Asyaport Liman AŞ veri ihlali Kurul kararıyla kamuoyuna duyuruldu

Bildirimin kapsamı ve kamuya duyuru

Kişisel Verileri Koruma Kurulu, 27.10.2026 tarih ve 2026/2363 sayılı kararıyla Asyaport Liman AŞ'nin Kurula ilettiği veri ihlali bildirimini Kurum internet sitesinde ilan etme yönünde karar verdi. Duyuruya göre bildirimi yapan veri sorumlusu Asyaport Liman AŞ'dir. Bildirimde olayın 12.10.2026 tarihinde başladığı, 19.10.2026 tarihinde tespit edildiği ve ilk aşamada 855 kişiyi etkilediği belirtiliyor. Bu rakam, sürecin henüz tamamlanmadığını gösteren bir ilk tespit niteliğinde. Duyuruda inceleme sürdüğü açıkça ifade edildiği için ilan, olayın kapsamını ve sorumluluğunu nihai olarak belirleyen bir karar olarak okunmamalıdır. Kurulun ilan kararı, ihlalin ilgili kişilere ve kamuoyuna duyurulmasını sağlayan bir adım olarak öne çıkıyor.

Saldırının yöntemi ve etkilenen veriler

Bildirime göre saldırı, veri sorumlusunun değil tedarikçi firmanın kullandığı Servis Destek Masası uygulamasındaki bir güvenlik zafiyetinden yararlandı. Saldırganlar kimlik doğrulama kontrollerini atlatarak birden fazla hesabın şifresini değiştirdi ve bu hesaplara yetkisiz erişim sağladı. Sonuçta veri sorumlusuna ait belgeler ifşa oldu. Etkilenen kişisel veriler ad soyad, e-posta adresi ve telefon numarasından oluşuyor. Bildirimde ihlalden etkilenen ilgili kişi grubu olarak çalışanlar, kullanıcılar ve müşteriler sayılıyor. Böylece olay, yalnızca bir sistemin değil, farklı ilişki türlerindeki kişilerin iletişim verilerinin ilgili olabileceği bir ihlal olarak görülüyor. Duyuruda ifşa olan belgelerin içeriğine ilişkin ayrıntı bulunmadığından, etkilenen veri kategorilerinin bu kadar sınırlı kalıp kalmayacağı da açık değildir.

Hukuki dayanak: 12. maddenin beşinci fıkrası

Duyurunun dayanağı, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun veri güvenliğine ilişkin yükümlülükleri düzenleyen 12. maddesinin beşinci fıkrasıdır. Bu hükme göre işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu durumu en kısa sürede ilgilisine ve Kurula bildirmek zorundadır. Hüküm, Kurula bir ilan yetkisi de tanır: Kurul gerekmesi hâlinde bu durumu kendi internet sitesinde ya da uygun göreceği başka bir yöntemle duyurabilir. Dolayısıyla bu olayda ilan, bildirim yükümlülüğünden ayrı ve Kurulun takdirine bağlı bir adım olarak karşımıza çıkıyor. Hükmün metni, bildirimin ne kadar sürede yapılması gerektiğini bir gün sayısıyla belirtmiyor; yalnızca “en kısa sürede” ifadesini kullanıyor. Bu nedenle ihlalin tespit tarihi ile bildirim tarihi arasındaki süre, ayrıca değerlendirilmesi gereken bir konu olarak kalıyor.

Olayın olası nedenleri Analiz

Bildirimdeki olgular, olayın tetikleyicisinin tedarikçi tarafındaki bir zafiyet olduğunu gösteriyor. Kimlik doğrulama kontrollerinin atlatılabilmesi, uygulamanın oturum ve şifre değişikliği süreçlerinde yeterli bir ikinci doğrulama katmanı bulunmadığına işaret edebilir. Bu değerlendirme yalnızca bildirimde yer alan “kimlik doğrulama kontrollerini atlatarak” ifadesine dayanıyor; zafiyetin teknik niteliği hakkında ayrıntı yok. İhlalin 12.10.2026'da başlayıp 19.10.2026'da tespit edilmesi, saldırının fark edilmeden bir süre sürdüğünü gösteriyor. Tespit gecikmesinin nedeni, izleme kayıtlarının yetersizliği ya da tedarikçi ile veri sorumlusu arasındaki bilgi akışı olabilir; ancak bildirimde bu konuda bir açıklama bulunmuyor. Veri sorumlusunun dış hizmet sağlayıcıya bağımlılığı, bu tür zincirlerde kontrol açığının nerede doğabileceğini gösteren genel bir risk alanı olarak değerlendirilebilir.

