Papara Menkul Değerler AŞ
KVKK veri ihlali bildirimi · · Kurul kararı 30.09.2026
Bilindiği üzere, 6698 sayılı Kişisel Verilerin Korunması Kanununun “Veri güvenliğine ilişkin yükümlülükler” başlıklı 12 nci maddesinin (5) numaralı fıkrası “İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.” hükmünü amirdir.
Veri sorumlusu sıfatını haiz olan Papara Menkul Değerler AŞ tarafından Kurula iletilen veri ihlal bildiriminde özetle;
- İhlalin 04.09.2026 tarihinde başladığı; 05.09.2026 tarihinde veri işleyen tarafından tespit edildiği; 06.09.2026 tarihinde sona erdiği; 18.09.2026 tarihinde veri sorumlusuna bildirildiği,
- Sosyal mühendislikle hazırlanmış oltalama e-postasının yurtdışında bulunan veri işleyen çalışanlarına gönderilmesiyle, söz konusu veri işleyenin çok faktörlü tek oturum açma (SSO) platformu olan Okta’ya yetkisiz erişim sağlandığı,
- Verilerin dışarı çıkarılıp çıkarılmadığının henüz teyit edilmediği,
- İhlalden etkilenen verilerin, müşterilere ait ad, soyad, e-posta, telefon, adres, yatırım profili, vergi statüsü (müşterinin FATCA kuralları çerçevesinde belirlenen vergi statüsü) bilgisi verileri olduğu; erişim sağlanan datanın şifrelenmiş (“encrypted”) olduğu; bu bilgiler arasında banka bilgileri, finansal hizmetlere erişim bilgileri ve benzeri bilgilerin yer almadığının belirtildiği
bilgilerine yer verilmiştir.
Konuya ilişkin inceleme devam etmekle birlikte, Kişisel Verileri Koruma Kurulunun 30.09.2026 tarih ve 2026/2144 sayılı Kararı ile söz konusu veri ihlali bildiriminin Kurumun internet sitesinde ilan edilmesine karar verilmiştir.
Kamuoyuna saygıyla duyurulur.
Kaynak: KVKK kamuoyu duyurusu