Canva Pty Ltd tarafından gerçekleştirilen veri ihlali bildirimi yayımlandı

• Kurum: Canva Pty Ltd
• Kurul kararı: 16 Eylül 2026, 2026/2037
• Yayın tarihi: 16 Eylül 2026

Kişisel Verileri Koruma Kurumu, veri sorumlusu sıfatını haiz Canva Pty Ltd tarafından iletilen veri ihlali bildirimini kamuoyuna duyurdu. Kurulun 16 Eylül 2026 tarihli ve 2026/2037 sayılı kararı uyarınca, söz konusu ihlale ilişkin ayrıntıların kurumun internet sitesinde ilan edilmesine karar verildi. Mevcut bilgilere göre, ihlal süreci veri sorumlusunun kullandığı bir üçüncü taraf aracın hedef alınmasıyla tetiklenmiş görünüyor.

İhlalin meydana geliş süreci ve teknik detaylar

Canva Pty Ltd tarafından Kurul'a iletilen resmi bildirimde, siber saldırının doğrudan ana sistemlerden ziyade, veri sorumlusunun hizmet aldığı üçüncü taraf bir araç üzerinden gerçekleştiği belirtilmiştir. Söz konusu araç üzerinde yaşanan yetkisiz erişim neticesinde veri ihlalinin meydana geldiği ifade edilmiştir.

Bildirilen bilgilere göre, tehdit aktörünün veri işleyen ile olan bağlantı kanallarını kullanarak bazı kişisel verileri dışarı aktardığı, yani verileri sızdırdığı değerlendirilmektedir. Bu durum, veri işleme süreçlerinde kullanılan dış kaynaklı araçların güvenliğinin, veri sorumlularının veri güvenliği sorumlulukları açısından ne denli kritik bir öneme sahip olduğunu bir kez daha göstermektedir.

Etkilenen kurumlar ve sızdırılan veri türleri

İhlalin kapsamı incelendiğinde, Türkiye sınırları içerisinde faaliyet gösteren organizasyonların doğrudan etkilendiği görülmektedir. Yapılan incelemeler sonucunda, Türkiye'de yer alan 424 organizasyon ve kuruluş ile ilişkili verilerin bu ihlalden etkilendiği tespit edilmiştir. Ancak, ihlalden etkilenen gerçek kişi sayısının henüz tespit edilemediği bildirilmiştir.

İhlalden etkilenen verilerin içeriği, veri sorumlusu müşterilerinin çalışanlarına ait çeşitli bilgilerden oluşmaktadır. Sızdırıldığı değerlendirilen veriler arasında şunlar yer almaktadır:

• İsim ve iş e-posta adresi,
• İş yeri konumu ve iş amaçlı kullanılan telefon numaraları,
• Veri sorumlusu ile paylaşıldığı ölçüde müşteri sipariş formları,
• Sözleşmeler ve faturalar,
• Veri koruma anlaşmaları ve ana hizmet sözleşmeleri,
• Diğer rutin iş yazışmaları.

Söz konusu verilerin bir kısmının, iş süreçlerinin doğal bir parçası olarak veri sorumlusu ile paylaşılan dokümanlar arasından ele geçirildiği anlaşılmaktadır.

Veri güvenliği ve bilgilendirme süreci

Veri ihlalleri, dijital dünyada veri güvenliği önlemlerinin sürekli güncellenmesi gerekliliğini ortaya koyan önemli süreçlerdir. Veri sorumlularının, verilerin korunması amacıyla gerekli tüm teknik ve idari tedbirleri alması yasal bir yükümlülüktür. Bu tür olayların ardından, etkilenen kişilerin bilgilendirilmesi ve zararın en aza indirilmesi adına şeffaf bir süreç yürütülmesi esastır.

İlgili kişilerin, yaşanan bu ihlal hakkında daha fazla bilgi edinmek amacıyla veri sorumlusuyla iletişime geçme hakları bulunmaktadır. Kullanıcılar, Canva'nın kullanıcı yardım merkezi aracılığıyla veya [email protected] e-posta adresi üzerinden ihlal süreciyle ilgili bilgi talep edebileceklerdir. Kurul tarafından konuya ilişkin incelemeler devam etmektedir.

Veri ihlali bildirim yükümlülüğü, kişisel verilerin korunması mevzuatının temel taşlarından biridir. Veri sorumlularının, herhangi bir yetkisiz erişim veya sızıntı durumunda durumu vakit kaybetmeksizin yetkili kurumlara bildirmesi, hem bireylerin haklarının korunması hem de siber tehditlerin analiz edilmesi açısından hayati önem taşımaktadır. Veri güvenliği için alınan önlemlerin, sadece kurum içi sistemlerle sınırlı kalmayıp, kullanılan tüm üçüncü taraf araçları da kapsaması gerekmektedir.

Kaynak: KVKK — Kamuoyu Duyurusu (Veri İhlali Bildirimi)