Puzmo Oyuncak İç ve Dış Tic. Ltd. Şti bünyesinde veri ihlali gerçekleşti

• Kurum: Puzmo Oyuncak İç ve Dış Tic. Ltd. Şti (http://www.cantadolu.com)
• Kurul kararı: 23 Eylül 2026, 2026/2081
• Yayın tarihi: 23 Eylül 2026

Kişisel Verileri Koruma Kurumu tarafından yayımlanan resmi bildirime göre, Puzmo Oyuncak İç ve Dış Tic. Ltd. Şti (http://www.cantadolu.com) tarafından bir veri ihlali yaşandığı bildirilmiştir. Kurulun 23 Eylül 2026 tarihli ve 2026/2081 sayılı kararı uyarınca, söz konusu ihlalin kamuoyuna duyurulmasına karar verilmiştir. Veri sorumlusu sıfatıyla ilgili şirketin ilettiği bilgiler, siber güvenlik süreçlerinin ve üçüncü taraf hizmet sağlayıcıların önemini bir kez daha gündeme getirmiştir.

Veri ihlali bildirim süreci, veri işleyenin durumu veri sorumlusuna bildirmesiyle başlamıştır. Yapılan incelemeler sonucunda, ihlalin 14 Eylül 2026 tarihinde tespit edildiği anlaşılmaktadır. Bu durum, siber güvenlik olaylarının tespit edilme süreci ile bildirim yükümlülüğü arasındaki zaman akışını göstermesi bakımından önem arz etmektedir. Kurum, konuya ilişkin incelemelerini sürdürmektedir.

İhlalin meydana geliş süreci

Şirket tarafından Kurula iletilen bilgilere göre, veri ihlali doğrudan şirketin kendi sistemlerinden ziyade, hizmet aldığı bir tarafın altyapısından kaynaklanmıştır. İhlalin, veri sorumlusunun hizmet aldığı tarafın sistemlerinde bulunan bir yazılım açığından faydalanılması neticesinde gerçekleştiği belirtilmiştir. Bu durum, tedarik zinciri güvenliğinin ve dış hizmet sağlayıcıların denetlenmesinin veri güvenliği açısından ne denli kritik olduğunu ortaya koymaktadır.

Söz konusu yazılım açığından faydalanan yetkisiz kişiler, sistemdeki açığı kullanarak kişisel verilere erişim sağlamıştır. Veri sorumlusu, bu süreci veri işleyiciden gelen bildirim üzerine takip etmeye başlamış ve durumun kapsamını belirlemek üzere çalışmalar yürütmüştür. Yazılım açıklarının kötü niyetli kişiler tarafından suistimal edilmesi, dijital dünyadaki veri güvenliği risklerinin en temel unsurlarından birini oluşturmaktadır.

Etkilenen veriler ve kişi grupları

İhlalin kapsamı incelendiğinde, hem son kullanıcıları hem de sistem yönetimini ilgilendiren kritik verilerin etkilendiği görülmektedir. İhlalden etkilenen veri türleri ve kişi sayıları şu şekildedir:

• Etkilenen veri türleri: İhlalden ad, soyad, telefon numarası, adres, e-posta adresi ve hash’lenmiş şifre bilgilerinin etkilendiği belirtilmiştir.
• Etkilenen kişi sayısı: İhlalden 274 nihai müşterinin (son kullanıcı) ve 2 yönetim paneli hesabı sahibinin etkilendiği ifade edilmiştir.
• Etkilenen gruplar: İhlalden etkilenen ilgili kişi gruplarının müşteriler ve potansiyel müşteriler olduğu bildirilmiştir.

Yönetim paneli hesaplarının etkilenmiş olması, veri güvenliği açısından hassas bir durum teşkil etmektedir. Şifrelerin hash'lenmiş halde bulunması, verilerin doğrudan okunabilirliğini zorlaştırsa da, bu tür ihlallerin kapsamı her zaman dikkatle takip edilmelidir.

Veri güvenliği ve genel önlemler

Kişisel verilerin korunması, günümüz dijital ekosisteminde hem bireyler hem de kurumlar için en temel önceliklerden biridir. Veri ihlali bildirim yükümlülüğü, veri sorumlularının yaşadıkları siber olayları şeffaf bir şekilde ilgili kurumlara ve etkilenen kişilere bildirmesini zorunlu kılarak güven ortamını tesis etmeyi amaçlar. Bu süreçler, ihlalin boyutunun anlaşılması ve mağduriyetlerin önlenmesi için hayati önem taşır.

Kişisel veri güvenliğini sağlamak adına kurumların ve şirketlerin alması gereken genel önlemler arasında; yazılım güncellemelerinin düzenli yapılması, üçüncü taraf hizmet sağlayıcıların güvenlik standartlarının denetlenmesi ve erişim yetkilerinin kısıtlanması yer almaktadır. Yazılım açıklarının kapatılması ve sistemlerin sürekli izlenmesi, bu tür yetkisiz erişim girişimlerinin önüne geçilmesinde temel rol oynamaktadır. Veri sorumlularının, hizmet aldıkları tarafların sistem güvenliği konusunda da aynı hassasiyeti göstermesi, veri ekosisteminin bütünlüğü için gereklidir.

Kaynak: KVKK — Kamuoyu Duyurusu (Veri İhlali Bildirimi)