Tasarım platformu Canva, Türkiye’yi de kapsayan bir veri ihlali bildirimiyle gündeme geldi. Kişisel Verileri Koruma Kurumuna (KVKK) yapılan bildirime göre ihlal, Canva’nın kullandığı üçüncü taraf bir araçta yaşanan yetkisiz erişim sonucu meydana geldi. Türkiye’de 424 organizasyon ve kuruluşla ilişkili verilerin ihlalden etkilendiği bildirilirken, etkilenen gerçek kişi sayısı henüz tespit edilemedi.
İHLAL ÜÇÜNCÜ TARAF BİR ARAÇTA YAŞANDI
KVKK’ya iletilen bildirimde veri sorumlusu Canva Pty Ltd olarak yer aldı. Açıklamaya göre olay, Canva’nın kullandığı üçüncü taraf bir araçta meydana gelen yetkisiz erişim sonucu gerçekleşti.
Bildirimde, tehdit aktörünün veri işleyenle olan bağlantı aracılığıyla bazı kişisel verileri dışarı aktardığının değerlendirildiği belirtildi.
Türkiye açısından açıklanan kapsam ise 424 kişi veya 424 Canva hesabı değil. Bildirime göre Türkiye’de bulunan 424 organizasyon ve kuruluşla ilişkili veriler ihlalden etkilendi. Bu kuruluşlarla bağlantılı kaç gerçek kişinin verisinin etkilendiği ise henüz tespit edilemedi.
HANGİ VERİLER İHLALDEN ETKİLENDİ?
KVKK’ya yapılan bildirimde ihlalden etkilenen kişisel veriler arasında Canva müşterilerinin çalışanlarına ait isim, iş e-posta adresi, iş yeri konumu ve iş amacıyla kullanılan telefon numarası bilgilerinin bulunduğu belirtildi.
Canva ile paylaşılmış olması halinde müşteri sipariş formları, sözleşmeler, faturalar, veri koruma anlaşmaları, ana hizmet sözleşmeleri ve diğer rutin iş yazışmaları da ihlale konu olan veriler arasında sıralandı.
Açıklanan bilgiler, bütün Canva kullanıcılarının hesaplarının veya platformdaki tüm verilerin etkilendiğini göstermiyor. KVKK bildiriminde kullanıcıların tasarımlarının, parolalarının veya ödeme ve kredi kartı bilgilerinin bu ihlal kapsamında ele geçirildiğine ilişkin bir bilgi de yer almıyor.
Bu nedenle olayın kapsamını, açıklanan veri kategorileri ve Türkiye’deki 424 organizasyon/kuruluşla ilişkili verilerle sınırlı şekilde aktarmak gerekiyor.
ETKİLENEN KİŞİ SAYISI HENÜZ BELİRLENMEDİ
KVKK bildiriminde ihlalden etkilenen gerçek kişi sayısının henüz tespit edilemediği açıklandı. Dolayısıyla mevcut aşamada kaç çalışanın kişisel verisinin olaydan etkilendiğine ilişkin kesin bir rakam bulunmuyor.
Kişisel Verileri Koruma Kurulu, 16 Eylül 2026 tarihli ve 2026/2037 sayılı kararıyla veri ihlali bildiriminin Kurumun internet sitesinde ilan edilmesine karar verdi.
Konuya ilişkin inceleme devam ediyor. İhlalin gerçek kişiler açısından toplam kapsamının yapılacak çalışmaların ardından daha ayrıntılı şekilde ortaya çıkması bekleniyor.
