Kamuoyu Duyurusu (Veri İhlali Bildirimi) – Baxter Turkey Renal Hizmetler AŞ
Bilindiği üzere, 6698 sayılı Kişisel Verilerin Korunması Kanununun “Veri güvenliğine ilişkin yükümlülükler” başlıklı 12 nci maddesinin (5) numaralı fıkrası “İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.” hükmünü amirdir.
Veri sorumlusu sıfatını haiz Baxter Turkey Renal Hizmetler A.Ş. tarafından Kurula iletilen veri ihlal bildiriminde özetle;
- İhlalin 04.08.2026 tarihinde başladığı ve 06.10.2026 tarihinde tespit edildiği,
- Yetkisiz üçüncü taraflarca veri sorumlusu çalışanlarını hedef alan sesli oltalama temelli bir sosyal mühendislik saldırısı gerçekleştirildiği,
- Bu saldırının, tehdit aktörünün çalışanların kimlik bilgilerini elde etmesine ve tek bir çalışan hesabı üzerinden Baxter’ın Salesforce veri tabanına ve Baxter’ın Active Directory’si olarak işlev gören bir dahili veri dosyasına erişmesine olanak sağladığı,
- Veri ihlalinden etkilenen ilgili kişi grubunun halihazırda tespit edilemediği,
- Veri ihlalinden etkilenen kişisel verilerin ad, e-posta adresi ve posta adresi gibi temel iş iletişim bilgilerini olduğu,
- İhlalden etkilenen ilgili kişi sayısının henüz tespit edilemediği, incelemelerin devam ettiği
bilgilerine yer verilmiştir.
Konuya ilişkin inceleme devam etmekle birlikte, Kişisel Verileri Koruma Kurulunun 21.10.2026 tarih ve 2026/2292 sayılı Kararı ile söz konusu veri ihlal bildiriminin Kurumun internet sayfasında ilan edilmesine karar verilmiştir.
Kamuoyuna saygıyla duyurulur.