NCL (Bahamas) Ltd. tarafından gerçekleştirilen veri ihlali bildirimi yayımlandı

• Kurum: NCL (Bahamas) Ltd.
• Kurul kararı: 4 Kasım 2026, 2026/2437
• Yayın tarihi: 4 Kasım 2026

Kişisel Verileri Koruma Kurumu, veri sorumlusu sıfatını haiz NCL (Bahamas) Ltd. tarafından iletilen veri ihlali bildirimini kamuoyuna duyurdu. Kurulun 4 Kasım 2026 tarihli ve 2026/2437 sayılı kararı uyarınca yayımlanan bildirimde, şirketin rezervasyon süreçlerini yönetmek amacıyla kullandığı bir web uygulamasında güvenlik açığı tespit edildiği belirtildi.

Söz konusu güvenlik açığından yararlanan yetkisiz kişilerin, sistemdeki bazı müşterilere ait hassas bilgilere erişim sağladığına dair bulgular saptanmıştır. Şirket tarafından yapılan açıklamada, ihlalin tespit edilme süreci ve etkilenen veri türlerine ilişkin detaylı bilgilere yer verilmiştir.

İhlalin gerçekleşme süreci ve tespit edilen faaliyetler

Veri sorumlusu NCL (Bahamas) Ltd., yaşanan veri ihlaliyle ilgili olarak sürecin nasıl işlediğine dair önemli ayrıntılar paylaşmıştır. Yapılan açıklamalara göre, kurumun maruz kaldığı oltalama e-postalarından 10 Ekim 2026 tarihinde haberdar olunduğu ifade edilmiştir. Bu tarihten sonra yürütülen çalışmalar, olayın boyutlarını ortaya koymuştur.

Olayın ardından 12 Ekim 2026 tarihinde bilişim ortamında kapsamlı bir inceleme gerçekleştirilmiştir. Bu incelemeler sonucunda, söz konusu sahte e-postalarla bağlantılı olduğu değerlendirilen çeşitli zararlı faaliyetlere ilişkin bulgular tespit edilmiştir. Yetkisiz kişilerin, ele geçirdikleri verileri müşterilere yönelik kötü amaçlı ve sahte e-postalar göndermek amacıyla kullandıklarının anlaşıldığı bildirilmiştir.

Etkilenen veriler ve kişi sayısı

İhlalden etkilenen verilerin kapsamı ve bu durumdan yararlanan kişi sayısı hakkında yapılan değerlendirmeler şu şekildedir:

• Etkilenen veri türleri: Bazı müşterilere ait ad, e-posta adresi, doğum tarihi ve rezervasyon numarası bilgilerinin yetkisiz erişime maruz kaldığı tespit edilmiştir.
• Etkilenen kişi sayısı: Yetkisiz kişi veya kişilerin, en fazla 2.392 ilgili kişiye ait bilgilere erişmiş olabileceğinin değerlendirildiği belirtilmiştir.

Şirket, ihlalden etkilenen müşterilerin bilgilendirilmesi ve süreçle ilgili detaylı bilgi alabilmeleri için çağrı merkezi kanalının açık olduğunu duyurmuştur. İlgili kişilerin, veri sorumlusunun çağrı merkezini arayarak durum hakkında doğrudan bilgi alabileceği ifade edilmiştir.

Veri güvenliği ve genel önlemler

Veri ihlali bildirim yükümlülüğü, veri sorumlularının kişisel verilerin güvenliğini sağlamak ve herhangi bir siber olay durumunda hızlıca aksiyon almak adına yasal bir zorunluluktur. Bu tür olaylar, dijital dünyada veri güvenliğinin ne kadar kritik bir öneme sahip olduğunu bir kez daha göstermektedir. Veri sorumlularının, verilerin korunması amacıyla teknik ve idari tedbirleri en üst düzeyde uygulamaları beklenmektedir.

Kişisel verilerin korunması, sadece yasal bir zorunluluk değil, aynı zamanda dijital ekosistemdeki güvenin sürdürülebilirliği için temel bir gerekliliktir. Siber saldırganların web uygulamalarındaki güvenlik açıklarını kullanarak elde ettikleri verilerle oltalama faaliyetleri yürütmesi, kullanıcıların dijital okuryazarlık düzeylerinin ve güvenlik farkındalıklarının önemini artırmaktadır. Bu tür durumlarda, kurumların ihlali fark eder etmez ilgili otoriteleri bilgilendirmesi ve etkilenen kişilere şeffaf bir şekilde bilgi aktarması, sürecin yönetimi açısından kritik bir rol oynamaktadır.

Konuya ilişkin incelemeler devam etmektedir. Kişisel Verileri Koruma Kurulu tarafından yapılan bu bildirim, veri güvenliği standartlarının korunması ve şeffaflığın sağlanması amacıyla kamuoyuna ilan edilmiştir.

Kaynak: KVKK — Kamuoyu Duyurusu (Veri İhlali Bildirimi)