D-Market çatısı altında hizmet veren online alışveriş devi Hepsiburada, canlı destek servisi tedarik ettiği dış yazılım sağlayıcısının sistemlerine düzenlenen siber müdahale yüzünden veri sızıntısı yaşandığını duyurdu. Kişisel Verileri Koruma Kurulu (KVKK), 2026/2438 sayılı ve 4 Kasım 2026 tarihli resmi kararıyla söz konusu güvenlik ihlalini kamuoyuna bildirdi. Kurum tarafından sürdürülen detaylı incelemelerde, olaydan toplamda 9 bin 882 kişinin olumsuz etkilendiği tespit edildi.
Paylaşılan resmi beyanlara göre yetkisiz sızma, Hepsiburada’nın doğrudan idare ettiği ana sunucu altyapısında gerçekleşmedi. Siber korsanlar, platform kullanıcılarına müşteri temsilcileriyle anlık yazışma imkanı sunan üçüncü taraf canlı yardım altyapı firmasını hedef aldı. Yaşanan bu siber olayda, 2022 yılına ait görüşme ve iletişim kayıtlarına izinsiz ulaşıldığı belirlendi.
Sızdırılan Bilgiler ve Güvenlik Durumu
Gerçekleşen veri ihlali neticesinde ele geçirilen veriler arasında müşteri diyaloglarına dair çeşitli kişisel detaylar bulunuyor. Ele geçen verilerde kullanıcıların ad ve soyadları, telefon bilgileri, e-posta adresleriyle birlikte ikamet adresleri yer alıyor. Bunun yanı sıra e-ticaret platformundaki işlemlere ilişkin kargo takip numaraları, sipariş kodları, destek ekibine iletilen talep ve şikayet yazıları ile satın alınan ya da iptal edilen ürünlere ait ayrıntılar da sızdırılan veriler arasında bulundu.
Şirket yetkililerinin KVKK’ya sunduğu bildirimde, kullanıcı parolaları, kredi kartı verileri veya T.C. kimlik numaralarının sızdırılan veriler arasında yer almadığı belirtildi. Yine de ödeme ve parola verilerinin bu listede çıkmaması, soruşturmanın nihayete erdiği ya da platformdaki diğer verilerin güvende olduğu anlamına gelmiyor.
Etkilenen Kullanıcı Grupları ve Henüz Netleşmeyen Noktalar
Meydana gelen siber güvenlik problemi sadece alışveriş yapan tüketicilerle sınırlı kalmadı. İncelemeler sonucunda 9 bin 882 kişilik kitlede müşterilerin dışında şirket çalışanlarının, tedarikçi personelinin, iş ortaklarının ve pazaryerinde satış yapan mağaza sahiplerinin de bulunduğu anlaşıldı. Güvenlik ihlaliyle bağlantılı olarak doğrulanmış herhangi bir dolandırıcılık vakasının henüz açıklanmadığı bildirildi.
Diğer yandan olaya dair belirsizliğini koruyan kritik noktalar mevcut. Saldırıya uğrayan dış kaynak yazılım firmasının ticari ismi, siber müdahalenin tam olarak hangi tarihte yapıldığı ve korsanların sistemdeki hangi açıktan yararlandığı resmi duyuruda açıklanmadı. Bununla beraber yetkisiz kişilerin sistemde ne kadar süre kaldığı, sızdırılan verilerin başka taraflara aktarılıp aktarılmadığı ve KVKK incelemesi bittiğinde herhangi bir idari para cezası uygulanıp uygulanmayacağı netlik kazanmadı.
Kullanıcıları Bekleyen Riskler ve İletişim Kanalları
İletişim ve alışveriş detaylarının üçüncü şahısların eline geçmesi, platform üyeleri açısından özellikle oltalama (phishing) dolandırıcılığı riski doğuruyor. Sahte mesajlar ya da aldatıcı ödeme linkleri yardımıyla kişisel verilere ulaşmayı amaçlayan siber dolandırıcılık yöntemlerine karşı kullanıcıların son derece dikkatli davranması tavsiye ediliyor. Müşteri hizmetleri yetkilisi gibi davranarak gönderilen kaynağı belirsiz bağlantılara kesinlikle tıklanmaması gerekiyor.
Hepsiburada, veri sızıntısından etkilenip etkilenmediğini sormak veya konu hakkında ayrıntılı bilgi almak isteyen kişiler için özel iletişim yollarını açıkladı. Kullanıcılar sürece dair bilgi almak adına [email protected] e-posta adresi ya da 0850 252 40 00 telefon hattı aracılığıyla şirketle irtibata geçebiliyor. KVKK tarafındaki yasal süreç ise devam etmekte.
