Türkiye’nin önde gelen e-ticaret platformlarından Hepsiburada, yeni bir kişisel veri ihlali bildirimiyle gündeme geldi. Kişisel Verileri Koruma Kurumu’na (KVKK) yapılan bildirimde, 9 bin 882 müşterinin verilerinin etkilendiği açıklandı. Gelişme, şirketin yeni sahibi Kazakistan merkezli Kaspi.kz’nin geçmişte yaşadığı veri güvenliği sorunlarını da yeniden gündeme taşıdı.
Kaspi.kz, Kazakistan'da yalnızca bir e-ticaret veya bankacılık şirketi olarak faaliyet göstermiyor. Alışverişten bankacılığa, kamu hizmetlerinden dijital kimliğe kadar çok sayıda işlemi tek uygulamada birleştiren şirket, ülkedeki dijital yaşamın önemli merkezlerinden biri konumunda.
Kaspi.kz, Kazakistan'da milyonlarca kişinin kişisel verisine erişiyor
Yaklaşık 20,6 milyon nüfusa sahip Kazakistan'da Kaspi.kz'nin aylık ortalama 15,7 milyon aktif kullanıcısı bulunuyor. Yaklaşık 12,2 milyon kişi ise platform üzerinden kamu hizmetlerine erişiyor.
Kaspi.kz uygulaması aracılığıyla kullanıcılar alışveriş ve para transferi yapmanın yanı sıra vergi ve trafik cezası ödeyebiliyor, sosyal yardımlardan yararlanabiliyor, dijital kimlik ve ehliyet bilgilerini görüntüleyebiliyor, araç alım satım işlemlerini gerçekleştirebiliyor ve kredi kullanabiliyor.
Bu geniş hizmet ağı, platformun işlediği kişisel verilerin kapsamını da oldukça büyütüyor. Kaspi.kz ekosisteminde yer alan hassas bilgiler arasında şunlar bulunuyor:
Bireysel Kimlik Numaraları (IIN) ve elektronik dijital imza bilgileri,
Bankacılık ve ödeme işlemlerine ilişkin kayıtlar,
Yüz tanıma ve kimlik doğrulama süreçlerinde kullanılan biyometrik veriler,
Kredi geçmişi, kredi notları, taksit ve borç bilgileri,
Günlük harcamalar ve finansal işlem kayıtları,
İkamet adresleri, aile bağları ve resmi devlet kayıtları.
Kamu hizmetleri ve finansal işlemlerin aynı dijital ekosistemde buluşması, Kaspi.kz'yi siber saldırganlar açısından önemli bir hedef haline getiriyor. Kazakistan'da son yıllarda yaşanan veri güvenliği olayları da bu risklerin yalnızca teorik olmadığını gösteriyor.
Kaspi ATM'lerinde vatandaşların kredi borçları görüntülendi
Kaspi.kz hakkında gündeme gelen en yeni güvenlik tartışmalarından biri, ATM üzerinden gerçekleştirilen para transferleriyle ilgili oldu.
Kazakistan merkezli haber kaynaklarının 19 Ekim 2026 tarihli haberlerine göre, bir kullanıcı Kaspi ATM'sinden para transferi yaparken başka bir kişinin Bireysel Kimlik Numarasını (IIN) girerek o kişiye ait finansal bilgilere erişilebildiğini fark etti.
Paylaşılan görüntülerde, alıcının kimlik numarası girildikten sonra ilgili kişinin taksitli alışverişlerinin sayısının, kalan taksit borçlarının ve toplam kredi yükümlülüğünün ekranda görüntülendiği görüldü. Ayrıca kullanıcının mevcut kredi ve taksitlerini listeleyen bir bölümün de bulunduğu aktarıldı.
Buradaki en dikkat çekici nokta, söz konusu bilgilere ulaşmak için yalnızca kişinin kimlik numarasının bilinmesinin yeterli olduğunun öne sürülmesiydi.
Kaspi.kz, 20 Ekim'de yaptığı açıklamada bu özelliğin müşterilerin başkalarının kredi ve taksit borçlarını ödeyebilmesini sağlamak amacıyla geliştirildiğini savundu. Banka, ekranda müşterilerin tüm kişisel bilgilerinin gösterilmediğini belirtti.
Ancak KRISP gazetecilerinin yaptığı incelemede, soyadı gizlense bile müşterinin adı ve baba adının görüntülenebildiği bildirildi. Böylece bankanın açıklaması da tartışmaların odağına yerleşti.
Bir kişinin yalnızca kimlik numarası üzerinden başka bir vatandaşın finansal yükümlülükleri hakkında bilgi edinebilmesi, bankacılık gizliliği ve kişisel verilerin korunması bakımından ciddi soru işaretleri oluşturdu.
Kazakistan nüfusunun büyük bölümünün verileri internete sızdırıldı
Kaspi.kz ile doğrudan bağlantısı doğrulanmamış olsa da Kazakistan tarihinin en büyük kişisel veri ihlallerinden biri, ülkedeki veri güvenliği sorunlarının boyutunu gözler önüne serdi.
Yaklaşık 16,3 milyon vatandaşa ait kişisel bilgilerin internette yayımlandığı olayda; ad, soyadı, bireysel kimlik numarası, doğum tarihi, cep telefonu numarası ve ikamet adresi gibi hassas verilerin açığa çıktığı bildirildi.
TSARKA Group yetkililerinin açıklamalarına göre milyonlarca vatandaşa ait kayıtlar açık kaynaklarda yayımlandı. Söz konusu bilgilerin daha sonra Telegram kanallarında ve Dark Web forumlarında satışa sunulduğu belirtildi.
