KVKK'nın Ekim 2026 İhlal İlanları: Şifrelenen Sunucular ve Yedeğin Rolü

Kişisel Verileri Koruma Kurumu (KVKK) Ekim 2026'da iki büyük toplu ilan yayımladı. 7 Ekim'deki ilanda yer alan 17 veri ihlali bildiriminin 12'sinde verilerin şifrelendiği belirtiliyordu; 21 Ekim'de 10 yeni bildirim daha geldi. Listede üniversiteler, bir büyükşehir belediyesi, sağlık kuruluşları ve tanınmış gıda markaları var.

Ağustos'ta ise başka bir ülkeden, hosting sektörünü doğrudan ilgilendiren bir haber geldi: bir hosting firması fidye yazılımı saldırısında sanallaştırma sunucularındaki müşteri verisinin kurtarılamayacağını açıkladı ve müşterilerine "varsa kendi yedeklerinizden geri yükleyin" dedi. Bu yazıda bu olayların ortak dersini ve küçük-orta ölçekli bir site sahibinin bundan ne çıkarması gerektiğini ele alıyoruz.

Ekim'de neler ilan edildi?

Yıldız Teknik Üniversitesi

KVKK'nın 7 Ekim 2026 tarihli kamuoyu duyurusuna göre ihlal 1 Ekim'de başladı ve aynı gün tespit edildi. Saldırı türü fidye yazılımı; etkilenen sistemler sanallaştırma altyapısı ve bu altyapı üzerinde çalışan sunucular. Etkilenmiş olabilecek kişi sayısı yaklaşık 140.000 öğrenci ve 4.500 personel olarak bildirildi; ziyaretçi sayısı ve etkilenen veri kategorileri duyuru tarihinde henüz belirlenememişti. Üniversite ise sistem dışına veri aktarıldığına dair bir bulguya rastlanmadığını açıkladı.

7 Ekim toplu ilanı: 17 bildirim, 12'sinde şifreleme

Aynı gün yayımlanan bildirimlerin derlemelerine göre tespit tarihleri 28 Eylül ile 3 Ekim arasına yayılıyor. Öne çıkan bir örüntü, çağrı merkezi ve görüşme kaydı altyapısı sağlayan firmalara yönelik saldırılar; bu firmaların müşterisi olan birden fazla şirket de ayrı ayrı bildirimde bulundu. Bildirimlerin büyük kısmında etkilenen kişi sayısı belirlenemedi.

21 Ekim toplu ilanı: 10 bildirim

• Fidye yazılımı ve şifreleme: Ankara'da özel bir sağlık kuruluşunda sunucuların şifrelendiği ve fidye notu bırakıldığı bildirildi; bir vakıf da benzer bir saldırı bildirdi.
• Tedarikçi kaynaklı açıklar: Üç tanınmış gıda ve sağlık ürünleri firmasında, veri işleyen bir hizmet sağlayıcının sunucusundaki üçüncü taraf bir kütüphane açığı istismar edildi. Etkilenen kişi sayısı bu üç bildirimde toplam 130.000'i aşıyor.
• Yazılım açığı, çalıntı parola ve sosyal mühendislik: Bir üniversitede kullanılan yazılımdaki açık, bir belediyede daha önce çalınmış bir kurumsal e-posta parolası, iki şirkette ise oltalama ve telefonla dolandırıcılık.

Hosting firması şifrelenirse ne olur?

Ağustos 2026'da Hindistan merkezli hosting firması HostDZire, birden fazla VMware ESXi sanallaştırma sunucusunun fidye yazılımıyla şifrelendiğini duyurdu. Firmanın müşterilere yaptığı açıklamaya göre bu sunuculardaki veriler kaybolmuştu ve kurtarılamıyordu. Firma sunucuları sıfırdan yeniden kurdu ve müşterilerine, varsa kendi yedeklerinden hizmetlerini geri yüklemelerini önerdi.

YTÜ olayında da saldırının hedefi sanallaştırma katmanıydı. Bu katman şifrelendiğinde, üzerinde çalışan her şey aynı anda gider: web siteleri, veritabanları, e-postalar ve aynı altyapıda tutulan yedekler. Disk aynalama (RAID) bu senaryoda işe yaramaz; şifrelenen veri, aynalanan diske de şifreli olarak yazılır.

