KVKK açıkladı! Adidas hacklenince hangi verilerimiz çalındı?
Kişisel Verileri Koruma Kurumu (KVKK), Adidas Türkiye’ye yönelik siber hücum sonucunda 544.395 kişinin ferdî datalarının sızdırıldığını duyurdu. Kurumun yaptığı açıklamaya nazaran, ihlal Adidas’ın bağlı olduğu küresel altyapıda gerçekleşti ve Türk kullanıcıları da direkt etkiledi.
17 Mayıs 2025 tarihinde Adidas Spor Materyalleri Satış ve Pazarlama A.Ş. tarafından Kuruma yapılan bildirime nazaran, olay bir Adidas çalışanının, üçüncü bir şahıstan gelen ve müşteri datalarına erişildiğini belirten e-postayı Siber Güvenlik Olaylarına Müdahale Grubuna iletmesiyle ortaya çıktı.
Yapılan incelemede, e-postaya ekli evrakın büyük olasılıkla Adidas’a ilişkin müşteri datalarını içerdiği ve bu datalar ortasında Türkiye’deki kullanıcıların da bulunduğu belirlendi. Hücumun kaynağı ve nasıl gerçekleştiği konusunda soruşturma hala devam ediyor.
Ancak şu ana kadar elde edilen bulgulara nazaran sızdırılan bilgiler ortasında kullanıcıların isimleri, e-posta adresleri, cinsiyet bilgileri, doğum tarihleri ve telefon numaraları yer alıyor. Tüm kullanıcıların her data cinsinden etkilenmediği, yani birtakım kullanıcıların sırf muhakkak bilgilerinin sızdırıldığı da açıklamada yer aldı.
KVKK, 22 Mayıs 2025 tarihli kararıyla kelam konusu data ihlali bildiriminin resmi internet sitesinde yayımlanmasına karar verdi. Akının akabinde Adidas tarafından yürütülen teknik tahlil ve güvenlik tedbirleriyle ilgili ayrıntılar şimdi paylaşılmadı. Kurumun açıklamasında sürecin devam ettiği ve gelişmelerin kamuoyuyla paylaşılacağı söz edildi.
KVKK açıklaması şu formda:
Bilindiği üzere, 6698 sayılı Ferdî Bilgilerin Korunması Kanununun “Veri güvenliğine ait yükümlülükler” başlıklı 12 nci hususunun (5) numaralı fıkrası “İşlenen ferdî bilgilerin yasal olmayan yollarla diğerleri tarafından elde edilmesi hâlinde, bilgi sorumlusu bu durumu en kısa müddette ilgilisine ve Heyete bildirir. Şura, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği öteki bir sistemle ilan edebilir.” kararını amirdir.
Veri sorumlusu sıfatını haiz olan Adidas Spor Materyalleri Satış ve Pazarlama A.Ş. tarafından Heyete iletilen data ihlali bildiriminde özetle;
-Veri sorumlusunun, Adidas AG (Adidas) küme altyapısıyla bağlı bir siber güvenlik olayı hakkında bilgilendirilmesiyle 17.05.2025 tarihinde tespit edildiği,
-İhlalin Adidas çalışanının üçüncü bir tarafın e-postasını Adidas Siber Güvenlik Olaylarına Müdahale Takımına iletmesinin akabinde ortaya çıktığı,
-Bu e-postada üçüncü tarafın, Adidas müşteri datalarına sahip olduğunu sav ettiği, Adidas tarafından yapılan inceleme sonucunda üçüncü şahıs tarafından paylaşılan belgenin büyük olasılıkla Adidas müşteri bilgilerini içerdiğini ve Türk müşterilerinin de etkilendiği Adidas tarafından doğrulandığı,
-İhlalin kaynağı ve nasıl gerçekleştiği hakkında soruşturmanın devam ettiği,
-İhlalden etkilenen ilgili kişi sayısının 544.395 olduğu,
-İhlalden etkilenen ferdî bilgilerin; isim, e-posta adresi, cinsiyet, doğum tarihi ve telefon numarası olduğu, tüm müşteriler için bütün data tiplerinin etkilenmediği
bilgilerine yer verilmiştir.
Konuya ait inceleme devam etmekle birlikte, Şahsî Bilgileri Müdafaa Konseyinin 22.05.2025 tarih ve 2025/930 sayılı Kararı ile kelam konusu data ihlali bildiriminin Kurumun internet sitesinde ilan edilmesine karar verilmiştir.
Kamuoyuna hürmetle duyurulur.
