KVKK 11 Kasım 2026 Veri İhlali Bildirimleri: Pegasus, DHL, Bursa TSO ve 4 Kuruluş

Kişisel Verileri Koruma Kurulu, 11 Kasım 2026 tarihli kararlarıyla yedi veri sorumlusunun veri ihlali bildirimini Kurumun internet sitesinde ilan etti; listede Pegasus Hava Taşımacılığı A.Ş. (11.762 kişi), DHL AG (Türkiye’de istihdam edilen 10.622 çalışan), Bursa Ticaret ve Sanayi Odası, Air India Limited, Ethica Sigorta A.Ş., Stemline Therapeutics, Inc. ve Mard-Inn Hotel’in işletmecisi Sadunoğlu İnşaat yer alıyor.

Künye

Yedi Bildirimin Özeti

Pegasus ve DHL: Sayısı Bildirilen İki İhlal

Pegasus’un Kurula ilettiği bildirime göre bilgi teknolojileri talep ve geliştirme sistemine ait yönetici (admin) parolası kullanılarak yetkisiz erişim sağlandı; parolanın nasıl elde edildiği kesin olarak tespit edilemedi. İhlal 12 Ekim 2026’da başladı, 26 Ekim 2026’da tespit edildi. Etkilenen veri kategorileri kimlik ve iletişim verileri, etkilenen kişi grubu çalışanlar ve kullanıcılar, kişi sayısı 11.762. Bildirimde yolcu rezervasyonu veya ödeme verisinden söz edilmiyor.

DHL AG’nin bildiriminde ihlal, merkezi olarak yürütülen çalışan anketleri için hizmet alınan veri işleyenin veri analizi ve raporlama ortamına yetkisiz erişimle gerçekleşti. Tespit tarihi 2 Kasım 2026. Kimlik, iletişim ve özlük verileri etkilendi; Türkiye’de istihdam edilen 10.622 çalışanın verisinin ihlalden etkilendiği belirtiliyor. Etkilenen grup müşteriler değil, çalışanlardır.

Bursa TSO, Otel ve Havayolu Bildirimleri

Bursa Ticaret ve Sanayi Odası SQL injection saldırısına maruz kaldığını bildirdi. Olay, 2 Kasım 2026’da veri tabanı hizmetinin durması üzerine yapılan kontrollerde tespit edildi. Üye firma ve şahıslara ait kimlik, iletişim, üyelik ve tahsilat kayıtları dışarı aktarıldı; genel muhasebe kayıtları etkilenmedi. Etkilenen kişi ve kayıt sayısı henüz kesin olarak belirlenemedi.

Mard-Inn Hotel’i işleten Sadunoğlu İnşaat’ın bildirimine göre sunucu sistemlerine ve misafir kablosuz ağ altyapısına yönelik siber saldırıyla sistem ve dosyalara erişim engellendi, otel misafirlerinin verileri ele geçirildi. İhlal 27 Ekim 2026’da başladı ve aynı gün tespit edildi. Air India’nın bildiriminde ise veri işleyen sistemlerindeki seyahat rezervasyonu verilerine yetkisiz erişim anlatılıyor: ihlal 10 Ağustos 2023’te başlamış, 23 Eylül 2026’da sona ermiş ve veri işleyenin haber vermesiyle 3 Kasım 2026’da tespit edilmiş. Sınırlı sayıda ad-soyad, kısmi PNR kaydı, uçuş tarihi ve numarası ile maskelenmiş kart bilgisi etkilenmiş.

Eski Tarihli İki Olay: Ethica Sigorta ve Stemline

Ethica Sigorta’nın bildirdiği ihlal yeni değil: hasar danışmanlığı alınan firmanın alt tedarikçi yazılımındaki açık nedeniyle hasar dosyalarına 15 Ocak – 14 Şubat 2022 arasında yetkisiz erişim sağlanmış. Etkilenen kalemler arasında 3.091 araç plakası, 2.256 şasi numarası, 657 cep telefonu ve 153 IBAN bilgisi sayılıyor; ad, soyad ve TC kimlik numarası da listede. Şirket bilgi almak için 0850 888 0909 numarasını ve iletisim@ethicasigorta.com.tr adresini bildirdi. Stemline Therapeutics’in bildiriminde ise alt veri işleyenin bilgi teknolojileri personelinin sesli oltalama yöntemiyle taklit edildiği, bazı bulut uygulamalarına erişildiği, alt veri işleyende verisi işlenen azami kişi sayısının 18 olduğu ve özel nitelikli veri kategorilerinin takma adlandırılmış biçimde işlendiği belirtiliyor.

