- Kişisel Verileri Koruma Kurumu, Hepsiburada'da 9.882 kişiyi etkileyen bir veri ihlali yaşandığını 4 Kasım 2026'da duyurdu.
- Saldırganlar, şirkete chat altyapısı hizmeti veren bir firmada tutulan 2022 tarihli sohbet kayıtlarına erişti.
- Ele geçirilen bilgiler arasında ad soyad, telefon, e-posta, adres, sipariş ve gönderi numaraları bulunuyor.
Hepsiburada’nın müşteri yazışmalarının tutulduğu bir sistemde veri ihlali yaşandı. Kişisel Verileri Koruma Kurumu’nun (KVKK) 4 Kasım Çarşamba günü yayımladığı duyuruya göre ihlalden 9.882 kişi etkilendi ve ele geçirilen bilgiler arasında ad soyad, cep telefonu, e-posta, adres ve sipariş bilgileri bulunuyor.
Duyuru, Hepsiburada’nın resmi unvanı olan D-Market Elektronik Hizmetler ve Ticaret A.Ş.’nin Kurul’a yaptığı bildirime dayanıyor. Kişisel Verilerin Korunması Kanunu, kişisel verilerin hukuka aykırı yollarla başkalarının eline geçmesi halinde şirketlerin durumu ilgili kişilere ve Kurul’a en kısa sürede bildirmesini zorunlu tutuyor. Kurul da gerekli gördüğünde bu bildirimleri kendi sitesinde kamuoyuyla paylaşıyor.
Hepsiburada veri ihlali nasıl yaşandı?
KVKK’nın kamuoyu duyurusuna göre saldırı doğrudan Hepsiburada’nın kendi sistemlerine değil, şirkete chat altyapısı hizmeti veren bir veri işleyenin sunucularına yapıldı. Siber saldırganlar burada barındırılan 2022 tarihli chat kayıtlarına yetkisiz erişim sağladı. Bildirimde hizmet sağlayıcının adı ve saldırının tam olarak ne zaman yaşandığı yer almıyor.
Etkilenen kişiler arasında yalnızca müşteriler yok. Duyuruda ihlalden etkilenen grupların çalışanlar, müşteriler ve potansiyel müşteriler, tedarikçi çalışanları, iş ortakları ve satıcılar olduğu belirtiliyor. Kurul, bildirimin yayımlanmasına 4 Kasım 2026 tarihli ve 2026/2438 sayılı kararla hükmetti ve konuyla ilgili incelemenin sürdüğünü açıkladı.
Hangi bilgiler ele geçirildi?
Ele geçirilen veriler üç başlık altında toplanıyor. Kimlik bilgilerinde ad ve soyad, iletişim bilgilerinde cep telefonu numarası, e-posta adresi ve adres yer alıyor. Müşteri işlem bilgileri ise sipariş numarası, gönderi numarası, talep ve şikayet kayıtları ile satın alınan ya da iptal edilen ürün bilgilerini kapsıyor.
Duyuruda kimlik numarası, şifre ya da kart bilgisi gibi verilerden söz edilmiyor. Buna karşın ad, telefon, adres ve sipariş numarasının bir arada bulunması, gerçek bir siparişe atıf yapan sahte kargo ya da iade mesajları için elverişli bir zemin oluşturuyor.
Etkilenen kullanıcılar nereden bilgi alabilir?
Hepsiburada’nın bildirimine göre ihlalden etkilenen kişiler kvk@hepsiburada.com e-posta adresinden ya da 0850 252 40 00 numaralı çağrı merkezinden bilgi alabiliyor. Kanun, verisi ihlalden etkilenen kişilere şirkete başvurarak hangi verilerinin işlendiğini öğrenme hakkı da tanıyor.
KVKK aynı gün yalnızca Hepsiburada için değil, KVK Teknik Servis için de benzer bir duyuru yayımladı. Bu bildirimde de ihlal, şirkete hizmet veren bir veri işleyende tutulan chat kayıtlarında yaşandı. 624 chat kaydına yetkisiz erişim sağlandı, etkilenen bilgiler müşterilerin WhatsApp’taki ad ve telefon numaralarından oluşuyor. Etkilenen kişi sayısı ise henüz belirlenebilmiş değil. İki duyuruda da hizmet sağlayıcının adı geçmediği için ihlallerin aynı firmada yaşanıp yaşanmadığı bilinmiyor.
