olan Papara Menkul Değerler AŞ veri ihlali bildirimi KVKK tarafından yayımlandı (30 Eylül 2026)
Papara Menkul Değerler AŞ, veri işleyen kuruluş üzerinden gerçekleşen bir veri ihlali bildirimini KVKK'ya iletti.
- Yayınlanma
- 2 dk okuma
- 2 dk okuma
- Kurum: olan Papara Menkul Değerler AŞ
- Kurul kararı: 30 Eylül 2026, 2026/2144
- Yayın tarihi: 30 Eylül 2026
Kişisel Verileri Koruma Kurumu tarafından yayımlanan resmi bildirime göre, veri sorumlusu sıfatını taşıyan Papara Menkul Değerler AŞ, bir veri ihlali yaşandığını Kuruma iletmiştir. Kurulun 30 Eylül 2026 tarihli ve 2026/2144 sayılı kararı uyarınca, söz konusu ihlal bildiriminin kamuoyuna duyurulmasına karar verilmiştir. İhlal süreci ve kapsamı hakkında sunulan bilgiler, veri işleyen kuruluş üzerinden gerçekleşen bir güvenlik açığına işaret etmektedir.
İhlalin gerçekleşme süreci ve tespit edilmesi
Papara Menkul Değerler AŞ tarafından iletilen bilgilere göre, veri ihlali süreci 4 Eylül 2026 tarihinde başlamıştır. Söz konusu durum, 5 Eylül 2026 tarihinde veri işleyen kuruluş tarafından tespit edilmiş ve ihlal 6 Eylül 2026 tarihinde sona ermiştir. Olayın veri sorumlusuna bildirilmesi ise 18 Eylül 2026 tarihinde gerçekleşmiştir.
İhlalin yöntemi incelendiğinde, saldırının sosyal mühendislik teknikleri kullanılarak gerçekleştirildiği görülmektedir. Yurtdışında faaliyet gösteren veri işleyen kuruluşun çalışanlarına yönelik hazırlanan oltalama e-postaları, saldırganların sisteme sızmasına zemin hazırlamıştır. Bu yöntemle, veri işleyenin çok faktörlü tek oturum açma (SSO) platformu olan Okta sistemine yetkisiz bir erişim sağlanmıştır.
Saldırganların sisteme erişim sağladığı bu süreçte, verilerin dışarı çıkarılıp çıkarılmadığına dair durum henüz teyit edilememiştir. İncelemeler devam etmektedir.
Etkilenen veriler ve kapsamı
İhlalden etkilenen verilerin içeriği ve kapsamı hakkında yapılan açıklamalarda, hangi kişisel verilerin risk altında olduğu belirtilmiştir. Erişim sağlanan verilerin şifrelenmiş (encrypted) olduğu bildirilmiştir. Bu durum, verilerin doğrudan okunabilir formatta olmadığını göstermektedir. Ancak, erişim sağlanan veriler arasında banka bilgileri, finansal hizmetlere erişim bilgileri ve benzeri kritik verilerin bulunmadığı belirtilmiştir.
İhlalden etkilenen veriler şunları içermektedir:
- Ad ve soyad bilgileri
- E-posta adresleri
- Telefon numaraları
- Adres bilgileri
- Yatırım profili bilgileri
- Vergi statüsü (müşterinin FATCA kuralları çerçevesinde belirlenen vergi statüsü)
Veri güvenliği ve yasal yükümlülükler üzerine
Kişisel verilerin korunması, modern veri işleme süreçlerinin en kritik bileşenlerinden biridir. Veri sorumluları ve veri işleyenler, kişisel verilerin güvenliğini sağlamak amacıyla uygun güvenlik düzeyini temin etmekle yükümlüdür. Bu kapsamda, teknik ve idari tedbirlerin alınması, veri işleme süreçlerinin denetlenmesi ve olası siber saldırılara karşı hazırlıklı olunması büyük önem taşımaktadır.
Veri ihlali bildirim yükümlülüğü, veri sorumlularının bir ihlal tespit ettiklerinde durumu en kısa sürede ilgili kuruma bildirmelerini içeren yasal bir zorunluluktur. Bu bildirimler, ihlalin kapsamı, etkilenen veri türleri ve alınan önlemler hakkında şeffaflık sağlamayı amaçlar. Sosyal mühendislik ve oltalama gibi yöntemler, kullanıcı odaklı saldırılar olarak bilinmekte olup, çalışanların farkındalığının artırılması bu tür risklerin azaltılmasında temel rol oynamaktadır.
Konuya ilişkin incelemeler devam etmektedir. Kişisel Verileri Koruma Kurumu, veri güvenliğinin sağlanması ve ihlallerin takibi noktasında denetimlerini sürdürmektedir.