Olası sonuçlar Analiz

En somut sonuç, etkilenen kişilerin ad soyad, e-posta ve telefon bilgilerinin üçüncü kişilerin elinde bulunabilmesidir. Bu veriler, kişilere yönelik dolandırıcılık ve kimlik avı girişimlerinde kullanılabilir; bu bir olasılık olup duyuruda böyle bir kötüye kullanımın gerçekleştiğine dair bilgi yer almıyor. Sonuçların büyüklüğü ilk aşamadaki 855 kişilik tespite bağlı. Duyuruda kaydedilen ifade “ilk aşamada” olduğu için bu sayının inceleme ilerledikçe değişebileceği, ilgili kişi grubunun genişleyebileceği de düşünülebilir. Veri sorumlusu açısından ise ilgili kişilere ulaşım kanalının açık tutulması, duyuru sonrasında başvuruların yoğunlaşması ve başvuru yönetiminin yükünü artırabilir. Bu etkilerin hangi ölçüde gerçekleşeceği, incelemenin sonucuna ve veri sorumlusunun alacağı tedbirlere bağlı kalacaktır.

Karşı ihtimaller ve sınırlar Analiz

İlanın, ihlalin büyüklüğü hakkında kesin bir hüküm taşımadığını akılda tutmak gerekir. Kurulun kararı, ihlalin kamuya duyurulmasını sağlıyor; ancak duyuru, ihlalin hangi ölçüde veri sorumlusunun kusurundan kaynaklandığını ya da hangi yaptırımın uygulanacağını belirtmiyor. Duyurunun kendisi “inceleme devam etmekle birlikte” ifadesiyle sınırlı bir aşamayı tarif ediyor. Bu nedenle, tedarikçi zafiyetinin tek başına veri sorumlusunun sorumluluğunu ortadan kaldırıp kaldırmayacağı ya da kaldırmayacağı sorusu, inceleme sonucunda netleşecek bir konu olarak açık kalıyor.

Bir başka karşı ihtimal, ilk aşamadaki 855 kişilik rakamın gerçek etkilenen sayıyı yansıtmadığıdır. Bildirimde “ilk aşamada” ifadesi kullanıldığından, tespitlerin genişlemesi mümkün görünüyor. Ancak bu genişlemenin gerçekleşip gerçekleşmediğine dair kaynakta bir bilgi yok; yalnızca bir olasılık olarak anılabilir.

Aynı kurumun benzer bir ilanı

Kurulun aynı yöntemle yaptığı başka bir duyuru da bulunuyor. 07.10.2026 tarih ve 2026/2203 sayılı kararıyla Yıldız Teknik Üniversitesi'nin bildirdiği veri ihlali Kurum internet sitesinde ilan edilmiştir. Bu ilanda ihlalin 01.10.2026'da başladığı, bir fidye yazılımı saldırısından kaynaklandığı ve öğrenci, personel ile ziyaretçileri ilgilendirdiği belirtiliyor. İki olay arasında doğrudan bir bağ kurulmuş değil; ortak nokta, Kanunun 12. maddesinin beşinci fıkrasındaki ilan yetkisinin kullanılmasıdır. Bu benzerlik, Kurulun bildirimleri ilan etme pratiğinin bir örneği olarak okunabilir; ancak bir uygulama eğilimi olduğunu göstermek için iki ilan yeterli değildir.

Açık kalan sorular Açık soru

Duyurudan anlaşılamayan birkaç konu bulunuyor. Birincisi, saldırının gerçekleştiği uygulamayı işleten tedarikçi firmanın kimliği ve veri sorumlusu ile aralarındaki sözleşmesel ilişki açıklanmamıştır. İkincisi, ilgili kişilere ayrı bir bildirim yapılıp yapılmadığı, yapıldıysa hangi yöntemle yapıldığı duyuruda yer almaz. Üçüncüsü, inceleme sonucunda ihlalin kapsamının genişleyip genişlemeyeceği, 855 kişilik ilk tespitin değişip değişmeyeceği bilinmemektedir. Dördüncüsü, ifşa olan belgelerin hangi nitelikte olduğu ve bu belgelerin ad soyad ile iletişim bilgisinin dışında başka veri içerip içermediği belirsizdir. Bu sorular yanıtlanmadan, olayın hukuki ve pratik etkisinin tam olarak değerlendirilmesi mümkün değildir.

Bu yazı Saygılı Yarlıg AI tarafından kamuya açık bilgiler araştırılarak hazırlanmıştır; bilgilendirme amaçlıdır, hukuki görüş değildir.