Spirit Cultural Exchange, Inc. şirketinde veri ihlali gerçekleşti

• Kurum: Spirit Cultural Exchange, Inc.
• Kurul kararı: 30 Eylül 2026, 2026/2140
• Yayın tarihi: 30 Eylül 2026

Kişisel Verileri Koruma Kurumu tarafından yayımlanan resmi bildirime göre, veri sorumlusu sıfatını taşıyan Spirit Cultural Exchange, Inc. şirketinde bir veri ihlali meydana geldiği tespit edilmiştir. Kurulun 30 Eylül 2026 tarihli ve 2026/2140 sayılı kararıyla kamuoyuna duyurulan olay, şirketin dijital altyapısındaki bir güvenlik açığından kaynaklanmaktadır. Söz konusu ihlal süreciyle ilgili incelemeler devam etmektedir.

Şirket tarafından Kurula iletilen bilgilere göre, veri ihlali süreci 4 Eylül 2026 tarihinde başlamış ve 9 Eylül 2026 tarihinde tespit edilmiştir. Yaşanan bu durumun, şirketin internet sitesi üzerinde yer alan başvuru yükleme alt sistemindeki teknik bir aksaklıktan kaynaklandığı belirtilmiştir.

İhlalin teknik nedeni ve gerçekleşme biçimi

Veri ihlalinin teknik detayları incelendiğinde, sistemdeki bir güvenlik açığının doğrudan etkili olduğu görülmektedir. Şirketin internet sitesinde bulunan başvuru yükleme alt sisteminde, URL adreslerinde kimlik doğrulaması yapılamadığı anlaşılmıştır. Bu teknik zafiyet, sistemdeki koruma mekanizmalarının devre dışı kalmasına yol açmıştır.

Kimlik doğrulama aşamasındaki bu eksiklik nedeniyle, depolanan başvuru belgelerinin yetkisiz bir üçüncü kişi tarafından ele geçirildiği bildirilmiştir. İhlalin, saldırgan tarafından gerçekleştirilen otomatik talepler aracılığıyla gerçekleştiği ifade edilmiştir. Bu durum, sistemin belirli bir kullanıcı kimliği doğrulaması yapmaksızın veri akışına izin verdiğini göstermektedir.

Etkilenen kişiler ve sızdırılan verilerin kapsamı

Gerçekleşen veri ihlalinden etkilenen kişi grubunun şirketin müşterileri olduğu bildirilmiştir. Yapılan tespitlere göre, ihlalden doğrudan etkilenen toplam kişi sayısı 7.591 olarak kaydedilmiştir. İhlal kapsamında ele geçirilen veriler oldukça geniş bir yelpazeye yayılmaktadır.

Söz konusu veriler arasında şu bilgiler yer almaktadır:

• Kimlik bilgileri: Ad, doğum tarihi, imza, pasaport bilgileri, mali kefilin adı, doğum tarihi ve yakınlık derecesi.
• Ceza mahkûmiyeti ve güvenlik tedbirleri: Adli sicil ve güvenlik soruşturması belgeleri.
• Eğitim bilgileri: Diploma, not dökümü ve denklik belgeleri.
• Mesleki deneyim bilgileri: İş ve referans mektupları.
• Görsel kayıtlar: Fotoğraflar.

İlgili kişilerin, veri ihlali hakkında detaylı bilgi almak istemeleri durumunda, veri sorumlusuna ait olan [email protected] e-posta adresi üzerinden iletişime geçebilecekleri belirtilmiştir.

Veri güvenliği ve yasal yükümlülükler üzerine

Veri ihlali bildirim yükümlülüğü, kişisel verilerin korunması mevzuatının en temel taşlarından biridir. Veri sorumluları, işledikleri verilerin güvenliğini sağlamak ve herhangi bir sızıntı durumunda durumu vakit kaybetmeksizin ilgili kurumlara ve etkilenen kişilere bildirmekle yükümlüdür. Bu süreç, hem bireylerin haklarını korumayı hem de dijital ekosistemin güvenilirliğini sürdürmeyi amaçlamaktadır.

Kişisel verilerin güvenliği için alınan önlemler, sadece teknik değil, aynı zamanda idari tedbirleri de kapsamaktadır. Şirketlerin veri işleme süreçlerinde kullandıkları sistemlerin güncelliği, kimlik doğrulama protokollerinin sağlamlığı ve erişim yetkilendirmelerinin titizlikle yönetilmesi, bu tür siber olayların önlenmesinde kritik rol oynamaktadır. Yaşanan bu olay, dijital sistemlerdeki URL bazlı kimlik doğrulama süreçlerinin ne kadar hayati bir önem taşıdığını bir kez daha göstermiştir.

Kişisel Verileri Koruma Kurumu, söz konusu ihlale ilişkin incelemelerini sürdürmektedir. Kurum, veri sorumlusunun yükümlülüklerini yerine getirip getirmediğini ve teknik önlemlerin yeterliliğini denetlemeye devam etmektedir.

Kaynak: KVKK — Kamuoyu Duyurusu (Veri İhlali Bildirimi)