Hepsiburada ve KVK'ya Siber Saldırı, KVKK'dan Resmi Açıklama Geldi!

Türkiye'nin önde gelen e-ticaret platformlarından Hepsiburada'nın (D-Market Elektronik Hizmetler ve Ticaret A.Ş.) hizmet aldığı harici bir yazılım sağlayıcısına düzenlenen siber saldırı, dijital dünyada "üçüncü taraf (third-party) risklerini" yeniden gündeme getirdi. Kişisel Verileri Koruma Kurumu (KVKK) tarafından yapılan resmi açıklamaya göre, şirketin canlı destek (chat) altyapısını barındıran harici firmanın sistemlerine siber saldırganlar tarafından yetkisiz erişim sağlandı. İhlal sonucunda 9.882 kişinin kişisel ve müşteri işlem bilgileri ele geçirildi.

Kişisel Verileri Koruma Kurulu'nun 4 Kasım 2026 tarihli ve 2026/2438 sayılı kararıyla kamuoyuna duyurulan olayla ilgili resmi inceleme süreci devam ediyor.

Teknik Detaylar ve Sızdırılan Verinin Anatomisi

Siber güvenlik uzmanlarının incelemelerine göre saldırı, doğrudan Hepsiburada’nın ana sunucularını ya da finansal veri tabanlarını hedef almadı. Tehdit aktörleri, şirkete müşteri ilişkileri yönetimi (CRM) kapsamında anlık sohbet desteği sunan "veri işleyen" konumundaki harici bir firmanın bulut altyapısındaki güvenlik açığını kullandı. 

Saldırganlar, 2022 yılına ait geçmiş chat kayıtlarının depolandığı veri havuzuna sızmayı başardı. KVKK raporuna göre ihlalden etkilenen veri setleri şu teknik kategorilere ayrılıyor:

• Kimlik Verileri: Kullanıcıların ad ve soyad bilgileri.

• İletişim Verileri: Cep telefonu numaraları, e-posta adresleri ve açık teslimat adresleri.

• Müşteri İşlem Verileri: Sipariş ve gönderi takip numaraları, canlı destekte dile getirilen talep/şikayet kayıtları, satın alınan veya iptal edilen ürünlere dair geçmiş ticari hareketler.

Kritik Güvenlik Notu: Sohbet altyapısının izole mimarisi sayesinde kullanıcı şifreleri, MD5/SHA-256 gibi algoritmalarla hash'lenmiş kimlik doğrulama verileri veya PCI-DSS standartlarına tabi olan kredi kartı/finansal ödeme bilgileri bu sızıntıdan etkilenmedi.

Sadece Müşteriler Değil: Etkilenen Gruplar Geniş

Veri ihlal bildiriminde dikkat çeken en önemli unsurlardan biri, sızıntının sadece son tüketicileri (müşterileri) kapsamaması oldu. Canlı destek panelini iş süreçleri için kullanan şu aktörlerin de verileri siber korsanların eline geçti:

1. Müşteriler ve potansiyel müşteriler.

2. Hepsiburada bünyesindeki müşteri temsilcileri ve çalışanlar.

3. Platformda mağazası bulunan satıcılar, iş ortakları ve tedarikçi çalışanları.

Küresel Perspektif: Tedarik Zinciri ve "Üçüncü Taraf" Saldırıları Yükselişte

Hepsiburada'da yaşanan bu olay, siber güvenlik dünyasında "Tedarik Zinciri Saldırısı" (Supply Chain Attack) olarak literatüre geçen küresel bir trendin son halkasıdır. Küresel risk ve siber danışmanlık firmalarının 2026 yılı siber tehdit raporlarına göre, dünya genelindeki veri ihlali mağdurlarının %69'u doğrudan ana şirketlerin değil, bu şirketlerin hizmet aldığı üçüncü taraf teknoloji sağlayıcılarının (SaaS firmaları, chat botları, İK yazılımları) hacklenmesi nedeniyle mağdur oluyor. Siber korsanlar, savunması çok güçlü olan dev e-ticaret ya da finans holdinglerine doğrudan saldırmak yerine; onların sistemlerine entegre çalışan ve siber savunma bütçesi görece daha zayıf olan harici canlı destek veya altyapı firmalarını bir "truva atı" olarak kullanıyor. 

Benzer şekilde, Türkiye'de aynı gün KVK Teknik Servis firmasının da benzer bir harici chat altyapısı üzerinden siber saldırıya uğradığının KVKK tarafından açıklanması, siber korsanların belirli yazılım kütüphanelerindeki ve bulut servislerindeki (SaaS) ortak bir zero-day (sıfırıncı gün) açığından yararlanmış olabileceği ihtimalini kuvvetlendiriyor.

Mağdurlar İçin Hukuki ve Pratik Aksiyon Planı

Hepsiburada, 6698 sayılı KVKK mevzuatı uyarınca veri ihlalinden etkilenmiş olabilecek kullanıcıların bilgi edinme hakkını kullanabilmesi için kurumsal iletişim kanallarını devreye aldı. 

• Sorgulama Kanalları: Kullanıcılar, verilerinin sızdırılan 9.882 kişilik listede olup olmadığını öğrenmek için Hepsiburada KVKK İletişim e-posta adresi veya 0850 252 40 00 numaralı Hepsiburada Çağrı Merkezi üzerinden resmi başvuru yapabilirler.

• Hukuki Süreç: İncelemenin tamamlanmasının ardından KVKK'nın, "veri sorumlusu" olarak teknik ve idari tedbirleri alma yükümlülüğü bulunan ana şirkete idari para cezası uygulayıp uygulamayacağı netleşecek.

Siber Güvenlik Uzmanlarından "Kimlik Avı" Uyarısı

Siber güvenlik uzmanları, sızdırılan veriler arasında ad-soyad, telefon numarası ve geçmiş sipariş detaylarının bir arada bulunmasının tehlikeli bir kombinasyon olduğunu belirtiyor. Siber korsanlar, ellerindeki sipariş numaralarını ve adresleri kullanarak kullanıcılara son derece inandırıcı "Kargonuz teslim edilemedi, lütfen linke tıklayarak adresinizi güncelleyin" veya "İptal ettiğiniz siparişin iadesi için bu bağlantıyı doğrulayın" şeklinde hedef odaklı kimlik avı (phishing) SMS’leri gönderebilir.

Kullanıcıların bu dönemde telefonlarına gelen şüpheli kargo/sipariş mesajlarındaki bağlantılara tıklamaması ve Hepsiburada adıyla arayan kişilere telefonda onay kodu veya şifre vermemesi büyük önem arz ediyor.