İçerik Tablosu
Türkiye’de faaliyet gösteren Hyundai Motor Türkiye Otomotiv A.Ş., Ağustos 2026’da ciddi bir veri ihlaliyle gündeme geldi. Şirketin web tabanlı uygulamasındaki SQL Injection açığından yararlanan saldırganlar, çalışan ve iş başvurusu sahibi adaylara ait hassas kişisel verilere erişim sağladı. Kişisel Verileri Koruma Kurumu (KVKK) olayı resmen duyururken resmi soruşturma süreci başlatıldı.
Saldırı Nasıl Gerçekleşti?
Hyundai Motor Türkiye’nin Küresel Güvenlik Operasyon Merkezi, sistemlerdeki olağandışı hareketliliği 1 Ağustos 2026 tarihinde tespit etti. Yapılan teknik analizler sonucunda 3 Ağustos 2026 tarihinde sistemde veri ihlali yaşandığı doğrulandı.
KVKK’nın açıklamalarına göre saldırganlar, şirketin kullandığı web tabanlı bir uygulamadaki SQL Injection güvenlik açığından yararlanarak ana veri tabanına erişim sağladı. Yetkisiz erişim sayesinde veri tabanındaki bazı bilgilerin görüntülendiği ve kopyalandığı değerlendiriliyor.
Olayda veri işleme süreçlerini yürüten üçüncü taraf hizmet sağlayıcısı Baltaş Eksen de bilgilendirilerek KVKK’ya gerekli yasal bildirimler yapıldı.
Hangi Veriler Ele Geçirildi?
İhlalden en fazla 422 kişi etkilenmiş olabilir. Etkilenen kişiler Hyundai Türkiye çalışanları ve iş başvurusu yapan adaylardan oluşuyor. Ele geçirildiği bildirilen veriler şunlar:
- Ad ve soyad
- E-posta adresleri
- Sistem kullanıcı adları
- Parolalar
- Görev unvanları
- Hogan/BEYT kişilik envanteri sonuçları
Son madde özellikle dikkat çekiyor. İşe alım ve performans değerlendirmede kullanılan Hogan/BEYT testleri; adayların davranış eğilimleri, liderlik özellikleri ve iş ortamındaki performans potansiyeline ilişkin analizler içeriyor. Bu tür psikometrik verilerin yetkisiz kişilerin eline geçmesi, standart kimlik bilgisi sızıntısından çok daha derin bir kişisel mahremiyet riski oluşturuyor.
SQL Injection Nedir ve Neden Hâlâ Bu Kadar Yaygın?
SQL Injection, web uygulamalarının veri tabanı sorgularına kötü amaçlı kod enjekte edilerek gerçekleştirilen bir saldırı türüdür. OWASP’ın her yıl açıkladığı “Web Uygulamalarının En Kritik 10 Güvenlik Riski” listesinde onlarca yıldır üst sıralarda yer almasına rağmen bugün hâlâ en yaygın saldırı vektörlerinden biri olmaya devam ediyor.
Nedeni basit: birçok kurum web uygulamalarını güvenlik açısından yeterince test etmiyor. Giriş alanlarının doğru şekilde filtrelenmemesi, parametrik sorgu kullanılmaması ve düzenli kod güvenliği denetiminin yapılmaması bu açığın önde gelen nedenleri arasında.
Hyundai Türkiye vakası bu gerçeği bir kez daha gözler önüne seriyor — güvenlik açığı yeni değil, ama kurbanlar hâlâ aynı hatayı yapıyor.
Website güvenliğindeki en yaygın 10 tehdit hakkında →
Üçüncü Taraf Veri İşleyenlerin Rolü
Vakada dikkat çeken bir diğer nokta, olaya Baltaş Eksen adlı üçüncü taraf hizmet sağlayıcısının da dahil olması. Bu durum, KVKK kapsamında veri sorumlusu sıfatıyla şirketlerin yalnızca kendi sistemlerini değil, veri işleyen tüm tedarikçilerini de denetlemekle yükümlü olduğunu hatırlatıyor.
Son yıllarda yaşanan büyük veri sızıntılarının önemli bir kısmı, doğrudan hedef şirketten değil iş ortaklarından kaynaklanıyor. Tedarik zinciri güvenliği artık göz ardı edilemeyecek bir risk alanı.
