İzmir Büyükşehir Belediyesi’nde Veri İhlali Yaşandı

İzmir Büyükşehir Belediyesi’ne ait iki kurumsal e-posta hesabı yetkisiz kişilerin erişimine açıldı. Kişisel Verileri Koruma Kurumu’nun (KVKK) kamu duyurusunda yer alan bilgilere göre olay, hesaplardan birinden olağan dışı miktarda e-posta gönderildiğinin fark edilmesi üzerine 30 Eylül 2026’da tespit edildi. İhlalden etkilenen kişi sayısı ise inceleme sürdüğü için henüz açıklanmadı.

İlk teknik değerlendirmeler, olayın belediyenin e-posta sunucusundaki bir güvenlik açığından kaynaklanmadığını ortaya koydu. Yetkisiz erişimde daha önce ele geçirilmiş geçerli bir parola kullanıldı. Başka bir deyişle saldırganlar, sunucu altyapısındaki bir açığı aşmak yerine hesap bilgileri üzerinden e-posta hesaplarına girdi.

Posta kutuları dışarı aktarıldı

KVKK’nın paylaştığı bilgilere göre erişim sağlanan iki hesabın posta kutularındaki içerikler tamamen kurum dışına çıkarıldı. Saldırganlar yalnızca yazışmaları okumakla kalmadı; gelen e-postaları otomatik olarak silen kurallar da oluşturdu. Bu tür kurallar, hesap sahibinin yeni iletileri görememesine ve olağan dışı hareketliliği geç fark etmesine neden olabilir.

Hesaplar kullanılarak toplu spam e-postalar da gönderildi ve e-posta ayarlarında değişiklik yapıldı. Ayrıca hesapların imza bölümlerine dolandırıcılık içerikli metinler eklendiği bildirildi. Bu ayrıntı, olayın posta kutularındaki bilgilerin ele geçirilmesinin ötesine geçtiğini gösteriyor: Saldırganlar, hesapları kullanarak kurum dışındaki kişilere mesaj gönderdi ve iletişim bilgilerinin görünümünü değiştirdi.

Belediye çalışanlarının ya da bu hesaplarla daha önce yazışmış kişilerin, gelen mesajlara ilişkin nasıl bir yol izlemesi gerektiği duyuruda ayrıca belirtilmiyor. Yine de beklenmedik bir bağlantı, ödeme talebi veya hassas bilgi isteyen e-posta, gönderen adresi tanıdık görünse bile dikkatle değerlendirilmelidir. Gerekirse talep, e-posta üzerinden yanıt vermek yerine bilinen başka bir iletişim kanalıyla doğrulanabilir. İmza bilgileri de bir mesajın gerçekten ilgili kişi tarafından gönderildiğini tek başına kanıtlamaz.

Etkilenen veri kategorileri henüz netleşmedi

Duyuruda ihlalle ilişkili kişisel veri kategorileri ad, soyad, e-posta adresi ve dahili telefon numarası olarak sıralanıyor. Ancak bu bilgilerin kaç kişiye ait olduğu açıklanmadı. Kurumun incelemesi devam ettiği için ihlalin toplam kapsamı ve etkilenen kişi sayısı hakkında kesin bir sonuç bulunmuyor.

KVKK’nın duyurusunda banka veya ödeme bilgilerinin etkilendiğine ilişkin bir açıklama yer almıyor. Bununla birlikte, iki posta kutusunun içeriğinin dışarı aktarılmış olması, e-posta yazışmalarında başka kişisel verilerin bulunup bulunmadığının da incelenmesini gerektiriyor. Mevcut bilgiler, bu konuda kesin bir değerlendirme yapmak için yeterli değil.

Olayın ortaya koyduğu risklerden biri, geçerli hesap bilgilerinin ele geçirilmesinin kurumsal iletişimi doğrudan etkileyebilmesi. Sunucuda güvenlik açığı tespit edilmemiş olsa bile, ele geçirilmiş bir parolayla hesaplara girilmesi; yazışmaların okunmasına, yeni e-postaların gizlenmesine ve hesapların spam göndermek için kullanılmasına yol açabiliyor. Bu nedenle kurumların sunucu altyapısının yanı sıra çalışan hesaplarının güvenliğini ve hesap hareketlerini de izlemesi gerekiyor.

Çok faktörlü doğrulama, her hesapta farklı ve güçlü parola kullanımı ve şüpheli oturumların takip edilmesi, parola temelli yetkisiz erişim riskini azaltmaya yardımcı olan önlemler arasında. Ancak İzmir Büyükşehir Belediyesi’ndeki olayın nasıl gerçekleştiğine ilişkin doğrulanmış açıklama, daha önce ele geçirilmiş bir parolanın kullanıldığı bilgisiyle sınırlı. KVKK duyurusunda parolanın nasıl ele geçirildiği belirtilmiyor.

Belediyedeki ihlale ilişkin teknik inceleme sürüyor. Şu ana kadar açıklanan bilgiler, iki e-posta hesabına yetkisiz erişim sağlandığını, posta kutularının içeriklerinin dışarı aktarıldığını ve hesapların spam mesaj göndermek için kullanıldığını doğruluyor. Etkilenen kişi sayısı ile yazışmalarda bulunabilecek kişisel verilerin toplam kapsamı ise henüz açıklığa kavuşmuş değil.