Pegasus'ta veri ihlali: 11 bin 762 kişi etkilendi

Şirketin 4 Kasım'da yolcu verilerinin sızdırıldığı iddialarını reddeden açıklaması ise KVKK bildirimiyle çelişti.

Pegasus Havayolları'nın bilgi teknolojileri sistemlerine yönetici (admin) parolası kullanılarak yetkisiz erişim sağlandı. 12 Ekim 2026'da başlayan ve 26 Ekim'de tespit edilen veri ihlalinden 11 bin 762 kişinin etkilendiği bildirildi.

Kişisel Verileri Koruma Kurumu (KVKK), 11 Kasım'da kamuoyuyla paylaştığı veri ihlali bildiriminde, etkilenen kişilerin Pegasus çalışanları ve kullanıcılarından oluştuğunu açıkladı. İhlal kapsamında kimlik ve iletişim bilgilerinin etkilendiği belirtildi.

Şirketin KVKK'ya yaptığı bildirimde, yetkisiz erişimde kullanılan yönetici parolasının nasıl ele geçirildiğinin kesin olarak belirlenemediği ifade edildi.

Yolcu verileri konusunda çelişkili açıklamalar

Veri ihlaliyle ilgili gelişmeler, Pegasus'un 4 Kasım'da yaptığı açıklamayı yeniden gündeme getirdi. Şirket, o tarihte bilgi teknolojileri talep ve geliştirme süreçlerinde kullanılan sistemlerde bir güvenlik açığı tespit edildiğini ve gerekli önlemlerin alındığını duyurmuştu.

Pegasus, söz konusu sistemlerin kritik operasyonel sistemler arasında bulunmadığını belirterek şu açıklamayı yapmıştı:

"Misafir veri tabanları bu sistemlerde yer almamaktadır ve söz konusu sistemler uçuş operasyonlarımızın yürütülmesinde kullanılmamaktadır."

Ancak KVKK'nın 11 Kasım tarihli bildiriminde ihlalden etkilenen kişiler arasında kullanıcıların da sayılması, şirketin önceki açıklamasıyla çelişen bir tablo ortaya çıkardı.

173 GB veri çalındığı iddia edilmişti

Dark Web Intelligence (@DailyDarkWeb), sosyal medya üzerinden yaptığı paylaşımda Pegasus'un Jira ve Confluence sunucularına, ardından AWS bulut ortamına erişim sağlandığını ve yaklaşık 173 GB veri ele geçirildiğini ileri sürmüştü.

Paylaşımda yaklaşık 430 bin Jira destek kaydı, 37 bin Confluence dosyası ve 18 bin çalışana ait ad ve e-posta bilgilerinin ele geçirildiği iddia edilmişti.

Ayrıca yolculara ait PNR rezervasyon kayıtları, uçuş bilgileri, ad-soyad, T.C. kimlik ve pasaport numaraları, e-posta adresleri ile telefonların da çalındığı öne sürülmüştü.

KVKK bildirimi hangi bilgileri doğruladı?

KVKK'nın yayımladığı bildirim, 11 bin 762 kişinin kimlik ve iletişim bilgilerinin veri ihlalinden etkilendiğini ortaya koydu. Ancak kullanıcı kategorisindeki kişilerin tamamının yolcu olup olmadığı ve hangi kayıtlarının ihlalden etkilendiği açıklanmadı.

Öte yandan sosyal medyada gündeme getirilen 173 GB veri hırsızlığı iddiası da KVKK bildirimiyle doğrulanmış değil.

Pegasus'un sistemlerine yetkisiz erişim sağlandığı ve kişisel verilerin ihlalden etkilendiği resmî bildirimle açıklığa kavuşurken, ihlalin kapsamına ve kullanıcı verilerinin niteliğine ilişkin ayrıntılar henüz netleşmedi.