Akropol Turizm Yatırımları İnşaat ve Dış Ticaret Anonim Şirketi (MW Phokaia Beach & Resort) veri ihlali bildirimi KVKK tarafından yayımlandı (21 Ekim 2026)

• Kurum: Akropol Turizm Yatırımları İnşaat ve Dış Ticaret Anonim Şirketi (MW Phokaia Beach & Resort)
• Kurul kararı: 21 Ekim 2026, 2026/2285
• Yayın tarihi: 21 Ekim 2026

Kurulun 21 Ekim 2026 tarihli ve 2026/2285 sayılı kararı uyarınca, söz konusu veri ihlali bildiriminin kamuoyuna duyurulmasına karar verilmiştir.

Veri sorumlusu sıfatıyla ilgili kurum tarafından iletilen bilgilere göre, siber güvenlik olayı doğrudan işletmenin bilgi işlem altyapısına ve kurumsal elektronik posta hesaplarına yönelik gerçekleşmiştir. Yaşanan bu durum, tesisin dijital operasyonel süreçlerini ve veri güvenliğini doğrudan ilgilendiren bir siber güvenlik vakası olarak kaydedilmiştir.

Siber güvenlik olayı ve şüpheli erişim süreci

Meydana gelen siber güvenlik olayları sonucunda, kurumsal hesaplar üzerinde yetkisiz erişim şüphesi bulunmaktadır. Söz konusu şüpheli erişimlerin, veri sorumlusunun operasyonel faaliyetleri sırasında kritik öneme sahip olan hesapları hedef aldığı anlaşılmaktadır. Bu süreçte, hesapların içeriğinde yer alan verilerin ihlalden etkilenip etkilenmediğinin tespiti amacıyla kapsamlı bir inceleme başlatılmıştır.

Şu anki aşamada, yetkisiz erişim şüphesi bulunan hesapların içerisinde; veri sorumlusu çalışanlarının, tesiste konaklayan misafirlerin, tedarikçilerin ve iş ortaklarının gerçek kişi temsilcilerine ait kişisel verilerin bulunmasının mümkün olduğu değerlendirilmektedir. Bu durum, siber saldırganların veya yetkisiz kişilerin geniş bir veri yelpazesine ulaşma ihtimalini doğurmaktadır.

İhlalden etkilenmesi muhtemel veri kategorileri

İnceleme süreci devam ederken, hangi verilerin ihlalden doğrudan etkilendiği henüz kesinleşmemiştir. Ancak, kurumsal hesaplarda ve sistemlerde bulunması muhtemel olan ve araştırma konusu yapılan veri kategorileri şunlardır:

• Kimlik ve iletişim bilgileri,
• Kurumsal elektronik posta yazışmalarındaki gerçek kişilere ait bilgiler,
• Rezervasyon ve konaklama süreçlerine ilişkin kişisel veriler,
• Çalışanlara ilişkin özlük ve iletişim bilgileri,
• Gerçek kişilere ait finansal veya işlem bilgileri.

Veri sorumlusu, olayın başlangıç ve bitiş tarihini, etkilenen hesapların detaylarını, hangi veri kategorilerinin ihlalden etkilendiğini, etkilenen toplam kişi sayısını ve olası bir veri aktarımının gerçekleşip gerçekleşmediğini belirlemek üzere teknik inceleme sürecini titizlikle yürütmektedir.

Veri güvenliği ve yasal yükümlülükler hakkında genel bilgilendirme

Kişisel verilerin korunması, dijital dünyada bireylerin mahremiyetinin sağlanması adına hayati önem taşımaktadır. Veri sorumluları, işledikleri verilerin güvenliğini sağlamak amacıyla gerekli her türlü teknik ve idari tedbiri almakla yükümlüdür. Yaşanan bu tür siber güvenlik olayları, veri koruma mevzuatının en kritik uygulama alanlarından birini oluşturmaktadır.

Veri ihlali bildirim yükümlülüğü, siber saldırı veya yetkisiz erişim gibi durumların fark edilmesi halinde, veri sorumlusunun durumu vakit kaybetmeksizin ilgili kurula bildirmesini ve gerekli incelemeleri başlatmasını gerektirir. Bu süreç, hem mağdur olabilecek kişilerin bilgilendirilmesi hem de ihlalin boyutlarının net bir şekilde ortaya konulması açısından büyük önem arz etmektedir.

Siber güvenlik olaylarına karşı alınan önlemler, kurumların dijital altyapılarının dayanıklılığını artırmayı ve veri sızıntılarını minimize etmeyi hedefler. Mevcut incelemeler sonucunda, ihlalin kapsamı ve etkilediği kişi sayısı netleştiğinde, sürecin yasal çerçevede nasıl ilerleyeceği ve alınacak ek önlemler daha net bir şekilde ortaya çıkacaktır.

Kaynak: KVKK — Kamuoyu Duyurusu (Veri İhlali Bildirimi)