Hepsiburada veri ihlalinden 9.882 kişi etkilendi

Hepsiburada’nın sohbet hizmetinde kullanılan üçüncü taraf altyapıya yönelik siber saldırı, 9.882 kişinin verilerini etkiledi. Kişisel Verileri Koruma Kurumu (KVKK) tarafından yayımlanan bildirime göre saldırganlar, 2022 tarihli sohbet kayıtlarına yetkisiz erişim sağladı. Olay, D-Market Elektronik Hizmetler ve Ticaret A.Ş. adına Kuruma iletildi.

Bildirim, ihlalin doğrudan Hepsiburada’nın kendi sistemlerinde değil, şirkete sohbet altyapısı sağlayan veri işleyen firmada yaşandığını belirtiyor. Bununla birlikte etkilenen kayıtların Hepsiburada hizmetleriyle bağlantılı olması nedeniyle olay şirket adına KVKK’ye bildirildi. Kurum, ihlale ilişkin incelemenin devam ettiğini açıkladı.

Sohbet kayıtlarında hangi bilgiler vardı?

KVKK bildiriminde etkilenen veriler kimlik, iletişim ve müşteri işlemleri olmak üzere üç başlıkta sıralanıyor. Kimlik bilgileri ad ve soyadla sınırlı. İletişim verileri arasında cep telefonu numarası, e-posta adresi ve adres bulunuyor.

Müşteri işlem kayıtları ise sipariş ve gönderi numaralarının yanı sıra talep ve şikâyet bilgilerini kapsıyor. Kişilerin satın aldığı ya da iptal ettiği ürünlere ilişkin bilgiler de bu grupta yer alıyor. Dolayısıyla erişilen sohbet kayıtları yalnızca iletişim bilgilerini değil, kullanıcıların Hepsiburada üzerinden gerçekleştirdiği bazı işlemlere dair ayrıntıları da içerebiliyor.

İhlalden etkilenmiş olabilecek kişi grupları müşterilerle sınırlı değil. Bildirimde çalışanlar, potansiyel müşteriler, tedarikçi çalışanları, iş ortakları ve satıcılar da ilgili kişi grupları arasında sayılıyor. Açıklanan toplam etkilenen kişi sayısı 9.882.

Bildirim, hangi kişilerin hangi veri kategorilerinin ihlalden etkilendiğine dair kişi bazında bir döküm sunmuyor. Bu nedenle açıklanan kapsam, kayıt türleri ve ilgili kişi gruplarıyla sınırlı. Ayrıca verilerin kötüye kullanıldığına ilişkin bir bulgu da paylaşılmadı; açıklanan olay, kayıtlara yetkisiz erişim sağlanması.

İhlal üçüncü taraf altyapıda yaşandı

Şirketler müşteri hizmetleri ve sohbet özellikleri için dışarıdan hizmet aldığında, bu hizmetlerin barındırıldığı sistemlerdeki güvenlik riskleri de gündeme geliyor. Bu olayda erişimin, Hepsiburada’nın sohbet altyapısını sağlayan firmada tutulan eski kayıtlara yönelik olduğu bildirildi. Açıklanan bilgiler ihlalin kapsamını 2022 tarihli sohbet kayıtlarıyla sınırlıyor; daha yeni kayıtların etkilenip etkilenmediğine ilişkin ek bilgi paylaşılmadı.

Üçüncü taraf bir hizmet sağlayıcının altyapısında yaşanan olay, müşteri verilerinin bulunduğu sistemlerin yalnızca şirketlerin kendi merkezî altyapılarından ibaret olmadığını hatırlatıyor. Sohbet hizmeti gibi dışarıdan alınan çözümlerde de kullanıcılarla yapılan yazışmalar ve işlem ayrıntıları saklanabiliyor. Bu nedenle veri erişimlerinin sınırlandırılması ve saklama süreçlerinin yönetilmesi, hizmeti alan şirketin yanı sıra altyapı sağlayıcısının güvenlik uygulamalarını da gündeme getiriyor.

Ancak KVKK’nin yayımladığı bildirim, saldırının nasıl gerçekleştirildiği, hangi teknik açıktan yararlanıldığı ya da erişimin ne kadar sürdüğü konusunda ayrıntı vermiyor. Saldırganların verileri dışarı aktarıp aktarmadığına ilişkin de ek bir bilgi yer almıyor. Bu yüzden açıklanan kapsamın ötesinde teknik sonuç çıkarmak mümkün değil.

KVKK incelemesi sürüyor

Kişisel Verileri Koruma Kurulu, 4 Kasım 2026 tarihli ve 2026/2438 sayılı kararıyla ihlal bildirimini Kurumun internet sitesinde yayımladı. Karar, olayın kamuoyuna duyurulmasını sağladı; incelemenin tamamlandığı anlamına gelmiyor. Kurumun açıklamasına göre değerlendirme süreci devam ediyor.

İhlalden etkilenmiş olabileceğini düşünen kişilerin Hepsiburada’nın resmî iletişim kanallarından yapılacak bilgilendirmeleri takip etmesi yararlı olabilir. Bildirimde telefon, e-posta ve adres gibi iletişim bilgileri bulunduğu için bu kanallara yönelik şüpheli mesaj ve aramalara karşı temkinli davranmak da uygun olur. Bununla birlikte mevcut açıklama, kişisel bilgilerin kötüye kullanıldığına dair bir bulgu ortaya koymuyor; doğrulanan bilgi, 2022 tarihli sohbet kayıtlarına yetkisiz erişim sağlandığı ve olayla ilgili KVKK incelemesinin sürdüğü.