Baxter Turkey Renal Hizmetler AŞ tarafından bildirilen veri ihlali

• Kurum: Baxter Turkey Renal Hizmetler AŞ
• Kurul kararı: 21 Ekim 2026, 2026/2292
• Yayın tarihi: 21 Ekim 2026

Kişisel Verileri Koruma Kurumu tarafından yayımlanan resmi karara göre, Baxter Turkey Renal Hizmetler A.Ş. bir veri ihlali yaşandığını bildirdi. Kurulun 21 Ekim 2026 tarihli ve 2026/2292 sayılı kararı ile kamuoyuna duyurulan olay, şirketin veri güvenliği süreçlerini etkileyen bir siber saldırı girişimi olarak kaydedildi.

Şirket tarafından Kuruma iletilen bildirimde, söz konusu veri ihlalinin uzun bir süreci kapsadığı belirtilmiştir. Yapılan açıklamalara göre, ihlal süreci 04.08.2026 tarihinde başlamış ve ancak 06.10.2026 tarihinde tespit edilebilmiştir. Bu durum, siber saldırganların sistemlere sızdıktan sonra uzun süre fark edilmeden faaliyetlerini sürdürdüğünü göstermektedir.

Saldırının yöntemi ve teknik ayrıntılar

Gerçekleşen ihlalin yöntemi incelendiğinde, saldırının doğrudan teknik bir açık yerine insan faktörünü hedef alan bir yöntemle gerçekleştirildiği anlaşılmaktadır. Yetkisiz üçüncü taraflarca düzenlenen saldırı, veri sorumlusu çalışanlarını hedef alan sesli oltalama temelli bir sosyal mühendislik saldırısı olarak tanımlanmıştır.

Bu sosyal mühendislik saldırısı sonucunda tehdit aktörleri, çalışanların kimlik bilgilerini ele geçirmeyi başarmıştır. Elde edilen bu kimlik bilgileri kullanılarak, tek bir çalışan hesabı üzerinden şirketin kritik veri sistemlerine erişim sağlanmıştır. Saldırganlar, bu yetkisiz erişim sayesinde Baxter’ın Salesforce veri tabanına ve şirketin Active Directory işlevi gören dahili bir veri dosyasına ulaşma imkanı bulmuştur.

Etkilenen veriler ve kişi sayısı

Veri ihlalinin kapsamı ve etkilenen taraflar hakkında yapılan incelemeler henüz tamamlanmamıştır. Kuruma sunulan bildirimde, ihlalden etkilenen ilgili kişi grubunun halihazırda tespit edilemediği açıkça ifade edilmiştir. Benzer şekilde, ihlalden etkilenen toplam kişi sayısının da henüz belirlenemediği ve incelemelerin devam ettiği bildirilmiştir.

Erişilen verilerin niteliği hakkında ise şu bilgiler paylaşılmıştır:

• Ad
• E-posta adresi
• Posta adresi

Yukarıdaki bilgiler, temel iş iletişim bilgileri kapsamında değerlendirilmektedir.

Veri güvenliği ve yasal yükümlülükler hakkında genel bilgilendirme

Veri ihlali bildirim yükümlülüğü, kişisel verilerin korunması mevzuatı kapsamında veri sorumlularının karşılaştığı siber olayları yetkili kurumlara bildirmesini içeren kritik bir süreçtir. Bu bildirimler, hem ihlalin boyutunun anlaşılması hem de mağduriyetların önlenmesi adına büyük önem taşımaktadır.

Kişisel verilerin güvenliğini sağlamak amacıyla alınan önlemler, siber saldırıların karmaşıklaşmasıyla birlikte sürekli olarak güncellenmelidir. Özellikle sesli oltalama gibi sosyal mühendislik yöntemlerine karşı çalışanların farkındalığının artırılması, teknik güvenlik duvarlarının yanı sıra insan faktörünün korunması açısından da hayati bir gerekliliktir. Kurumlar, veri güvenliğini sağlamak için hem teknik hem de idari tedbirleri eş zamanlı olarak uygulamakla yükümlüdür.

Söz konusu olayla ilgili incelemeler devam etmektedir. Kişisel Verileri Koruma Kurulu, bildirilen ihlalin detaylarını değerlendirmeye devam etmektedir.

Kaynak: KVKK — Kamuoyu Duyurusu (Veri İhlali Bildirimi)