KVKK Süreci ve Şirketin Yükümlülükleri
KVKK, olayın kamuoyuna açıklanmasının ardından resmi inceleme sürecini başlattı. Soruşturma kapsamında değerlendirilecek başlıca sorular şunlar:
- SQL Injection açığı neden önceden tespit edilmedi?
- Veri güvenliğine ilişkin teknik ve idari tedbirler yeterli miydi?
- 72 saatlik bildirim yükümlülüğü zamanında yerine getirildi mi?
- Üçüncü taraf veri işleyen Baltaş Eksen ile yapılan sözleşme KVKK gerekliliklerini karşılıyor muydu?
Hyundai Motor Türkiye, ihlalden etkilenmiş olabileceğini düşünen kişiler için resmi iletişim kanallarını aktif hale getirdi.
Etkilenen Kişiler Ne Yapmalı?
Hyundai Türkiye bünyesinde çalışıyorsanız veya iş başvurusu yaptıysanız şu adımları uygulamanızı öneririz:
Parolanızı hemen değiştirin. Sızdırılan veriler arasında sistem parolaları da yer aldığından, aynı parolayı başka platformlarda kullanıyorsanız tüm hesaplarınızı güncelleyin.
Kimlik avı girişimlerine karşı dikkatli olun. Ele geçirilen kişisel bilgiler hedefli phishing saldırılarında kullanılabilir. Hyundai veya ilgili kurumlardan geldiğini iddia eden şüpheli e-posta ve mesajlara ihtiyatla yaklaşın.
Hesap hareketlerinizi izleyin. Kurumsal sistemlerde olağandışı erişim girişimi veya tanımadığınız aktiviteler varsa IT ekibinize bildirin.
Şirkete resmi kanaldan ulaşın. Kişisel verilerinizin etkilenip etkilenmediği konusunda Hyundai Türkiye’nin belirlediği resmi iletişim adreslerine başvurun.
Kurumlar Bu Vakadan Ne Öğrenmeli?
Hyundai Türkiye vakası, web uygulama güvenliğinin kurumsal siber savunmanın merkezine alınması gerektiğini bir kez daha kanıtlıyor.
Web Uygulama Güvenlik Testi Zorunludur
SQL Injection, XSS ve IDOR gibi temel web güvenlik açıklarını tespit etmek için düzenli sızma testi ve kod güvenliği denetimi yapılmalıdır. Bu testler bir kez değil, her büyük güncelleme ve yeni özellik geliştirmesinden sonra tekrarlanmalıdır.
Sızma testi ve web uygulama güvenliği hakkında →
Parametrik Sorgu ve WAF Kullanımı
SQL Injection’ı önlemenin en temel yolu parametrik sorgular (prepared statements) kullanmaktır. Buna ek olarak bir Web Application Firewall (WAF), kötü amaçlı istekleri uygulama katmanında filtreleyerek ek koruma sağlar.
Üçüncü Taraf Tedarikçi Güvenliği
Veri işleyen tüm tedarikçilerle KVKK uyumlu veri işleme sözleşmeleri imzalanmalı, bu sağlayıcıların güvenlik standartları periyodik olarak değerlendirilmelidir.
KVKK Teknik Tedbirler
Veri tabanı erişim yetkilerinin minimize edilmesi, şifreli bağlantı zorunluluğu, erişim loglarının tutulması ve düzenli güvenlik denetimleri — bunların tamamı KVKK’nın teknik tedbir yükümlülüğü kapsamında değerlendiriliyor. Eksik kalınan her adım olası bir ceza gerekçesi haline gelebilir.
Sonuç
Hyundai Türkiye vakası, SQL Injection gibi onlarca yıllık bir güvenlik açığının hâlâ kurumsal sistemleri nasıl tehdit ettiğini somut biçimde ortaya koyuyor. 422 kişinin verisinin sızdırılması ve kişilik envanteri sonuçlarının dahil olması, ihlalin boyutunu standart bir kimlik bilgisi sızıntısının çok ötesine taşıyor.
Kurumunuzun web uygulamalarındaki güvenlik açıklarını tespit etmek ve KVKK teknik gerekliliklerini karşılamak için uzman desteği almak istiyorsanız güvenlik testleri hizmetimizi inceleyebilirsiniz.
