olan GIG Sigorta AŞ veri ihlali bildirimi KVKK tarafından yayımlandı (7 Ekim 2026)

• Kurum: olan GIG Sigorta AŞ
• Kurul kararı: 7 Ekim 2026, 2026/2195
• Yayın tarihi: 7 Ekim 2026

Kişisel Verileri Koruma Kurumu tarafından yayımlanan resmi bildirimlere göre, GIG Sigorta AŞ tarafından bir veri ihlali yaşandığı tespit edilmiştir. Kurulun 7 Ekim 2026 tarihli ve 2026/2195 sayılı kararı doğrultusunda, söz konusu ihlalin kamuoyuna duyurulmasına karar verilmiştir. Bu bildirim, veri sorumlusunun kanuni yükümlülükleri çerçevesinde, kişisel verilerin hukuka aykırı yollarla elde edilmesi durumunda ilgili kuruma ve ilgililere yapması gereken bilgilendirmeyi içermektedir.

Siber saldırının tespit edilmesi ve süreci

GIG Sigorta AŞ tarafından Kurula iletilen bilgilere göre, veri ihlali doğrudan şirketin kendi sistemlerinden ziyade, hizmet aldığı bir üçüncü taraf üzerinden gerçekleşmiştir. Şirketin teknolojik altyapı hizmetleri, IVR kurulumu ve ses kayıtlarının arşivlenmesi süreçlerinde destek aldığı veri işleyenin bir siber saldırıya maruz kaldığı belirlenmiştir. Söz konusu saldırının 30 Eylül 2026 tarihinde tespit edildiği bildirilmiştir.

Yaşanan bu siber saldırı neticesinde, bir günlük ses kayıt verilerinin şifrelenmiş olduğu ifade edilmiştir. Şirket yetkilileri tarafından, şifrelenmiş olan bu verilere erişimin sağlanabilmesi amacıyla gerekli teknik çalışmaların devam ettiği belirtilmiştir. Sürecin yönetilmesi ve verilerin güvenliğinin yeniden tesisi için çalışmalar titizlikle sürdürülmektedir.

Etkilenen veri türleri ve mağduriyet kapsamı

İhlalden etkilenen verilerin kapsamı ve niteliği, veri sorumlusu tarafından yapılan incelemeler sonucunda netleşmeye başlamıştır. Mevcut bildirim detaylarına göre, siber saldırıdan etkilenen unsurlar şunlardır:

• Müşterilere ait kimlik bilgileri,
• Müşterilere ait iletişim bilgileri,
• Müşterilere ait müşteri işlem verileri,
• 161 adet çağrıya ilişkin ses kayıtları (bu kayıtlara erişim sağlanamamaktadır).

Veri ihlali kapsamında, özellikle müşteri işlem verileri ve kimlik bilgileri gibi hassas nitelikteki verilerin etkilendiği belirtilmiştir. Ayrıca, 161 adet çağrı kaydına erişimin sağlanamadığı bilgisi de paylaşılmıştır.

Veri güvenliği ve yasal yükümlülükler üzerine

Kişisel verilerin korunması, modern dijital dünyada hem bireylerin mahremiyeti hem de kurumların güvenilirliği açısından hayati bir önem taşımaktadır. Veri sorumluları, işledikleri verilerin güvenliğini sağlamak amacıyla her türlü teknik ve idari tedbiri almakla yükümlüdür. Bu yükümlülükler, verilerin hukuka aykırı olarak ele geçirilmesini önlemeyi ve bir ihlal durumunda hızlıca müdahale edilmesini kapsar.

Veri ihlali bildirim yükümlülüğü, kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde devreye giren kritik bir süreçtir. Veri sorumlusu, bu durumu en kısa sürede ilgili kişilere ve Kurula bildirmek zorundadır. Bu süreç, ihlalin boyutlarının anlaşılması, etkilenen kişilerin korunması ve benzer saldırıların önlenmesi için temel teşkil eder.

Genel olarak, siber saldırıların karmaşık yapısı nedeniyle, veri işleyen ve veri sorumlusu arasındaki iş birliği, ihlalin etkilerini minimize etmek adına büyük önem arz etmektedir. Kurumun yürüttüğü incelemeler devam etmekte olup, süreçteki tüm gelişmeler yasal çerçevede takip edilmektedir.

Kaynak: KVKK — Kamuoyu Duyurusu (Veri İhlali Bildirimi)