Baydöner Veri İhlali: KVKK Açıklamaları ve Etkilenen Kişi Verileri

Türkiye genelinde birçok şubesi bulunan Baydönerin veri tabanında ciddi bir ihlal yaşandığı iddia edildi. Siber forumlarda dolaşan bilgilere göre ihlal, kullanıcı ve CRM altyapısını kapsayan bir veri tabanını etkiledi ve yaklaşık 3.7 milyon kayıttan söz ediliyor. Saldırıyı yapan kişi, dışarıya sızdırdığı bilgilerin şirketin müşteri sistemi ve CRM altyapısında bulunduğunu öne sürüyor. Paylaşılan veriler arasında kullanıcı adı, adres, iletişim bilgileri, sipariş geçmişleri ve müşteri tercihleri gibi geniş kapsamlı bilgiler bulunuyor. Ayrıca müşterilerin ad, soyad, adres, telefon, parola ve doğum tarihi gibi bilgiler ile 42 bin T.C. kimlik numarasının da sızdırıldığı belirtilmekte. Sızıntının içeriğinde sipariş ve teslimat detaylarının da yer aldığı ifade ediliyor.

Kamu kurumları arasında KVKK, olayın ardından iki ayrı duyuru yayımlayarak konunun farklı dönemlerde tekrar eden bir veri ihlali olduğunu açıkladı. Duyurulara göre Baydöner, 15 Şubat 2026’da başlayan bir ihlali 8 Mart 2026’da tespit etti. Ayrıca, geçen yıl 24-26 Nisan tarihlerindeki veri ihlali de 2 Mart 2026’da belirlenmiş durumda. Yetkililerin açıklamasına göre ihlaller, şirketin tedarikçisi tarafından geliştirilen, barındırılan ve aynı zamanda müşteri hizmetleri ile çağrı merkezi yönetim platformunda meydana geldi. Yetkisiz erişim sonucunda kişisel verilerin ele geçirildiği ifade ediliyor.

KVKK’DAN RESMİ AÇIKLAMA KVKK’nın yayımladığı resmi bilgilendirme şöyle özetlendi: “Kamuoyu Duyurusu (Veri İhlali Bildirimi) – Baydöner Restoranları A.Ş. Kanun kapsamında veri güvenliği yükümlülüklerine ilişkin madde 12(5) uyarınca, yetkisiz elde edilen kişisel verilerin durumunu en kısa sürede ilgilisine ve Kurula bildirmekle yükümlüdür. Kurul, gerektiğinde bu durumu internet sitesinde ya da uygun görülen başka bir yöntemle ilan edebilir.”

Baydöner Restoranları A.Ş. tarafından Kurula iletilen bildirimde özetle şu bilgiler paylaşıldı: ihlalin 15.02.2026’da başladığı ve 08.03.2026’da tespit edildiği; ihlalin, tedarikçi firma tarafından geliştirilen ve barındırılan müşteri hizmetleri ile çağrı merkezi yönetimi platformundaki verilerin yetkisiz kişiler tarafından ele geçirilmesi sonucu gerçekleştiği; ihlal edilen kişisel verilerin ad-soyad, telefon numarası, e-posta adresi, T.C. kimlik numarası, uygulama parolaları ve sipariş/teslimat bilgileri olduğu; etkilenen kişi sayısının 1.490.789 olarak belirtildiği; ilgili kişilere iletişimin [email protected] adresi üzerinden yapılacağı ve çağrı merkezi numarasının da iletişim için kullanıldığı bilgilerine yer verildi. Ayrıca kamuoyuna yapılan açıklamada konunun incelemesinin sürdüğü ve Kurul kararının 12.03.2026 tarihli 2026/523 sayılı karar ile internet sitesinde ilan edilmesine karar verildiği kaydedildi.