Yeni Mağazacılık Anonim Şirketi (“Eve Kozmetik”) veri ihlali bildirimi KVKK tarafından yayımlandı (16 Eylül 2026)

• Kurum: Yeni Mağazacılık Anonim Şirketi (“Eve Kozmetik”)
• Kurul kararı: 16 Eylül 2026, 2026/2039
• Yayın tarihi: 16 Eylül 2026

Kurulun 16 Eylül 2026 tarihli ve 2026/2039 sayılı kararı ile kamuoyuna duyurulan olay, veri güvenliği süreçlerinin önemini bir kez daha gündeme getirmiştir.

Söz konusu ihlal süreci, veri sorumlusu sıfatını taşıyan kurumun Kurul'a ilettiği bildirim doğrultusunda incelenmektedir. Yapılan açıklamalarda, ihlalin kapsamı ve etkilenen kişi sayısıyla ilgili kritik ayrıntılar paylaşılmıştır. İnceleme süreci devam etmekle birlikte, mevcut veriler ışığında durumun boyutları netleşmeye başlamıştır.

İhlalin meydana geliş biçimi ve tespit süreci

Gerçekleşen veri ihlali, veri sorumlusuna ait verilerin barındırıldığı veri işleyen sistemlerdeki bir sunucu üzerinden kaynaklanmıştır. Yapılan teknik incelemeler sonucunda, kullanılan üçüncü taraf bir yazılım kütüphanesindeki güvenlik zafiyetinin istismar edilmesi yoluyla söz konusu sunucuya yetkisiz erişim sağlandığı anlaşılmıştır. Bu durum, dış kaynaklı yazılım bileşenlerindeki açıkların sistem bütünlüğünü nasıl tehdit edebileceğini göstermektedir.

İhlalin tespit edilme süreci ise veri işleyenin veri sorumlusuna yaptığı bildirimle gerçekleşmiştir. Veri işleyenin, yaşanan bu yetkisiz erişim olayını 10 Eylül 2026 tarihinde veri sorumlusuna iletmesi üzerine durum saptanmıştır. Bu tespit, veri güvenliği zincirindeki bildirim mekanizmalarının işleyişi açısından kritik bir aşamadır.

Şirket yapısı incelendiğinde, Eve Mağazacılık A.Ş. (Eve Kozmetik) ile Yeni Mağazacılık A.Ş. arasındaki ilişkiye dikkat çekilmiştir. Her ne kadar bu iki yapı birleşmiş olsa da, sistemlerin birbirinden ayrı tutulduğu belirtilmiştir. Bu teknik ayrım nedeniyle, yaşanan ihlal yalnızca Eve Kozmetik'in hizmet aldığı taraf nezdinde gerçekleşmiş olup, ihlalden yalnızca Eve Kozmetik müşterilerine ait kişisel veriler etkilenmiştir.

Etkilenen veriler ve etkilenen kişi sayısı

İhlalin kapsamı ve hangi verilerin risk altında olduğu konusunda yapılan açıklamalarda, belirli veri türleri ve etkilenen kitleye dair somut bilgiler verilmiştir. İhlalden doğrudan etkilenen unsurlar aşağıda listelenmiştir:

• Etkilenen veri türleri: Ad, soyad, e-posta adresi ve telefon numarası bilgileri.
• Etkilenen kişi sayısı: Toplam 6.263.305 ilgili kişi.
• Etkilenen grup: İlgili kişilerin tamamı müşterilerden oluşmaktadır.

Müşterilerin, maruz kaldıkları bu ihlal hakkında detaylı bilgi almak istemeleri durumunda başvurabilecekleri kanallar da belirlenmiştir. İlgili kişiler, veri sorumlusunun https://www.eveshop.com.tr/ web sitesi üzerinden veya [email protected] e-posta adresi aracılığıyla ihlal hakkında bilgi talep edebileceklerdir.

Veri güvenliği ve yasal yükümlülükler üzerine

Veri ihlalleri, günümüzde dijital dünyadaki en büyük tehditlerden biri olarak kabul edilmektedir. Kişisel verilerin korunması, hem bireylerin mahremiyetinin sağlanması hem de kurumların güvenilirliğinin korunması açısından hayati önem taşır. Veri sorumlularının, verilerin işlendiği tüm süreçlerde, üçüncü taraf yazılımlar da dahil olmak üzere, en yüksek güvenlik standartlarını uygulamaları gerekmektedir.

Veri ihlali bildirim yükümlülüğü, kişisel verilerin korunması mevzuatının temel taşlarından biridir. Bir ihlal tespit edildiğinde, durumun hızla yetkili kurumlara bildirilmesi ve etkilenen kişilerin bilgilendirilmesi, olası zararların minimize edilmesi açısından büyük önem taşır. Bu tür olaylar, sistemlerin sadece kurum içi değil, kullanılan tüm yan yazılımlar ve kütüphaneler açısından da sürekli denetlenmesi gerektiğini göstermektedir.

Kişisel Verileri Koruma Kurumu'nun bu tür ihlalleri kamuoyuna ilan etmesi, şeffaflık ilkesinin bir gereği olarak hem tüketicileri bilgilendirmeyi hem de veri sorumlularını daha dikkatli olmaya teşvik etmeyi amaçlamaktadır. Kurumun incelemeleri devam etmektedir.

Kaynak: KVKK — Kamuoyu Duyurusu (Veri İhlali Bildirimi)