YTÜ’de Fidye Yazılımı Saldırısı: 145 Bin Kişi Etkilenebilir

Yıldız Teknik Üniversitesi’nin bilişim altyapısı, geniş bir öğrenci ve personel grubunu ilgilendiren fidye yazılımı saldırısıyla gündeme geldi. Kişisel Verileri Koruma Kurumu’na yapılan bildirimde, üniversitenin sanallaştırma altyapısı ile bu yapı üzerinde çalışan sunucuların saldırıdan etkilendiği belirtildi.

Sanallaştırma altyapısı, fiziksel sunucular üzerinde birden fazla sanal sunucunun çalıştırılmasını sağlayan teknoloji olarak kullanılıyor. Bu nedenle böyle bir altyapıda yaşanan sorun, tek bir bilgisayarın devre dışı kalmasından daha geniş bir sistemi etkileyebilir. YTÜ’nün bildiriminde saldırının hangi hizmetlerde kesintiye yol açtığına ilişkin ayrıntılı bilgi paylaşılmadı.

İlk bilgilere göre olay 1 Ekim 2026’da başladı ve aynı gün tespit edildi. Üniversitenin teknik ekipleri, saldırının ardından sanallaştırma altyapısı ve bağlı sunucular üzerinde inceleme başlattı. İnceleme sürerken saldırının hangi verileri etkilediği, hangi sistemlere erişildiği ve sistemlerden dışarıya veri aktarılıp aktarılmadığı kesinleşmedi.

Yaklaşık 145 bin kişilik grup inceleniyor

KVKK bildiriminde olaydan etkilenmiş olabilecek kişi grupları öğrenciler, akademik personel, idari personel ve üniversite tesislerini ziyaret eden kişiler olarak sıralandı. Üniversitenin mevcut kayıtları üzerinden yapılan ilk değerlendirme, yaklaşık 140 bin öğrencinin ve 4 bin 500 personelin olaydan etkilenmiş olabileceğini gösteriyor.

Bu iki grup birlikte değerlendirildiğinde yaklaşık 144 bin 500 kişilik bir sayı ortaya çıkıyor. Ancak bu rakam, kişisel verileri kesin olarak ele geçirilen kişilerin sayısı anlamına gelmiyor. Üniversite, mevcut sistem kayıtlarından hareketle olaydan etkilenmiş olabilecek kişi sayısını tahmini olarak paylaştı.

Ziyaretçilere ilişkin sayı ise henüz belirlenemedi. Bunun nedeni, teknik incelemenin tamamlanmamış olması ve ziyaretçi kayıtlarının olayın kapsamı açısından ayrıca değerlendirilmesi. Dolayısıyla açıklanan toplam, nihai veri ihlali sayısı olarak kabul edilemiyor.

Burada iki farklı konuyu ayırmak gerekiyor: Saldırıdan etkilenmiş olabilecek kişi grubu ve verilerine gerçekten erişildiği doğrulanan kişiler. Mevcut bildirim, ilk gruba ilişkin bir tahmin sunuyor; ikinci grubun kapsamını ise henüz ortaya koymuyor.

Hangi kişisel verilerin etkilendiği belirsiz

Fidye yazılımı saldırısının ardından bazı sistemlerin erişilemez hâle gelmiş olabileceği değerlendiriliyor. Buna karşın KVKK’ya iletilen ilk bilgilerde, dışarı sızan veya kullanılamaz duruma gelen kişisel veri kategorileri kesinleştirilmiş değil.

Bu nedenle öğrencilerin, akademik ve idari çalışanların ya da ziyaretçilerin hangi bilgilerinin risk altında olduğunu şu aşamada söylemek mümkün değil. Kimlik bilgileri, iletişim bilgileri veya başka kişisel veri türlerinin etkilenip etkilenmediğine dair doğrulanmış bir açıklama bulunmuyor. Üniversitenin teknik ekipleri, hangi sunucuların etkilendiğini ve bu sunucularda hangi verilerin bulunduğunu incelemeyi sürdürüyor.

Saldırının sanallaştırma altyapısına ve burada çalışan sunuculara yönelmiş olması, olayın tek bir kullanıcı cihazıyla sınırlı olmadığını gösteriyor. Bununla birlikte bu durum, altyapıda bulunan bütün verilerin ele geçirildiği anlamına gelmiyor. Erişim, veri aktarımı ve sistemlerin kullanılabilirliğiyle ilgili kesin sonuçlara teknik incelemenin ardından ulaşılabilecek.

Nihai kapsam inceleme sonrasında belirlenecek

Üniversitenin bildirimi, olayın ilk tespitlerine dayanıyor. Öğrenci, personel ve ziyaretçi kayıtlarının ayrı ayrı incelenmesi; hangi sistemlerin etkilendiğinin belirlenmesi ve kişisel veri kategorilerinin netleştirilmesi gerekiyor. Bu çalışmalar tamamlanmadan veri ihlalinin nihai boyutu hakkında kesin bir değerlendirme yapılamıyor.

Şu anki bilgiler, yaklaşık 140 bin öğrencinin ve 4 bin 500 personelin olaydan etkilenmiş olabileceğini ortaya koyuyor. Ziyaretçilere ilişkin sayı ile erişilen veya erişilemez hâle gelen verilerin türü ise açıklanmış değil. YTÜ’nün teknik incelemesinden elde edilecek sonuçlar ve KVKK’ya sunulabilecek ek bilgiler, saldırının kapsamını daha net ortaya çıkaracak.

Bu nedenle mevcut rakamları doğrulanmış veri sızıntısı sayısı olarak değil, olaydan etkilenmiş olabilecek kişiler için yapılan ilk tahmin olarak değerlendirmek gerekiyor. Saldırının etkilediği sistemler ve kişisel veri kategorileri kesinleştiğinde, öğrenciler ile çalışanlar açısından oluşan riskin boyutu da daha anlaşılır hâle gelecek.