Bir önceki toplu ilan için KVKK 4 Kasım 2026 veri ihlali bildirimleri sayfamıza, bildirim yükümlülüğünün süresi için veri ihlali bildirimi süresi rehberimize bakabilirsiniz.

Kurulun İlanı Ne Anlama Geliyor?

6698 sayılı Kanun’un 12. maddesinin 5. fıkrası, işlenen kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde veri sorumlusunun durumu en kısa sürede ilgilisine ve Kurula bildirmesini öngörür; Kurul gerekirse bunu kendi sitesinde ilan edebilir. İlan, bir yaptırım kararı değildir; duyuruların hepsinde incelemenin sürdüğü yazıyor. Verisi etkilenmiş olabileceğini düşünen kişiler, veri sorumlusunun kendi iletişim kanallarından bilgi isteyebilir ve parolalarını değiştirmek, beklenmedik arama ve mesajlara karşı dikkatli olmak gibi önlemler alabilir.

Bu Sayfada Ne Yok?

• İdari para cezası veya başka bir yaptırım: duyurularda yer almıyor, inceleme sürüyor.
• Saldırının faili ve saldırganın kimliği: hiçbir bildirimde belirtilmemiş.
• Bursa TSO, Air India ve Mard-Inn Hotel olaylarında etkilenen kişi sayısı: veri sorumluları henüz belirleyemediğini bildirdi.
• Pegasus olayında “yolcu verileri” ifadesi: bildirimde etkilenen grup çalışanlar ve kullanıcılar olarak geçiyor; yolcu ayrımı yapılmamış.
• Stemline bildirimindeki bireylere ait sağlık ayrıntısı: yalnızca veri kategorisi aktarılmıştır.
• Şirketlerin Kurul dışındaki kendi kamuoyu açıklamaları: bu sayfa için okunmadı.
• Ethica olayının tespit ve bildirim tarihi: duyuruda yer almadığı için yazılmamıştır.

Sık Sorulan Sorular

KVKK 11 Kasım 2026’da kaç veri ihlali ilan etti?

Yedi. Hepsi Kurulun 11 Kasım 2026 tarihli kararlarıyla Kurumun internet sitesinde yayımlandı.

Pegasus veri ihlalinden kaç kişi etkilendi?

Bildirime göre 11.762 kişi. Etkilenen veriler kimlik ve iletişim, etkilenen grup çalışanlar ve kullanıcılardır.

DHL ihlali müşterileri etkiledi mi?

Bildirimde etkilenen grup çalışanlar olarak geçiyor; Türkiye’de istihdam edilen 10.622 çalışanın verisi etkilendi.

Bursa TSO’ya nasıl bir saldırı yapıldı?

Oda SQL injection saldırısına maruz kaldığını bildirdi. Üye kayıtları dışarı aktarıldı; genel muhasebe kayıtları etkilenmedi.

Ethica Sigorta ihlali yeni mi?

Hayır. Bildirime göre ihlal 15 Ocak – 14 Şubat 2022 arasında yaşandı; Kurul ilanı 11 Kasım 2026’da yapıldı.

Bu şirketlere ceza verildi mi?

Duyurularda ceza yok. Kurul incelemenin sürdüğünü belirtiyor; ilan bir yaptırım kararı değildir.

Kaynak ve kapsam: Bilgiler Kişisel Verileri Koruma Kurumu’nun 11 Kasım 2026 tarihli yedi veri ihlali bildirimi duyurusundan (Kurul kararları 2026/2483–2494) okunmuştur. Yaptırım, fail ve henüz belirlenmemiş kişi sayıları duyurularda bulunmadığından yazılmamıştır. Veri tarihi: 12 Kasım 2026.