İzmir Büyükşehir Belediyesi'nde Veri İhlali: KVKK İnceleme Başlattı

Kişisel Verileri Koruma Kurumu (KVKK), resmi internet sitesi üzerinden yaptığı son duyuruda İzmir Büyükşehir Belediyesi de dahil olmak üzere toplam 10 ayrı veri ihlali bildirimini kamuoyuyla paylaştı. 21 Ekim 2026 tarihinde Kurulun aldığı kararlar çerçevesinde ilan edilen süreç, yerel yönetimlerde siber güvenlik ve veri koruma önlemlerinin önemini bir kez daha gündeme taşıdı. Kurumun paylaştığı resmi bilgilere göre, ilgili belediyede yaşanan güvenlik açığı ve izinsiz veri faaliyetleri detaylı bir şekilde inceleme altına alındı.

İzmir Büyükşehir Belediyesi'nde Veri İhlali Nasıl Tespit Edildi?

Yaşanan olayın arka planına ilişkin detaylar KVKK açıklamasında net bir şekilde yer aldı. Buna göre, veri sorumlusu sıfatını taşıyan belediye yönetimi tarafından kurula iletilen bildirimde, 30 Eylül 2026 tarihinde olağan dışı hacimde e-posta gönderimi yapıldığı fark edildi. Yapılan ilk teknik incelemeler sonucunda, söz konusu e-posta hesaplarına sunucu tarafındaki herhangi bir güvenlik zafiyetinden ötürü değil, daha önceden ele geçirilmiş olan parolalar vasıtasıyla giriş yapıldığı anlaşıldı. Yetkisiz kişilerin erişim sağladığı hesaplar üzerinde ciddi manipülasyonlar gerçekleştirildiği tespit edildi.

Tespit edilen usulsüzlükler arasında, hesaplardaki iki posta kutusu içeriğinin kurum dışına aktarılması, gelen iletileri otomatik olarak silmeye yönelik kuralların tanımlanması ve toplu spam e-posta gönderimi yapılması yer aldı. Ayrıca saldırganların ileti ayarlarını değiştirdiği, mevcut kurumsal yazışmaları açtığı ve e-posta imza alanına dolandırıcılık içerikli metinler eklediği belirlendi. Bu durum, siber korsanların hesaplar üzerinde tam kontrol sağlamaya çalıştığını ve dışarıya veri sızdırdığını gözler önüne serdi.

Hangi Kişisel Veriler Etkilendi ve Süreç Nasıl İlerliyor?

Gerçekleşen siber olaydan etkilenen kişisel verilerin kapsamı da resmi raporda paylaşıldı. İhlalden ötürü mağdur olan kişilerin ad, soyad, e-posta adresi ve dahili telefon numaralarının üçüncü şahısların eline geçtiği bildirildi. Bununla birlikte, siber saldırıdan ve veri sızıntısından etkilenen toplam ilgili kişi sayısının henüz tam olarak belirlenemediği ifade edildi. Konuya ilişkin kapsamlı teknik ve hukuki incelemelerin sürdüğü bildirildi.

Kişisel Verileri Koruma Kurulu, 21 Ekim 2026 tarihli ve 2026/2271 sayılı kararı gereğince söz konusu veri ihlali bildirimini kurumun resmi web sitesinde yayımlama kararı aldı. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12'nci maddesine dayandırılan bu süreç, verilerin hukuka aykırı olarak başkalarının eline geçmesi durumunda veri sorumlularının bildirim yükümlülükleri çerçevesinde yürütülüyor. Benzer tarihlerde Ondokuz Mayıs Üniversitesi ve çeşitli özel sektör kuruluşlarını kapsayan 10 ayrı ihlal dosyasıyla birlikte kamuoyuna duyurulan olayla ilgili denetimlerin devam edeceği aktarıldı.