Kasım 2025’te IDMerit ile ilişkilendirilen korumasız bir veritabanının kısa süreliğine internete açık kaldığı raporlandı.
Olay, “hack”ten çok yanlış yapılandırma kaynaklı bir veri sızıntısı olarak anlatılıyor.
Şubat 2026‘da kamuoyuna yansıyan yayınlar, 26 ülkede yaklaşık 1 milyar benzersiz kayıt ölçeğinde bir maruziyete işaret ediyor.
Türkiye içinse farklı kaynaklarda 46-49 milyon bandında kayıt iddiası yer alıyor.
Ne oldu?
Cybernews araştırmacıları, 11 Kasım 2025 tarihinde parola koruması ve anlamlı erişim kontrolleri olmayan bir MongoDB veritabanı tespit etti. İçerik ve yapı işaretleri, veritabanının IDMerit ile bağlantılı olabileceğine işaret ediyordu.
İlk raporlarda 3 milyarın üzerinde kayıt hacminden bahsedildi. Tekrar eden kayıtlar ayrıştırıldıktan sonra yaklaşık 1 milyar benzersiz kişisel kayıt ölçeği öne çıktı.
Bildirimin 12 Kasım 2025’te yapıldığı ve veritabanının aynı gün çevrimdışına alındığı aktarıldı. Bu nedenle vaka, sofistike bir dış saldırıdan ziyade operasyonel güvenlik açığı (yanlış yapılandırma) çerçevesinde ele alınıyor.
Ölçek ve coğrafya: 26 ülkede kimlik doğrulama havuzu
Vakayı sıradan bir veri ihlali olmaktan çıkaran şey, hem ülke kapsamı hem de KYC (Know your customer – müşterini tanı) süreçlerinin doğası gereği veri setinin “tam profil” kurmaya elverişli olması.
Raporlamalara göre sızıntı 26 ülkeye yayılıyor ve bazı ülkelerde yüz milyonlara ulaşan kayıt kümeleri raporlanıyor.
Bu tablo, kimlik doğrulama tedarik zincirinin finansal sistem için kritik bir altyapı katmanı haline geldiğini gösteriyor: tek bir üçüncü taraf sağlayıcıdaki operasyonel zafiyet, aşağı akışta (bankalar, fintekler, kripto platformları) risk yüzeyini genişletebiliyor.
Türkiye bölümü: 46-49 milyon kayıt iddiası ne söylüyor?
Türkiye açısından en kritik başlık, farklı yayınlarda yer alan 46-49 milyon bandındaki kayıt iddiası. Bu aralık, raporlama ve sayım yöntemlerinin farklılığından kaynaklanıyor. Ancak ortak mesaj net:
Türkiye, ülke kırılımlarında yüksek maruziyet grubunda anılıyor.
HepsiVeri’nin bu dosya için yaptığı kaynak taramasında (Cybernews, TechRadar, Tom’s Guide, SC Media ve Türkiye’deki haberler), Türkiye’ye ilişkin sayıların farklı biçimlerde verildiği ama hepsinin “nüfusun büyük kısmına yaklaşan stratejik hacim” fikrinde buluştuğu görülüyor. Bu nedenle mesele, sadece bireysel mağduriyet riski değil; kimlik doğrulama altyapısında yönetişim ve denetim kapasitesi sorusu.
Türkiye’de hangi tür bilgiler risk altına girmiş olabilir?
KYC süreçleri gereği bu tür sistemlerde tutulan alanlar, kimlik doğrulamanın tam paketini oluşturuyor. Raporlanan alanlar özetle şunlar:
- Ad-soyad, tam adres, posta kodu
- Doğum tarihi ve cinsiyet
- Ulusal kimlik numarası türleri (ülkeye göre değişen “national ID” alanları)
- Cep telefonu ve e-posta adresi
- Telekom operatörü ve hatla ilişkili üstveriler (telco metadata)
- Kısmen sosyal profil notları ve “breach status” benzeri etiketler
Bu kombinasyonun risk seviyesi, tek tek alanlardan değil, alanların aynı profilde birleşmesinden geliyor. Bu da hedefli dolandırıcılık, hesap ele geçirme ve kimlik doğrulama akışlarında suistimal senaryolarını daha uygulanabilir hale getirebiliyor.
