kurulu, 4 Kasım 2026 tarihli ve 2026/2437, 2026/2441 ile 2026/2442 sayılı kararlarıyla üç bildirimin Kurumun internet sitesinde ilan edilmesine karar verdi.
Rezervasyon bilgileri NCL (Bahamas) Ltd. tarafından işlenen müşteriler, özellikle de bu şirket adına gönderilmiş gibi görünen e-postaları alanlar, ihlalden doğrudan etkilenebilir. Yazıcı Turizm Marmaris İşletmeleri A.Ş. ile Yazıcı Turizm Yatırımları ve İşletmeleri AŞ'nin müşterileri de kimlik, iletişim ve işlem bilgileri bakımından etkilenen grup arasında yer alıyor. Müşteri verilerini dış hizmet sağlayıcıların sistemlerinde tutan turizm ve konaklama işletmeleri de bu duyurulardan ders çıkarabilir.
Kurulun kararlarının dayanağı, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun veri güvenliğine ilişkin yükümlülükleri düzenleyen 12. maddesinin beşinci fıkrasıdır. Bu hükme göre, işlenen kişisel veriler kanuni olmayan yollarla başkalarınca elde edilirse veri sorumlusu bu durumu en kısa sürede ilgili kişiye ve Kurula bildirir. Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen gerçek veya tüzel kişidir. Kurul, gerek görürse bildirimi kendi internet sitesinde veya uygun göreceği başka bir yolla ilan edebilir.
Üç duyuruda da Kurul, inceleme devam ederken bildirimin kamuoyuna açıklanmasına karar verdi. NCL (Bahamas) Ltd. bildirimine göre ihlal, rezervasyon yönetiminde kullanılan bir web uygulamasındaki güvenlik açığından kaynaklandı ve ele geçirilen bilgiler müşterilere sahte e-posta göndermek için kullanıldı. İki Yazıcı Turizm şirketinde ise ihlal, veri işleyen sistemlerine, yani veri sorumlusu adına veri işleyen hizmet sağlayıcının sistemlerine yetkisiz erişim sonucunda gerçekleşti. Bu iki bildirimde etkilenen kişi sayısı henüz belirlenmiş değil.
İlanın pratik amacının, etkilenmiş olabilecek kişilerin kendilerini koruyacak önlemleri zamanında alabilmesi olduğu değerlendirilebilir. Ad, doğum tarihi ve rezervasyon numarası gibi bilgiler sahte e-postaları gerçek bir yazışma gibi göstermek için kullanılabildiğinden, ilgili kişilerin gelen iletileri daha dikkatli değerlendirmesi beklenebilir. NCL (Bahamas) Ltd. çağrı merkezi kanalını, iki Yazıcı Turizm şirketi ise birer e-posta adresini bilgi almak için ilgili kişilere duyurdu.
Duyurulara göre konuya ilişkin inceleme henüz tamamlanmadı. İncelemenin sonunda Kurulun, veri sorumlularının veri güvenliği yükümlülüklerine ve bildirimin en kısa sürede yapılması şartına uyup uymadığını değerlendirmesi beklenebilir. Veri işleyen sistemlerinden kaynaklanan ihlallerde sorumluluğun veri sorumlusu ile hizmet sağlayıcı arasında nasıl paylaşılacağı da incelemenin açık soruları arasında değerlendirilebilir.
- NCL (Bahamas) Ltd. müşterilerinin, adlarını, doğum tarihlerini veya rezervasyon numaralarını içeren e-postalardaki bağlantılara tıklamadan önce şirketin resmî kanallarından doğrulama yapması önerilir.
- Yazıcı Turizm şirketlerinde etkilenen kişi sayısı henüz belirlenmediğinden, bu işletmelerin müşterilerinin her şirketin duyurduğu e-posta adresinden bilgi talep etmesi yararlı olabilir.
- Veri sorumluları, kişisel verilerin hukuka aykırı biçimde elde edildiğini öğrendiklerinde bu durumu en kısa sürede hem ilgili kişilere hem de Kurula bildirmekle yükümlüdür.
Bu şirketlerden birinin müşterisiyim, verilerimin etkilenip etkilenmediğini nasıl öğrenebilirim?
Doğrudan veri sorumlusu şirkete başvurarak bilgi alabilirsiniz. NCL (Bahamas) Ltd. bunun için çağrı merkezini, iki Yazıcı Turizm şirketi ise birer e-posta adresini duyurdu. Yazıcı Turizm şirketlerinde etkilenen kişi sayısının tespiti hâlâ sürüyor.
Rezervasyon numaramı içeren bir e-posta aldım, bu e-postaya güvenebilir miyim?
Gerçek bilgilerinizi içermesi, e-postanın güvenilir olduğunu tek başına göstermez. NCL (Bahamas) Ltd. bildirimine göre ele geçirilen ad, doğum tarihi ve rezervasyon numarası bilgileri müşterilere sahte e-posta göndermek için kullanıldı. Bağlantılara tıklamadan ve bilgi paylaşmadan önce şirketin resmî kanallarından doğrulama yapmanız yerinde olur.
Kurulun ihlali ilan etmesi şirketlerin ceza aldığı anlamına mı gelir?
Hayır, duyurularda yalnızca bildirimlerin ilan edilmesine karar verildiği belirtiliyor; bir yaptırımdan söz edilmiyor. Kurul bu kararı 6698 sayılı Kanun'un 12. maddesine dayanarak verdi; inceleme ise sürüyor. Şirketler hakkında ayrıca bir karar verilip verilmeyeceği incelemenin sonucuna bağlıdır.