YTÜ’de veri ihlali: Öğrencilerin kişisel verileri güvende mi?

Yıldız Teknik Üniversitesinde (YTÜ) 1 Ekim’den bu yana yaşanan sistem sorunlarının arkasından siber saldırı çıktı. Kişisel Verileri Koruma Kurulunun (KVKK) 7 Ekim tarihli kararıyla üniversitedeki veri ihlali kamuoyuna duyuruldu. İhlalden yaklaşık 140 bin öğrenci ile 4 bin 500 personelin etkilenmiş olabileceği belirtildi.

KVKK’nin duyurusuna göre YTÜ’nün sanallaştırma altyapısı ve bu altyapı üzerinde çalışan sunucular fidye yazılımı saldırısından etkilendi. İhlalin 1 Ekim’de başladığı ve aynı gün tespit edildiği belirtilirken, hangi kişisel verilerin etkilendiğinin henüz belirlenemediği açıklandı.

Üniversitenin internet sitesi, Öğrenci Bilgi Sistemi (OBS), Online Yıldız ve çeşitli başvuru sistemlerine erişim günlerce sağlanamazken, üniversite yönetimi yaşananların nedenine ilişkin öğrencilere açık ve kapsamlı bir bilgilendirme yapmadı. Yönetim 3 Ekim’de yaptığı açıklamada yaşananları yalnızca “teknik çalışma” olarak duyurdu.

KVKK’nin kararıyla birlikte sistemlerde yaşanan kesintilerin bir siber saldırı sonucu gerçekleştiği ortaya çıkarken, öğrencilerin hangi verilerinin ihlalden etkilendiği ise hâlâ belirsiz.

Öğrencilerin kişisel verilerinin güvenliği konusunda üniversite yönetiminin ne tür önlemler aldığı ve ihlalin kapsamının ne olduğu soruları cevapsız kalıyor.

140 bin öğrenci ve 4 bin 500 personel etkilendi

KVKK’nın duyurusunda şu ifadelere yer verildi:

“Kamuoyu Duyurusu (Veri İhlali Bildirimi) – Yıldız Teknik Üniversitesi

Bilindiği üzere, 6698 sayılı Kişisel Verilerin Korunması Kanununun ‘Veri güvenliğine ilişkin yükümlülükler” başlıklı 12 nci maddesinin (5) numaralı fıkrası “İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir’ hükmünü amirdir.

Veri sorumlusu sıfatını haiz Yıldız Teknik Üniversitesi tarafından Kurula iletilen veri ihlal bildiriminde özetle; ihlalin 01.10.2026 tarihinde başladığı ve aynı gün tespit edildiği, veri sorumlusunun sanallaştırma altyapısı ve üzerinde çalışan sunucuların fidye yazılımı saldırısından etkilendiği, ihlalden etkilenen ilgili kişi grubunun öğrenci, personel ve ziyaretçiler olduğu, mevcut kayıtlara göre ihlalden etkilenmiş olabilecek ilgili kişi sayısının yaklaşık 140.000 öğrenci ve 4.500 personel olduğu, ziyaretçilere ilişkin sayının henüz belirlenemediği, ihlalden etkilenen kişisel veri kategorilerinin belirlenemediği bilgilerine yer verilmiştir.

Konuya ilişkin inceleme devam etmekle birlikte, Kişisel Verileri Koruma Kurulunun 07.10.2026 tarih ve 2026/2203 sayılı Kararı ile söz konusu veri ihlali bildiriminin Kurumun internet sitesinde ilan edilmesine karar verilmiştir.”

(Evrensel)