Kurumsal sistemleri hedef alan siber olaylar hız kesmeden devam ediyor. Bu kez gündeme gelen gelişme, Kişisel Verileri Koruma Kurumu'nun (KVKK) yayımladığı resmi duyuruyla duyuruldu: İzmir Büyükşehir Belediyesi'nde kişisel verilerin etkilendiği bir ihlal meydana geldi.

İhlal nasıl fark edildi?

dataic

Kuruma yapılan bildirime göre olay, 30 Eylül 2026 tarihinde bir kurumsal e-posta hesabından beklenmedik ölçüde yüksek hacimde ileti gönderilmesinin fark edilmesiyle ortaya çıktı. Bu gözlem, ihlal sürecinin tespit edilmesini sağladı.

İlk teknik incelemeler dikkat çekici bir bulguya işaret etti: Ne sistemin genelinde ne de e-posta sunucusunda doğrudan bir güvenlik açığı bulunmuyordu. Saldırganlar, sunucudaki bir zafiyeti kullanmak yerine önceden çalmış oldukları geçerli bir parolayla hesaba doğrudan erişim kurdu.

İki posta kutusu tamamen dışarı aktarıldı

Yetkisiz erişim sağlanan hesaplardan ikisine ait posta kutu içeriklerinin tamamının kurum dışına aktarıldığı belirlendi. Saldırganların izlerini gizlemek için gelen iletileri otomatik olarak silen özel kurallar tanımladığı da tespit edildi.

Ayrıca ele geçirilen hesaplar üzerinden toplu spam gönderimi yapıldığı, ileti ayarlarının değiştirildiği ve mevcut yazışmaların okunduğu kaydedildi. Olayın en çarpıcı ayrıntılarından biri ise e-posta imza alanına dolandırıcılık amaçlı metinler eklenmesi oldu.

Hangi veriler etkilendi?

Duyuruya göre ihlalden etkilenen kişisel veri türleri ad, soyad, e-posta adresi ve dahili telefon numarası olarak açıklandı. Kaç kişinin etkilendiği henüz netleşmedi; inceleme süreci sürüyor.