Hepsiburada Veri İhlali: 9.882 Kişisel Veri Sızdırıldı

Kişisel Verileri Koruma Kurumu (KVKK) tarafından yapılan bir bildirim, e-ticaret dünyasında veri güvenliği tartışmalarını yeniden alevlendirdi. D-Market Elektronik Hizmetler ve Ticaret A.Ş. bünyesindeki Hepsiburada, önemli bir veri ihlali ile karşı karşıya kaldı. Platformun kullandığı bir chat altyapısı hizmeti sağlayıcısı üzerinden gerçekleşen siber saldırı, 2022 yılına ait kayıtların yetkisiz kişilerce ele geçirilmesine yol açtı. Bu durum, yaklaşık on bin kullanıcının kişisel verilerinin güvensiz ellere geçme riskini beraberinde getiriyor ve dijital platformların üçüncü taraf hizmet sağlayıcıları ile olan ilişkilerinin ne denli hassas olduğunu gözler önüne seriyor.

KVKK Bildirimi ve Dijital Ticaretin Güvenlik Riskleri

Kişisel Verileri Koruma Kurumu, 04.11.2026 tarih ve 2026/2438 sayılı Kararı ile D-Market Elektronik Hizmetler ve Ticaret A.Ş.’ye ait Hepsiburada için bir veri ihlali bildirimi yayımladı. Bu bildirim, günümüz dijital ekosisteminde sıkça karşılaşılan bir güvenlik zafiyetinin sonucunu ortaya koyuyor: Üçüncü taraf hizmet sağlayıcılar üzerinden gerçekleşen siber saldırılar. E-ticaret platformları, iş süreçlerini kolaylaştırmak ve kullanıcı deneyimini zenginleştirmek amacıyla çeşitli dış hizmetlere başvurur. Canlı destek chat altyapıları, ödeme sistemleri, lojistik takip araçları bu hizmetlere örnek olarak gösterilebilir. Ancak bu dışa bağımlılık, veri sorumlusu olan ana şirketi, hizmet aldığı veri işleyenin güvenlik standartları konusunda yeni risklerle yüz yüze bırakır. KVKK’nın bu konudaki düzenlemeleri, veri sorumlularının yalnızca kendi sistemlerini değil, birlikte çalıştıkları tüm iş ortaklarının güvenlik düzeylerini de yakından takip etmelerini zorunlu kılıyor.

Hepsiburada örneğinde, veri sorumlusu D-Market Elektronik Hizmetler ve Ticaret A.Ş., chat altyapısı hizmeti sunan bir veri işleyen nezdinde barındırılan kayıtlara yetkisiz erişim sağlandığını KVKK’

Siber Saldırının Mekanizması ve Etkilenen Veri Türleri

Veri ihlalinin detayları, siber saldırının nasıl bir yol izlediğini ve hangi kişisel veri kategorilerinin risk altına girdiğini açıklıyor. Bildirime göre, Hepsiburada’nın kullandığı chat altyapısı hizmetini sağlayan veri işleyenin sistemlerinde depolanan 2022 yılına ait chat kayıtlarına yetkisiz erişim gerçekleşti. Burada veri sorumlusu, kişisel verilerin işleme amaçlarını ve yöntemlerini belirleyen Hepsiburada’dır; veri işleyen ise Hepsiburada adına kişisel verileri işleyen, yani chat hizmetini sunan üçüncü taraf şirkettir. Bu senaryoda saldırganlar, veri işleyenin sistemlerindeki zafiyetleri kullanarak Hepsiburada kullanıcılarına ait kayıtlara ulaştı.

İhlalden etkilenen kişisel verilerin kapsamı oldukça geniş. Bunlar arasında kimlik bilgileri (ad, soyadı), iletişim bilgileri (cep telefonu numarası, e-posta adresi, fiziksel adres) ve müşteri işlem verileri (sipariş numarası, gönderi numarası, talep/şikayet kayıtları, satın alınan/iptal edilen ürün bilgileri) bulunuyor. Özellikle müşteri işlem verileri, kullanıcıların alışveriş alışkanlıkları ve şikayet geçmişleri hakkında detaylı bilgi içerdiği için ayrı bir hassasiyet taşıyor. Bu verilerin ele geçirilmesi, kimlik avı saldırılarından (phishing) kişiye özel dolandırıcılık girişimlerine kadar çeşitli kötü niyetli faaliyetlere zemin hazırlayabilir.

