İzmir Büyükşehir Belediyesi'nde kurumsal e-posta hesaplarını hedef alan bir veri ihlali yaşandı. KVKK tarafından yayımlanan kamu duyurusuna göre olay, 30 Eylül 2026 tarihinde kuruma ait bir e-posta hesabından olağan dışı miktarda ileti gönderildiğinin fark edilmesi üzerine tespit edildi. Yapılan teknik incelemelerde, yetkisiz kişilerin ele geçirilmiş bir parola kullanarak hesaplara eriştiği belirlendi.
İzmir Büyükşehir Belediyesi'nde veri ihlali nasıl gerçekleşti?
Veri ihlalinin ardından başlatılan ilk teknik incelemelerde, kurumun genel sisteminde veya e-posta sunucusunda doğrudan bir güvenlik açığına rastlanmadı. Yetkisiz erişimin, daha önce ele geçirilmiş geçerli bir parola aracılığıyla gerçekleştirildiği tespit edildi. Böylece saldırganların e-posta sunucusundaki bir güvenlik açığından yararlanmadan kurumsal hesaplara giriş yaptığı anlaşıldı.
İki e-posta hesabındaki bilgiler kurum dışına aktarıldı
İncelemelerde, yetkisiz erişim sağlanan hesaplardan ikisine ait posta kutusu içeriklerinin tamamen kurum dışına aktarıldığı belirlendi. Söz konusu hesaplarda bulunan mevcut yazışmaların açılarak okunduğu, ileti ayarlarının değiştirildiği ve hesaplar üzerinden toplu spam e-posta gönderildiği kaydedildi. Ayrıca saldırganların, hesaplara gelen iletileri otomatik olarak silmek amacıyla özel kurallar oluşturduğu tespit edildi. Bu işlemlerin sistemdeki yetkisiz erişimin devam etmesini sağlamak ve olayın fark edilmesini geciktirmek amacıyla gerçekleştirildiği belirtildi.
E-posta imzalarına dolandırıcılık içerikli metinler eklendi
KVKK'ye bildirilen ihlalin teknik ayrıntılarında, kurumsal e-posta hesaplarının imza alanlarında da değişiklik yapıldığı ortaya çıktı. Yetkisiz erişim sağlayan kişilerin, e-posta imzalarına dolandırıcılık içerikli metinler eklediği belirlendi. Bunun yanı sıra hesaplardan toplu e-posta gönderildiği ve mevcut yazışmaların incelendiği bilgisi paylaşıldı.
İzmir Büyükşehir Belediyesi veri ihlalinde hangi kişisel bilgiler etkilendi?
KVKK tarafından yayımlanan duyuruya göre veri ihlalinden etkilenen kişisel bilgi kategorileri arasında ad, soyad, e-posta adresi ve dahili telefon numarası bulunuyor. Yetkisiz kişilerin erişim sağladığı iki posta kutusunun içeriğinin kurum dışına aktarılmasıyla söz konusu kişisel verilerin de ihlalden etkilendiği bildirildi.
Veri ihlalinden kaç kişi etkilendi?
İzmir Büyükşehir Belediyesi'nde yaşanan veri ihlalinden etkilenen toplam kişi sayısı henüz kesin olarak belirlenmedi. KVKK'ye yapılan bildirim doğrultusunda olayın kapsamına ve etkilenen kişi sayısına ilişkin incelemelerin devam ettiği aktarıldı.
Kişisel Verileri Koruma Kurumu (KVKK) bugün resmi sitesi üzerinden İzmir Büyükşehir Belediyesi için bir veri ihlal bildirimi geçti. Süreçle alakalı yapılan resmi açıklamada,
“Veri sorumlusu sıfatını haiz olan İzmir Büyükşehir Belediyesi tarafından Kurula iletilen veri ihlal bildiriminde özetle; bir kurumsal e-posta hesabından olağan dışı hacimde e-posta gönderimi yapıldığının 30.09.2026 tarihinde tespit edildiği, ilgili hesaba e-posta sunucusundaki bir güvenlik zafiyetinden ötürü değil, önceden ele geçirilmiş parola vasıtasıyla erişim sağlandığının anlaşıldığı, yetkisiz erişim sağlanan hesaplardan ikisine ait posta kutusu içeriklerinin kurum dışına aktarıldığının, gelen iletileri silmeye yönelik kural tanımlandığının, toplu spam gönderimi yapıldığının, ileti ayarlarının değiştirildiğinin, mevcut yazışmaların açıldığının ve e-posta imza alanına dolandırıcılık içerikli metin eklendiğinin görüldüğü, ihlalden etkilenen kişisel verilerin; ad, soyad, e-posta adresi ve dahili telefon numarası olduğu, ihlalden etkilenen ilgili kişi sayısının tam olarak belirlenemediği bilgilerine yer verilmiştir. Konuya ilişkin inceleme devam etmekle birlikte, Kişisel Verileri Koruma Kurulunun 21.10.2026 tarih ve 2026/2271 sayılı Kararı ile söz konusu veri ihlali bildiriminin Kurumun internet sitesinde ilan edilmesine karar verilmiştir. Kamuoyuna saygıyla duyurulur.” ifadelerine yer verildi.
