Köfteci Yusuf'ta Büyük Veri İhlali: 163 Bin Kişinin Kişisel Bilgileri Ele Geçirildi

Geçtiğimiz aylarda ürünlerinde domuz eti tespit edildiği haberleriyle kamuoyunun tepkisini çeken Köfteci Yusuf, bu kez de binlerce kişinin mağdur olduğu ciddi bir veri skandalıyla gündeme oturdu. Gıda güvenliği konusundaki tartışmalar hafızalardaki yerini korurken, Kişisel Verileri Koruma Kurulu (KVKK) tarafından yapılan son açıklama, işletmenin siber güvenlik tarafında da önemli bir açık verdiğini ortaya koydu.

163 Bin Kişinin Verileri Tehlikede

KVKK tarafından yapılan resmi duyuruya göre, siber korsanların hedefi olan veritabanında hem şirket çalışanlarının hem de müşterilerin bilgileri bulunuyordu. Yapılan detaylı incelemeler sonucunda, 13.000 çalışan ve 150.000 müşteri olmak üzere toplam 163.000 kişinin kişisel verilerinin ihlal edildiği kesinleşti.

Saldırının boyutu sadece müşteri siparişleriyle sınırlı kalmadı. Ele geçirilen veriler arasında müşterilerin iletişim bilgileri ve adreslerinin yanı sıra, çalışanların kimlik bilgileri de yer alıyor. Bu durum, ihlalin kapsamını daha da genişleterek ciddi bir güvenlik zaafına işaret ediyor.

Sistemler Erişime Kapandı

Olayın teknik detaylarına bakıldığında, veri ihlalinin 22 Ocak 2026 tarihinde başladığı ve şirket yetkilileri tarafından 23 Ocak 2026 tarihinde tespit edildiği görülüyor. Saldırı sonucunda, şirketin bordro yazılımı ve online yemek siparişlerinin yönetildiği Yemekpos bilgi sistemlerini barındıran yerel SQL veritabanı, dışarıdan bir müdahale ile şifrelenerek erişime kapatıldı.

KVKK'dan Resmi Açıklama

Kişisel Verileri Koruma Kurulu, yaşanan bu büyük veri ihlali üzerine kapsamlı bir resmi açıklama yayımladı. Açıklamada, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ilgili maddelerine atıfta bulunularak, veri sorumlusu sıfatını taşıyan Köfteci Yusuf şirketinin durumu en kısa sürede Kurul'a bildirdiği belirtildi.

KVKK'nın 27 Ocak 2026 tarih ve 2026/141 sayılı Kararı ile, söz konusu veri ihlal bildiriminin kurumun internet sitesinde ilan edilmesine karar verildi. Açıklamada, ihlalden etkilenen kişisel verilerin şu şekilde olduğu vurgulandı:

Müşteriler için kimlik (ad soyad), iletişim (adres, cep telefonu) ve müşteri işlem (yemek sipariş detayı) verileri.
Çalışanlar için kimlik, iletişim ve özlük verileri.

Konuya ilişkin incelemelerin halen devam ettiği ifade edilirken, bu olayın Türkiye'deki siber güvenlik ve veri koruma standartları açısından önemli bir ders niteliği taşıdığı düşünülüyor.