Olayın ardından açıklama yapan Kazakistan Dijital Kalkınma Bakanı Jaslan Madiev, yayımlanan verilerin 1 Mayıs 2024 tarihinden önceki döneme ait olduğunu ve farklı kaynaklardan bir araya getirilen kayıtları içerdiğini ifade etti.
Verilerin hangi kurumlardan veya sistemlerden elde edildiği konusunda çeşitli iddialar gündeme gelirken, Kaspi.kz'nin bu büyük sızıntının doğrudan kaynağı olduğuna ilişkin resmi bir doğrulama bulunmuyor.
Dolayısıyla 16,3 milyon kişiyi etkilediği belirtilen veri ihlalini doğrudan Kaspi.kz'ye bağlamak doğru değil. Bununla birlikte, ülkedeki kamu kurumları, finans kuruluşları ve özel şirketler arasında giderek genişleyen veri entegrasyonu, kişisel bilgilerin korunmasına yönelik sistemsel riskleri de artırıyor.
Kaspi.kz'nin geçmişi Hepsiburada kullanıcılarını neden ilgilendiriyor?
Hepsiburada'da yaşanan veri ihlalleri ile Kazakistan'da gündeme gelen olaylar arasında kapsam ve etki bakımından önemli farklılıklar bulunuyor.
Hepsiburada daha önce 7 bin 200'den fazla müşterinin verilerinin etkilendiği bir siber güvenlik olayıyla gündeme gelmişti. Son KVKK bildiriminde ise 9 bin 882 kişinin etkilendiği açıklandı. Önceki olaylarda üçüncü taraf canlı destek sistemleriyle ilişkili güvenlik açıkları da gündeme gelmişti.
Kaspi.kz'nin Kazakistan'daki geçmişinde ise finansal bilgilerin yetkisiz şekilde görüntülenebilmesi, biyometrik verilerin güvenliğiyle ilgili iddialar ve kişisel bilgilerin kötüye kullanıldığı dolandırıcılık olayları gibi daha geniş kapsamlı tartışmalar yer alıyor.
Özellikle biyometrik fotoğrafların sızdırılarak şantaj amacıyla kullanıldığı iddiaları ve içeriden elde edildiği öne sürülen verilerle gerçekleştirilen kredi dolandırıcılıkları, ülkedeki dijital güvenlik tartışmalarının ciddiyetini artırıyor.
Ancak bu olayların tamamının doğrudan Kaspi.kz kaynaklı olduğu söylenemez. Şirketin doğrulanmış güvenlik olaylarıyla Kazakistan genelinde yaşanan veri ihlallerini birbirinden ayırmak gerekiyor.
Buna rağmen Kaspi.kz'nin Türkiye'deki büyüme planları açısından veri güvenliği konusu kritik önem taşıyor.
Hepsiburada'da milyonlarca kullanıcının verileri nasıl korunacak?
Kaspi.kz, Hepsiburada yatırımıyla Türkiye pazarında yalnızca bir e-ticaret şirketinin sahibi konumuna gelmedi. Şirketin Kazakistan'da geliştirdiği finansal teknoloji ve süper uygulama modelini Türkiye'ye taşıma potansiyeli de bulunuyor.
Hepsiburada'nın geniş müşteri kitlesi düşünüldüğünde bu dönüşümün veri güvenliği boyutu daha da önemli hale geliyor. Platformda kullanıcıların iletişim bilgileri, teslimat adresleri, alışveriş geçmişleri ve ödeme süreçlerine ilişkin çeşitli bilgiler işleniyor. Finansal hizmetlerin ve yeni teknolojilerin entegrasyonuyla işlenen verilerin kapsamı da genişleyebilir.
Bu nedenle Kaspi.kz'nin Türkiye operasyonlarında uygulayacağı veri güvenliği politikaları, erişim yetkilendirmeleri, üçüncü taraf hizmet sağlayıcılarının denetimi ve kişisel verilerin saklanma yöntemleri yakından takip edilmeli.
Özellikle iki şirket arasında gerçekleştirilecek olası teknoloji ve veri entegrasyonlarında KVKK yükümlülüklerine eksiksiz uyulması gerekiyor. Kullanıcı verilerinin farklı sistemlere aktarılması, güvenlik standartlarının düşürülmesi veya gereğinden fazla erişim yetkisi verilmesi ciddi sonuçlar doğurabilir.
Hepsiburada'da açıklanan son veri ihlali, bu konunun yalnızca geleceğe yönelik bir endişe olmadığını da ortaya koyuyor. Şirketin mevcut güvenlik altyapısını güçlendirmesi, üçüncü taraf sistemleri düzenli olarak denetlemesi ve kullanıcı verilerine erişimi sıkı şekilde kontrol etmesi büyük önem taşıyor.
Sonuç olarak Kaspi.kz'nin Kazakistan'daki veri güvenliği geçmişi, Hepsiburada kullanıcılarının otomatik olarak risk altında olduğu anlamına gelmiyor. Ancak milyonlarca kişinin hassas verisini işleyen bir platformun yeni sahibi konumundaki şirketin geçmiş deneyimleri, Türkiye operasyonlarında daha yüksek güvenlik standartlarının uygulanmasını zorunlu kılıyor. Aksi durumda bugün binlerce kişiyle sınırlı kalan veri ihlallerinin gelecekte çok daha geniş kitleleri etkilemesi ihtimal dışı değil.
