Choice Hotels International, Inc. şirketinde veri ihlali gerçekleşti

• Kurum: Choice Hotels International, Inc.
• Kurul kararı: 21 Ekim 2026, 2026/2288
• Yayın tarihi: 21 Ekim 2026

Kişisel Verileri Koruma Kurumu tarafından yayımlanan resmi bildirime göre, Choice Hotels International, Inc. isimli veri sorumlusu, sistemlerinde bir veri ihlali yaşandığını beyan etmiştir. Kurulun 21 Ekim 2026 tarihli ve 2026/2288 sayılı kararı ile kamuoyuna duyurulan olay, şirketin müşteri verilerine yönelik gerçekleştirilen yetkisiz bir erişim girişimini kapsamaktadır.

Şirket tarafından Kuruma iletilen bilgilere göre, söz konusu siber olay süreci 5 Haziran 2026 tarihinde başlamış ve 6 Haziran 2026 tarihinde sona ermiştir. İhlal süreci, aynı gün olan 5 Haziran 2026 tarihinde şirket tarafından tespit edilmiştir. Yaşanan bu durum, veri sorumlusunun güvenlik izleme kontrolleri aracılığıyla üretilen bir uyarı vasıtasıyla fark edilmiştir.

İhlalin gerçekleşme yöntemi

Veri sorumlusu tarafından sunulan bilgilere göre, siber saldırgan veya tehdit aktörü, doğrudan sistem açıklarını kullanmak yerine sosyal mühendislik yöntemlerine başvurmuştur. Bu yöntemle, veri sorumlusu bünyesinde görev yapan bir çalışanın ağ hesabına yetkisiz erişim sağlanmıştır. Çalışan hesabının ele geçirilmesiyle birlikte, saldırganlar ağ içerisinde hareket etme imkanı bulmuştur.

Sosyal mühendislik, kullanıcıları manipüle ederek gizli bilgileri paylaşmaya veya belirli eylemleri gerçekleştirmeye ikna etmeyi hedefleyen bir yöntemdir. Bu tür saldırı türleri, teknik güvenlik duvarlarını aşmak yerine insan faktörünü hedef alarak veri güvenliğini tehlikeye atmaktadır. Söz konusu olayda, bir çalışanın ağ hesabına erişim sağlanması, saldırganın veri sistemlerine sızmasına zemin hazırlamıştır.

Etkilenen kişiler ve veri türleri

İhlalden etkilenen kişi grubunun doğrudan müşteriler olduğu belirtilmiştir. Yapılan incelemeler neticesinde, ihlalden etkilenen toplam kişi sayısının 9.550 olduğu bildirilmiştir. İhlal kapsamında ele geçirilen verilerin kapsamı ise şu şekildedir:

• Ad-soyad ve iletişim bilgileri: Etkilenen tüm bireylerin kimlik ve iletişim detayları.
• Konaklama detayları: Etkilenen kişilerin bir kısmı için geçmiş otel konaklamalarına ilişkin bilgiler.

Veri sorumlusu, ihlalin kapsamı ve etkilenen veri türleri hakkında detaylı bilgi paylaşmış olsa da, konuya ilişkin incelemelerin devam ettiği vurgulanmıştır.

Veri güvenliği ve yasal yükümlülükler

Veri ihlalleri, dijital dünyada veri sorumlularının en büyük risklerinden birini oluşturmaktadır. Kişisel verilerin korunması, hem bireylerin mahremiyeti hem de kurumların güvenilirliği açısından kritik bir öneme sahiptir. Veri sorumlularının, kişisel verilerin güvenliğini sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri alması yasal bir zorunluluktur.

Veri ihlali bildirim yükümlülüğü, ihlalin öğrenilmesinden itibaren en kısa sürede ilgili kuruma ve etkilenen kişilere yapılması gereken bir süreçtir. Bu süreç, ihlalin boyutlarının anlaşılması, etkilenen kişilerin korunması ve benzer olayların tekrarlanmaması için gerekli önlemlerin alınması açısından hayati önem taşır. Kurumlar, siber tehditlere karşı sürekli izleme ve erken uyarı sistemlerini aktif tutarak riskleri minimize etmeye çalışmaktadır.

Sonuç olarak, Choice Hotels International, Inc. tarafından bildirilen bu olay, sosyal mühendislik yöntemlerinin veri güvenliği üzerindeki yıkıcı etkisini bir kez daha göstermiştir. Kişisel Verileri Koruma Kurulu, söz konusu ihlalin incelenmesine devam etmektedir.

Kaynak: KVKK — Kamuoyu Duyurusu (Veri İhlali Bildirimi)