Kişisel Verileri Koruma Kurumu (KVKK) tarafından yapılan resmi açıklamada, şirket sistemlerine yönelik gerçekleştirilen siber saldırı sonucunda çalışanlara ve iş başvurusu yapan adaylara ait çok sayıda kişisel verinin yetkisiz kişilerin erişimine açıldığı bildirildi. Olayın ardından hem şirket hem de ilgili kurumlar tarafından inceleme başlatılırken, ihlalin kapsamına ilişkin detaylar da kamuoyuyla paylaşıldı.
SQL Injection Açığı Kullanılarak Sisteme Girildi
KVKK tarafından yayımlanan bilgilere göre, saldırganlar şirketin kullandığı web tabanlı bir uygulamadaki güvenlik açığından yararlanarak sistemlere erişim sağladı. İncelemelerde, saldırının SQL Injection yöntemiyle gerçekleştirildiği belirtildi. Bu yöntem, veri tabanı sorgularının manipüle edilmesine imkan tanıyan kritik güvenlik açıkları arasında yer alıyor.
Yetkisiz erişim sayesinde saldırganların ana veri tabanına ulaştığı ve burada bulunan bazı bilgileri görüntülediği ya da kopyaladığı değerlendiriliyor. Olayın teknik boyutuna ilişkin incelemelerin ise halen sürdüğü ifade edildi.
İhlal Küresel Güvenlik Merkezi Tarafından Tespit Edildi
Şirketin Küresel Güvenlik Operasyon Merkezi , sistemlerdeki olağan dışı hareketliliği 1 Ağustos 2026 tarihinde tespit etti. İlk incelemelerin ardından olayın kapsamı değerlendirilirken, veri işleme süreçlerini yürüten Baltaş Eksen isimli üçüncü taraf hizmet sağlayıcısı da bilgilendirildi.
Yapılan teknik analizler sonucunda, 3 Ağustos 2026 tarihinde sistemde veri ihlali yaşandığı doğrulandı. Ardından KVKK'ya gerekli yasal bildirimlerin yapıldığı ve resmi sürecin başlatıldığı açıklandı.
Çalışanlara ve Adaylara Ait Hassas Veriler Etkilendi
Açıklanan bilgilere göre ihlalden en fazla 422 kişi etkilenmiş olabilir. Saldırı sonucunda ele geçirildiği değerlendirilen veriler arasında birçok hassas kişisel bilgi bulunuyor.
Sızdırıldığı belirtilen bilgiler arasında şunlar yer alıyor:
- Ad ve soyad
- E-posta adresleri
- Sistem kullanıcı adları
- Parolalar
- Görev unvanları
Bu bilgilerin yanı sıra, işe alım ve performans değerlendirme süreçlerinde kullanılan Hogan/BEYT kişilik envanteri sonuçlarının da ihlal kapsamında olduğu bildirildi. Uzmanlar, bu tür psikometrik değerlendirme sonuçlarının kişisel veri niteliği taşıdığına ve özel önem gerektirdiğine dikkat çekiyor.
Kişilik Envanteri Sonuçları da Sızdırıldı
Veri ihlalinin en dikkat çeken yönlerinden biri, yalnızca temel kimlik bilgilerinin değil, aynı zamanda kişilik envanteri test sonuçlarının da saldırganların erişimine geçmiş olması oldu.
İşe alım süreçlerinde kullanılan Hogan/BEYT değerlendirmeleri, adayların davranış eğilimleri, liderlik özellikleri ve iş ortamındaki performans potansiyeline ilişkin analizler içeriyor. Bu nedenle söz konusu verilerin yetkisiz kişilerin eline geçmesi, kişisel mahremiyet açısından ciddi riskler oluşturabiliyor.
Uzmanlar, bu tür verilerin kötü niyetli kişiler tarafından farklı amaçlarla kullanılabilme ihtimaline karşı gerekli güvenlik önlemlerinin hızla alınmasının önemine vurgu yapıyor.
KVKK İnceleme Sürecini Başlattı
Veri ihlalinin kamuoyuna açıklanmasının ardından KVKK , olayla ilgili resmi inceleme sürecini başlattığını duyurdu. Kurumun yapacağı teknik ve hukuki değerlendirmeler sonucunda ihlalin kapsamı, sorumluluklar ve alınması gereken ilave tedbirler netlik kazanacak.
Soruşturma kapsamında saldırının gerçekleşme şekli, güvenlik açığının neden oluştuğu ve veri güvenliği yükümlülüklerinin yerine getirilip getirilmediği de değerlendirilecek.
Şirket İletişim Kanallarını Kullanıma Açtı
Hyundai Motor Türkiye, ihlalden etkilenmiş olabileceğini düşünen çalışanlar ve iş başvurusu yapan adaylar için resmi iletişim kanallarını aktif hale getirdi.
Konu hakkında bilgi almak isteyen kişiler, şirketin belirlediği iletişim adresleri üzerinden yetkililere ulaşabiliyor. Böylece olası veri etkilenme durumları hakkında bilgi alınması ve gerekli yönlendirmelerin yapılması hedefleniyor.
Uzmanlar ise benzer durumlarda kullanıcıların özellikle parolalarını değiştirmeleri , aynı şifreyi farklı platformlarda kullanmaları halinde tüm hesaplarını güncellemeleri ve şüpheli e-posta ya da kimlik avı girişimlerine karşı dikkatli olmaları gerektiğini belirtiyor.
Hyundai Türkiye’de yaşanan bu siber güvenlik olayı , kurumların kişisel verileri koruma yükümlülüğünün önemini bir kez daha gündeme taşıdı. KVKK'nın yürüttüğü resmi incelemenin tamamlanmasının ardından olayın tüm boyutlarının netleşmesi beklenirken, etkilenen kişi sayısı ve ihlalin kapsamına ilişkin yeni bilgilerin de kamuoyuyla paylaşılması öngörülüyor. Sürecin sonuçları, hem şirketin alacağı güvenlik önlemleri hem de Türkiye'de kişisel verilerin korunmasına yönelik uygulamalar açısından yakından takip ediliyor.