Nesine'nin Çağrı Merkezi Hizmet Sağlayıcısında Siber Saldırı: Ses Kayıtları ve Kimlik Bilgileri Etkilenmiş Olabilir

Nesine.com'u işleten D Elektronik Şans Oyunları ve Yayıncılık A.Ş., çağrı merkezi hizmeti aldığı bir firmanın siber saldırıya uğradığını ve bu saldırıda müşterilere ait verilerin etkilenmiş olabileceğini Kişisel Verileri Koruma Kurumu'na bildirdi. Kurum, Kurul'un 7 Ekim 2026 tarihli ve 2026/2212 sayılı kararı üzerine bildirimi kamuoyuna duyurdu. Çağrı merkezini aramış ya da oradan aranmış kullanıcılar ve üyelik için iletişime geçilen kişiler etkilenenler arasında olabilir.

Ne oldu?

Duyuruya göre saldırı, veri işleyen konumundaki çağrı merkezi hizmet sağlayıcısının sistemlerine yapıldı ve veriler şifrelenerek erişilemez hâle getirildi. Hizmet sağlayıcı 30 Eylül 2026'da hizmet kesintisini fark etti, sorunu tespit etti ve Nesine'yi bilgilendirdi. İhlalin hangi tarihte başladığı bildirimde yer almıyor. İlk incelemelerde verilerin dışarı çıkarıldığına ilişkin bir bulguya rastlanmadığı, ancak saldırganın sistemde kaldığı süre ve ortak altyapı nedeniyle yetkisiz erişimin tamamen dışlanamadığı belirtiliyor. Adli bilişim incelemesi sürüyor.

Hangi veriler etkilenmiş olabilir?

Etkilenen kişi sayısı henüz belirlenemedi. Aynı hafta yayımlanan bildirimlere göre başka şirketlerin çağrı merkezi ve çağrı kaydı hizmet sağlayıcılarında da benzer saldırılar yaşandı; bu da sorunun tek bir firmayla sınırlı olmayabileceğini düşündürüyor.

Hukuken kim sorumlu?

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesine göre veri sorumlusu, verilerin güvenliği için gerekli teknik ve idari tedbirleri almak zorunda. Verilerin başka bir firma adına işlenmesi bu sorumluluğu ortadan kaldırmıyor; Kanun, veri sorumlusu ile veri işleyenin güvenlik tedbirlerinden birlikte sorumlu olduğunu açıkça düzenliyor. İhlali öğrenen veri sorumlusunun bunu en kısa sürede, Kurul kararına göre 72 saat içinde Kurul'a ve ilgili kişilere bildirmesi gerekiyor. Yükümlülüğe aykırılık hâlinde Kanun'un 18. maddesi idari para cezası öngörüyor.

Engellilik bilgisi Kanun'un 6. maddesinde "özel nitelikli kişisel veri" sayılan sağlık verisi kapsamında. Bu tür verilerde güvenlik beklentisi daha yüksek ve olası bir ihlalin değerlendirilmesinde bu durum ayrıca dikkate alınıyor. Sisteme sızan kişiler açısından ise TCK 136, kişisel verileri hukuka aykırı olarak ele geçirmeyi iki yıldan dört yıla kadar hapisle cezalandırıyor.

Kullanıcılar ne yapmalı?

• Bilgi isteyin: KVKK'nın 11. maddesi, verilerinizin işlenip işlenmediğini ve kimlerle paylaşıldığını öğrenme hakkı tanıyor. Başvuruyu [email protected] adresine ya da şirketin sitesindeki başvuru formuyla yapabilirsiniz. Şirketin 30 gün içinde cevap vermesi gerekiyor.
• Kurul'a şikâyet: Başvurunuz reddedilir, cevap yetersiz olur ya da süresinde cevap verilmezse, cevabı öğrendiğiniz tarihten itibaren 30 gün, her hâlde başvurudan itibaren 60 gün içinde Kurul'a şikâyette bulunabilirsiniz (KVKK 14).
• Dolandırıcılığa dikkat: Adınızı, doğum tarihinizi ve önceki şikâyetinizin ayrıntısını bilen biri sizi şirket ya da banka adına arayabilir. Telefonda şifre, doğrulama kodu ya da kart bilgisi paylaşmayın; şüphelendiğinizde aramayı kapatıp şirketin resmî numarasını kendiniz arayın.
• Ses kaydı riski: Ses kayıtları, ses taklidi yapan yazılımlarla yakınlarınızı kandırmaya yönelik girişimlerde kullanılabiliyor. Ailenizle "acil para" taleplerini teyit edeceğiniz bir yöntem belirlemek faydalı.
• Tazminat: İhlal nedeniyle somut bir zarara uğradığınızı ispat edebilirseniz genel hükümlere göre maddi ve manevi tazminat talep edilebiliyor.

Bundan sonra ne olacak?

Adli bilişim incelemesi tamamlandığında etkilenen kişi sayısının ve verilerin dışarı çıkarılıp çıkarılmadığının netleşmesi bekleniyor. Kurul, ihlalin değerlendirilmesini tamamladıktan sonra veri sorumlusu ve veri işleyen hakkında ayrıca karar verebilir. Benzer bir fidye yazılımı saldırısında öğrencilerin ve personelin haklarını şu yazımızda anlatmıştık.