İzmir Büyükşehir Belediyesi veri ihlali bildirimi yayımladı

• Kurum: İzmir Büyükşehir Belediyesi
• Kurul kararı: 21 Ekim 2026, 2026/2271
• Yayın tarihi: 21 Ekim 2026

Kişisel Verileri Koruma Kurumu tarafından yayımlanan resmi bilgilere göre, İzmir Büyükşehir Belediyesi bir veri ihlali yaşandığını bildirdi. Kurulun 21 Ekim 2026 tarihli ve 2026/2271 sayılı kararı uyarınca, veri sorumlusu sıfatıyla belediyenin ilettiği ihlal bildirimi kamuoyuna ilan edildi.

Belediye tarafından Kuruma iletilen bilgilere göre, söz konusu siber güvenlik olayı 30 Eylül 2026 tarihinde tespit edilmiştir. Yapılan incelemeler, kurumsal bir e-posta hesabından olağan dışı hacimde e-posta gönderimi yapıldığını ortaya koymuştur. Bu durum, sistemlerin normal işleyişinin dışına çıkıldığını ve bir güvenlik müdahalesine ihtiyaç duyulduğunu göstermiştir.

İhlalin gerçekleşme yöntemi ve tespit edilen faaliyetler

İhlalin nasıl gerçekleştiğine dair yapılan teknik analizler, saldırının yöntemi hakkında önemli ipuçları vermektedir. İlgili e-posta hesabına erişim sağlanırken, e-posta sunucusundaki herhangi bir güvenlik zafiyetinden yararlanılmadığı anlaşılmıştır. Bunun yerine, saldırganların daha önceden ele geçirilmiş bir parola vasıtasıyla hesaba giriş yaptığı tespit edilmiştir.

Yetkisiz erişim sağlanan hesaplar üzerinde gerçekleştirilen faaliyetler oldukça geniş bir yelpazeye yayılmaktadır. İki adet posta kutusunun içeriğinin Kurum dışına aktarıldığı belirlenmiştir. Ayrıca, saldırganların sistem üzerinde şu işlemleri gerçekleştirdiği görülmüştür:

• Gelen iletileri silmeye yönelik otomatik kurallar tanımlanması,
• Toplu spam gönderimi yapılması,
• İletişim ayarlarının değiştirilmesi,
• Mevcut yazışmaların açılması,
• E-posta imza alanına dolandırıcılık içerikli metinler eklenmesi.

Etkilenen veriler ve kişi sayısı

Veri ihlali kapsamında hangi kişisel verilerin risk altında olduğu belediyenin ilettiği bildirimde net bir şekilde belirtilmiştir. İhlalden etkilenen verilerin türleri şunlardır:

• Ad ve soyad,
• E-posta adresi,
• Dahili telefon numarası.

Veri güvenliği açısından kritik bir nokta olan kaç kişinin bu durumdan doğrudan etkilendiği konusunda ise henüz kesin bir bilgi bulunmamaktadır. İlgili kişi sayısının tam olarak belirlenemediği bildirilmiştir.

Veri güvenliği ve yasal yükümlülükler üzerine

Veri ihlali bildirim yükümlülüğü, kişisel verilerin korunması mevzuatının temel taşlarından biridir. Veri sorumluları, kişisel verilerin güvenliğini sağlamak amacıyla uygun güvenlik düzeyini temin etmekle yükümlüdür. Herhangi bir ihlal durumunda ise bu durumun vakit kaybedilmeksizin ilgili kurula ve etkilenen kişilere bildirilmesi yasal bir zorunluluktur.

Kişisel verilerin güvenliğini sağlamak için alınan önlemler, sadece teknik değil, aynı zamanda idari tedbirleri de kapsamaktadır. Parola güvenliği, çok faktörlü kimlik doğrulama sistemleri ve düzenli sistem denetimleri bu önlemlerin önemli parçalarıdır. Bu olayda görüldüğü üzere, bir sistem zafiyetinden ziyade, ele geçirilmiş parolalar üzerinden gerçekleştirilen erişimler, kurumsal hesap güvenliği için ciddi bir risk oluşturmaktadır.

Konuya ilişkin incelemeler devam etmektedir. Kişisel Verileri Koruma Kurulu, söz konusu ihlali resmi kanallar üzerinden kamuoyuna duyurarak şeffaflık ilkesini uygulamaya koymuştur. Veri güvenliğinin sağlanması için kurumların hem teknik altyapılarını hem de kullanıcı farkındalığını sürekli olarak güncel tutmaları büyük önem arz etmektedir.

Kaynak: KVKK — Kamuoyu Duyurusu (Veri İhlali Bildirimi)