İzmir Büyükşehir Belediyesi’nde Veri İhlali Tespit Edildi: E-posta Hesaplarından Kişisel Veriler Sızdırıldı

İzmir Büyükşehir Belediyesi, kurumsal e-posta hesaplarına yönelik yetkisiz erişim nedeniyle kişisel verileri etkileyen bir veri ihlalini Kişisel Verileri Koruma Kurumuna (KVKK) bildirdi. Olay, 30 Eylül 2026 tarihinde bir e-posta hesabından olağan dışı miktarda ileti gönderildiğinin fark edilmesiyle ortaya çıktı. İlk incelemelerde saldırganların ele geçirilmiş bir parola üzerinden hesaplara eriştiği belirlenirken iki posta kutusundaki yazışmaların kurum dışına aktarıldığı açıklandı.

Saldırganlar E-posta Hesaplarına Ele Geçirilmiş Parolayla Erişti

İzmir Büyükşehir Belediyesindeki veri ihlaline ilişkin ilk teknik incelemeler, e-posta sunucusunda veya sistem genelinde doğrudan bir güvenlik açığı tespit etmedi. Bulgular, saldırganların sunucu yazılımındaki bir açıktan yararlanmak yerine daha önce ele geçirilmiş geçerli bir parolayla kurumsal hesaplara giriş yaptığını gösterdi. Bu yöntem, saldırganların her zaman karmaşık bir yazılım açığından yararlanmadığını ve ele geçirilen hesap bilgilerinin de kurumlar açısından ciddi risk oluşturduğunu ortaya koyuyor.

Kurumsal e-posta hesapları, yazışmaların yanı sıra iletişim bilgileri ve kurum içi bilgi akışını da barındırdığı için saldırganlar açısından önemli hedefler arasında bulunuyor. Geçerli kimlik bilgileriyle gerçekleştirilen yetkisiz erişimler, ilk aşamada normal bir kullanıcı oturumundan ayırt edilmeyi zorlaştırabiliyor. Bu nedenle yalnızca sunucu güvenliğini sağlamak, hesapların ele geçirilmesi riskini tek başına ortadan kaldırmıyor.

KVKK’ye bildirilen olay kapsamında yetkisiz erişim sağlanan hesaplardan ikisinin posta kutusu içeriklerinin tamamen kurum dışına çıkarıldığı belirlendi. Saldırganların hesaplarda kalıcılık sağlamak ve faaliyetlerinin fark edilmesini geciktirmek amacıyla gelen e-postaları otomatik olarak silen kurallar oluşturduğu tespit edildi. Ayrıca hesaplar üzerinden toplu spam gönderimi yapıldığı, ileti ayarlarının değiştirildiği ve mevcut yazışmaların açılarak okunduğu kaydedildi.

Gelen iletileri otomatik silen kurallar, hesap sahiplerinin şüpheli faaliyetleri fark etmesini geciktirebilen yöntemler arasında yer alıyor. Saldırganların posta kutusu ayarlarını değiştirmesi, yalnızca veri okumakla sınırlı kalmayıp ele geçirilen hesabın çalışma biçimini de kontrol etmeye çalıştıklarını gösteriyor. Toplu istenmeyen e-posta gönderimi ise belediyenin kurumsal adreslerinin spam faaliyetlerinde kullanılmasına ve iletişim güvenilirliğinin zarar görmesine yol açabilecek ayrı bir risk oluşturuyor.

İhlal sırasında saldırganların e-posta imza alanlarına dolandırıcılık amacı taşıyan metinler eklediği de bildirildi. Kurumsal yazışmalarda kullanılan imzalar, alıcıların mesajın güvenilir bir kaynaktan geldiğine inanmasını kolaylaştırabildiği için bu değişiklik sosyal mühendislik saldırılarında risk yaratıyor. Alıcılar, tanıdıkları bir kurumdan veya çalışandan geldiğini düşündükleri iletilerdeki sahte yönlendirmelere karşı daha az şüphe duyabiliyor.

E-posta hesaplarının ele geçirilmesiyle birlikte yazışmaların okunması, ileti ayarlarının değiştirilmesi ve kurum adına spam gönderilmesi, olayın birden fazla kötüye kullanım biçimi içerdiğini gösteriyor. Özellikle daha önceki yazışmalara erişim sağlayan saldırganlar, mevcut iletişim ilişkilerini kullanarak yanıltıcı mesajlar hazırlayabiliyor. Bu nedenle ihlalin etkileri, yalnızca hesap sahiplerinin verileriyle sınırlı kalmayıp yazışmalarda bulunan diğer kişileri de ilgilendirebilir.

KVKK’ye yapılan bildirimde ihlalden etkilenen kişisel veri kategorileri ad, soyad, e-posta adresi ve dahili telefon numarası olarak açıklandı. Etkilenen kişi sayısı ise bildirim sırasında henüz kesinleştirilmedi; incelemenin sürdüğü belirtildi. Posta kutularının içeriklerinin dışarı aktarılmış olması nedeniyle etkilenen toplam kişi sayısının belirlenmesi, olayın kapsamının netleştirilmesi açısından önem taşıyor.

Kişisel iletişim bilgilerinin ele geçirilmesi, hedefli oltalama mesajları, sahte kurum yazışmaları ve telefon üzerinden yürütülen dolandırıcılık girişimleri için kullanılabilecek bir veri tabanı oluşturabilir. Bununla birlikte mevcut bildirim, söz konusu verilerin başka amaçlarla kullanıldığını veya kaç kişinin doğrudan dolandırıcılık girişimiyle karşılaştığını ortaya koymuyor. Bu tür olasılıkların gerçekleşip gerçekleşmediği, devam eden incelemeler ve olay sonrasındaki tespitlerle netleşebilir.

İzmir Büyükşehir Belediyesi’nde yaşanan olay, geçerli bir parolanın ele geçirilmesinin kurumsal sistemlerde geniş kapsamlı sonuçlar doğurabileceğini gösteriyor. Çok faktörlü kimlik doğrulama, şüpheli oturumların izlenmesi, posta kutusu kurallarının düzenli denetlenmesi ve olağan dışı e-posta gönderimlerinin tespit edilmesi, benzer saldırıların etkisini azaltmaya yardımcı olabilecek güvenlik önlemleri arasında bulunuyor. Kurumların ayrıca parola güvenliğini güçlendirmesi ve şüpheli erişimlerde hesapları hızla korumaya alması gerekiyor.

Devam eden incelemenin etkilenen kişi sayısını ve olayın kapsamını netleştirmesi beklenirken kurumların benzer ihlallere karşı yalnızca teknik açık taramalarına güvenmemesi önem taşıyor. Kimlik bilgileriyle gerçekleştirilen saldırılarda güvenlik kayıtlarının incelenmesi, hesap hareketlerinin izlenmesi ve şüpheli iletilerin doğrulanması kritik rol oynuyor. Özellikle belediyeler gibi geniş bir kesimle iletişim kuran kamu kurumlarında e-posta güvenliği, kişisel verilerin korunmasının yanı sıra vatandaşların kurumsal iletişime duyduğu güven açısından da önem taşıyor.