KVKK Açıkladı: Hepsiburada Müşterilerinin Sipariş ve Adres Bilgileri Ele Geçirildi
Hepsiburada’nın hizmet aldığı canlı sohbet altyapısına düzenlenen siber saldırı sonucunda 9 bin 882 kişinin kişisel verilerine yetkisiz erişim sağlandı. Kişisel Verileri Koruma Kurumu (KVKK) tarafından yayımlanan bildirime göre saldırganlar, 2022 yılına ait müşteri hizmetleri kayıtlarından kimlik, iletişim ve sipariş bilgilerini ele geçirdi. İhlalden müşterilerin yanı sıra çalışanlar, tedarikçi çalışanları, iş ortakları ve satıcıların da etkilendiği açıklanırken kullanıcıların sahte kargo mesajları ile dolandırıcılık girişimlerine karşı dikkatli olması gerekiyor.
Hepsiburada’nın Canlı Destek Altyapısı Siber Saldırının Hedefi Oldu
KVKK’nın kamuoyuyla paylaştığı veri ihlali bildirimine göre saldırı, Hepsiburada’nın bağlı olduğu D-Market Elektronik Hizmetler ve Ticaret A.Ş.’nin hizmet aldığı sohbet altyapısını hedef aldı. Siber saldırganlar, platformun müşteri hizmetleri süreçlerinde kullanılan sistem üzerinden 2022 yılına ait bazı kayıtlara yetkisiz erişim sağladı. İhlalin kapsamı, kullanıcıların doğrudan alışveriş yaptığı platformdan ziyade canlı yardım hizmetinde tutulan geçmiş görüşme kayıtlarıyla bağlantılı olarak açıklandı.
KVKK bildiriminde toplam 9 bin 882 kişinin kişisel verilerinin etkilendiği belirtildi. İhlal yalnızca alışveriş yapan müşterilerle sınırlı kalmadı; çalışanlar, potansiyel müşteriler, tedarikçi çalışanları, iş ortakları ve satıcılar da etkilenen kişi grupları arasında yer aldı. Açıklanan bilgiler, saldırganların müşteri hizmetleri kayıtlarında bulunan farklı kategorilerdeki kişisel verilere ulaştığını gösteriyor.
Hepsiburada Veri Sızıntısında Hangi Bilgiler Ele Geçirildi?
KVKK’nın açıklamasına göre siber saldırı sonucunda kimlik, iletişim ve sipariş süreçleriyle ilgili veriler yetkisiz kişilerin erişimine açıldı. Ele geçirilen bilgilerin kapsamı şöyle sıralandı:
- Kimlik bilgileri: Etkilenen kişilerin ad ve soyad bilgileri.
- İletişim bilgileri: Cep telefonu numaraları, e-posta adresleri ve adres kayıtları.
- Sipariş bilgileri: Sipariş numaraları, gönderi numaraları, talep ve şikâyet kayıtları.
- Alışveriş geçmişi: Satın alınan veya iptal edilen ürünlere ilişkin bilgiler.
Özellikle telefon numarası, adres ve sipariş geçmişinin aynı kayıtlar içerisinde bulunması, etkilenen kişiler açısından hedefli dolandırıcılık riskini artırıyor. Saldırganlar, gerçek sipariş ayrıntılarını kullanarak güvenilir görünen mesajlar hazırlayabilir veya müşteri hizmetleri çalışanı gibi davranarak kişisel bilgileri ele geçirmeye çalışabilir.
Hepsiburada kullanıcılarının veri ihlali sonrasında SMS, e-posta ve telefon üzerinden gelebilecek şüpheli iletişimlere karşı temkinli davranması gerekiyor. Özellikle sipariş numarası veya satın alınan ürün gibi gerçek bilgilere yer veren sahte kargo bildirimleri, kullanıcıların mesajın güvenilir olduğuna inanmasına neden olabilir. Dolandırıcılar bu yöntemi kullanarak sahte internet sitelerine yönlendirme yapabilir veya ödeme ve hesap bilgilerini talep edebilir.
Kullanıcıların şüpheli mesajlarda bulunan bağlantılara tıklamaması, kart bilgilerini veya doğrulama kodlarını paylaşmaması önem taşıyor. Kargo ya da sipariş durumuyla ilgili kontrollerin doğrudan Hepsiburada’nın resmî uygulaması veya internet sitesi üzerinden yapılması, sahte iletişim girişimlerine karşı ek koruma sağlayabilir. Platform adına aradığını söyleyen kişilerin talep ettiği hassas bilgilerin de bağımsız kanallardan doğrulanması gerekiyor.
KVKK bildiriminde, veri ihlalinden etkilenen kişilerin şirketle iletişime geçebileceği kanallar da paylaşıldı. İlgili kişiler, kişisel verilerinin ihlalden etkilenip etkilenmediğine ilişkin bilgi almak için [email protected] e-posta adresini veya 0850 252 40 00 numaralı çağrı merkezini kullanabiliyor.
Hepsiburada, 2024 yılında 1,13 milyar dolar karşılığında Kazakistan merkezli Kaspi.kz tarafından satın alınmıştı. Son veri ihlali bildirimi ise şirketin müşteri hizmetleri altyapısında tutulan geçmiş kayıtların güvenliği konusunu gündeme taşıdı. KVKK’nın açıkladığı 9 bin 882 kişilik etki kapsamı, canlı destek sistemleri gibi üçüncü taraf hizmet altyapılarının da kurumsal veri güvenliğinin önemli bir parçası olduğunu ortaya koyuyor.