KVKK açısından yedeğin rolü

6698 sayılı Kanun'un 12. maddesi, veri sorumlusunun kişisel verilerin güvenliği için uygun teknik ve idari tedbirleri almasını şart koşar. Kurumun yayımladığı Kişisel Veri Güvenliği Rehberi de yedeklemeyi bu teknik tedbirler arasında sayar. İhlal yaşandığında ise veri sorumlusunun öğrendiği andan itibaren 72 saat içinde Kurula bildirimde bulunması gerekir.

Şifreleme saldırılarında bu bildirimi doğru yapmak bile zordur: sisteme erişemediğiniz için hangi verinin, kaç kişinin etkilendiğini göremezsiniz. Ekim ilanlarında pek çok bildirimde "etkilenen kişi sayısı belirlenemedi" ifadesinin geçmesi tesadüf değil. Güncel ve erişilebilir bir yedek, yalnızca hizmeti geri getirmekle kalmaz; olay anında elinizde hangi verinin bulunduğunu gösteren güvenilir bir kayıt da sunar.

Unutulmaması gereken bir nokta daha var: yedek de kişisel veri içerir. Müşteri listenizin şifresiz bir kopyası, erişimi zayıf bir yerde duruyorsa, kendisi yeni bir ihlal kaynağıdır. (Bu yazı hukuki görüş değildir; kendi yükümlülükleriniz için bir uzmana danışın.)

Fidye yazılımına dayanıklı yedeğin 5 özelliği

1. Farklı altyapıda durur. Yedek, sitenin çalıştığı sunucu, sanallaştırma platformu ve hatta hosting firmasından bağımsız bir yerde olmalı. 3-2-1 kuralı bunun en bilinen formülüdür.
2. Silinemez bir kopyası vardır. Modern fidye yazılımları şifrelemeden önce erişebildikleri yedekleri arar ve siler. Belirli bir süre boyunca kimsenin silemediği (WORM) bir kopya bu adımı boşa çıkarır.
3. Şifrelidir. Saldırgan yedeğe ulaşsa bile içeriğini okuyamamalıdır; yedeğin kendisinin bir sızıntı kaynağına dönüşmemesi için bu şarttır.
4. Yeterince geriye uzanır. Saldırganlar çoğu zaman şifrelemeden günler, hatta haftalar önce sisteme girer. Yalnızca son birkaç günün kopyası varsa hepsi zaten ele geçirilmiş olabilir.
5. Test edilmiştir. Geri yüklenemeyen yedek, yedek değildir. Düzenli geri yükleme denemesi yapılmamış bir yedeğe kriz günü güvenmek, bir varsayıma güvenmektir. Test edilmemiş yedeğin tehlikesi

Yedekalma'da bunların karşılığı

• Farklı altyapı: Yedekler bizim sunucularımızda birikmez. Depolama hedefi olarak Google Drive, Amazon S3 ve S3 uyumlu servisler, OneDrive, Dropbox ya da ayrı bir sunucudaki Alıcı Modül'ü seçerseniz yedek doğrudan sizin hesabınızdaki bu depolamaya gider ve sitenizin altyapısından bağımsız durur. Yedekleri sitenin kendi sunucusunda tutuyorsanız bu koruma yoktur — sunucu şifrelenirse yedekler de onunla gider; depolama hedefinizi uzak bir hedefe geçirin.
• Silinemez kopya: Object Lock açık bir S3 kovasında WORM koruması; COMPLIANCE modunda kilit süresi boyunca hesap sahibi dahil kimse kopyayı silemez. Silinemez yedek (WORM)
• Şifreleme: İsteğe bağlı AES-256; arşiv sizin sunucunuzda, yedek oradan çıkmadan şifrelenir ve parola bizde saklanmaz. Şifreli yedekleme
• Test: Her yedek 8 katmanda doğrulanır; her alan adının en son yedeği sırayla, periyodik geri yükleme tatbikatıyla sınanır ve sonuçlar raporlanır. Belirli eski bir kopyaya güvenmeden önce onu bir test ortamına geri yükleyerek deneyin. Yedek doğrulama

KVKK yükümlülükleri açısından yedekleme düzeninizi nasıl kurgulayabileceğinizi KVKK uyumlu yedekleme sayfamızda ayrıca anlattık. Henüz bağımsız bir yedeğiniz yoksa ücretsiz deneyin.

Konuyla ilgili sayfalar: ransomware sonrası site kurtarma · felaket kurtarma planı · KVKK uyumlu yedekleme

Sık Sorulan Sorular