Binlerce Kullanıcının Maruz Kaldığı Riskler

Siber saldırıdan etkilenen kişi sayısının 9.882 olduğu açıklandı. Bu sayı, ihlalin küçümsenemeyecek bir boyutta olduğunu gösteriyor. Etkilenen ilgili kişi grupları da oldukça çeşitli: çalışanlar, müşteriler/potansiyel müşteriler, tedarikçi çalışanları, iş ortakları ve satıcılar. Bu geniş yelpaze, ihlalin sadece doğrudan müşterileri değil, Hepsiburada’nın iş ekosistemindeki farklı paydaşları da etkilediğini gösteriyor.

Ele geçirilen verilerle yapılabilecek olası kötüye kullanımlar, etkilenen kişiler için çeşitli riskler barındırıyor. Kimlik ve iletişim bilgileri, hedefli oltalama saldırıları için kullanılabilir. Kullanıcıların sipariş ve şikayet geçmişleri, dolandırıcıların daha inandırıcı senaryolar oluşturmasına olanak tanır. Örneğin, ele geçirilen sipariş numaraları veya ürün bilgileri ile sahte kargocu veya müşteri hizmetleri aramaları yapılabilir. Bu durum, bireylerin finansal kayıplar yaşamasına, kimliklerinin kötüye kullanılmasına veya kişisel gizliliklerinin ihlal edilmesine yol açabilir. Etkilenen her grup için risk profili farklılaşsa da, veri güvenliğinin ihlali her durumda ciddi sonuçlar doğurma potansiyeli taşır.

Veri İhlaline Karşı Bireysel Önlemler ve İletişim Kanalları

Hepsiburada veri ihlalinden etkilenen veya etkilenme ihtimali olan kullanıcıların alabileceği bazı bireysel önlemler bulunuyor. Öncelikle, e-posta ve SMS yoluyla gelen şüpheli mesajlara karşı dikkatli olmak büyük önem taşıyor. Özellikle bankacılık işlemleri, kredi kartı bilgileri veya kişisel şifreler isteyen mesajlara itibar etmemek gerekiyor. Kullanıcıların, Hepsiburada hesaplarının şifrelerini değiştirmeleri ve farklı platformlarda aynı şifreyi kullanıyorlarsa bu şifreleri de güncellemeleri tavsiye edilir. İki faktörlü kimlik doğrulama gibi ek güvenlik adımlarının aktif hale getirilmesi de hesap güvenliğini artıracaktır.

Konu hakkında daha fazla bilgi almak isteyen veya ihlalden etkilendiğini düşünen ilgili kişiler için Hepsiburada, iki farklı iletişim kanalı sunuyor. Kullanıcılar, kvkkbilgi@hepsiburada.com e-posta adresi veya 0850 252 40 00 numaralı çağrı merkezi üzerinden detaylı bilgi alabilirler. Şirket ile doğrudan iletişime geçmek, doğru ve güvenilir bilgiye ulaşmanın en güvenli yoludur. Kullanıcıların, bu olayla ilgili olası dolandırıcılık girişimlerine karşı dikkatli olmaları ve sadece resmi kanallardan bilgi edinmeleri kritik önem taşıyor.

E-Ticarette Veri Güvenliği ve Kurumsal Sorumluluk

Hepsiburada örneği, e-ticaret sektöründe veri güvenliğinin çok katmanlı bir sorumluluk gerektirdiğini bir kez daha gösteriyor. Veri sorumlusu olan ana şirketlerin, yalnızca kendi iç sistemlerini değil, birlikte çalıştıkları üçüncü taraf veri işleyenlerin güvenlik politikalarını ve uygulamalarını da sıkı bir şekilde denetlemesi gerekiyor. Bu, sözleşmesel yükümlülüklerin ötesinde, düzenli güvenlik denetimleri ve zafiyet testleri ile desteklenmelidir. Zira bir veri ihlalinde sorumluluk, zincirin en zayıf halkasında olsa bile, ana veri sorumlusu üzerinde toplanabiliyor.

KVKK’nın devam eden incelemesi, Hepsiburada’nın ve chat altyapısı sağlayıcısının bu ihlaldeki rolünü ve aldığı önlemleri daha derinlemesine analiz edecektir. Bu tür kararlar, diğer e-ticaret platformları için de caydırıcı bir emsal teşkil ederek, sektör genelinde veri güvenliği standartlarının yükseltilmesine katkı sağlayabilir. Dijital ekonominin büyümesiyle birlikte, kişisel verilerin korunması, sadece bir yasal zorunluluk değil, aynı zamanda müşteri güvenini tesis etmenin ve sürdürülebilir bir iş modelinin temel direklerinden biri haline gelmiştir. Şirketlerin, siber güvenlik yatırımlarını önceliklendirmesi ve ihlallere karşı proaktif savunma stratejileri geliştirmesi, artık bir tercih değil, zorunluluktur.