Türkiye’de pratik risk: SIM swap ve hesap ele geçirme
Telefon numarası, ulusal kimlik türleri ve telekom üstverilerinin aynı veri setinde bulunması, sosyal mühendisliği güçlendiriyor. Bu da SIM swap (hat devralma) ve SMS tabanlı iki adımlı doğrulama kullanılan hesaplarda ele geçirme riskini büyütüyor. Risk, “tek seferlik panik”ten çok uzun vadeli ve hedefli suistimal ihtimali olarak okunmalı.
SIM swap saldırısı, genellikle iki faktörlü kimlik doğrulama (2FA) veya iki adımlı doğrulama süreçlerindeki bir zayıflığı hedef alan bir hesap ele geçirme dolandırıcılığı türüdür. Bu tür saldırılarda ikinci faktör ya da doğrulama adımı, cep telefonuna gönderilen bir kısa mesaj (SMS) ya da yapılan bir arama üzerinden gerçekleştirilir. SIM kartı üzerinden telefon numaranız geçici ya da kalıcı olarak ele geçirilebilir.
Türkiye’de geçmişte, bankacılık sistemlerinde benzer vakalar görülmüştü. Mağdurun banka hesabına bağlı telefon numarasını başka bir operatörden çıkartan kişi, bunu onaylatarak ya da onaylatmadan banka sistemlerini kullanmış ve hesaplarını boşaltmıştı. Günümüzde hat değişikliğinde onay mekanizmaları ya da arama gibi faaliyetler olsa da bunları atlatmak da imkansız değil.
KVKK perspektifi: sınır ötesi veri ve üçüncü taraf denetimi
Türkiye’de kişisel verilerin korunması KVKK çerçevesinde yürüyor. Bu vaka, yurt dışına veri aktarımı ve üçüncü taraf hizmet sağlayıcı yönetimi başlıklarını yeniden öne çıkarıyor.
Uygulamada şu sorular büyüyor: Veriler yurt dışında hangi kontrollerle saklanıyor, kimler erişiyor, denetlenebilirlik nasıl sağlanıyor ve finansal kurumlar tedarikçi seçiminde güvenlik standardını nasıl doğruluyor?
Türkiye’deki kullanıcılar için pratik adımlar
Bu tür olaylarda “bir kere yap ve unut” yaklaşımı çalışmıyor. Veri bir kez dışarı çıktıysa, risk zamana yayılabilir. Bu yüzden operasyonel hijyen ve izleme kapasitesi kritik.
- Her servis için farklı ve güçlü şifre kullanın; kritik hesaplarda şifre yenileyin. AYNI ŞİFRE İKİ AYRI HESAPTA OLURSA, RİSK BÜYÜR.
- İki adımlı doğrulama kullanın; mümkünse SMS yerine doğrulayıcı uygulama (authenticator) veya donanım anahtarı tercih edin.
- Telekom operatörünüzle görüşüp SIM swap riskine karşı ek güvenlik adımları (ek parola, değişim kısıtı, ek doğrulama) talep edin.
- Banka ve kart işlemlerinde anlık bildirimleri açın; ekstreleri düzenli kontrol edin ve şüpheli işlemlerde hızlı itiraz kanallarını kullanın.
- Dijital güvenlik, her durumda gerekli. Gerekiyorsa bir uzmandan destek alın.
Kimlik doğrulama artık altyapı, altyapı da disiplin ister
IDMerit vakası, kimlik doğrulama hizmetlerinin finans ve dijital servisler için kritik bir altyapı katmanı haline geldiğini bir kez daha hatırlatıyor.
Yanlış yapılandırma gibi “basit” görünen bir operasyonel hata bile, çok uluslu ve çok kurumlu bir risk yüzeyi üretebiliyor.
Türkiye için raporlanan 46-49 milyon bandı da bu riskin yerel ölçekte yüksek hacimli bir kırılganlık tartışmasına dönüştüğünü düşündürüyor.
Haber: Onur Metin | HepsiVeri