Türkiye’de insan kaynakları ve psikometrik değerlendirme hizmeti sunan Baltaş Grubu (Baltaş Online / Baltaş Eksen) altyapısına yönelik siber saldırı, Eylül 2026’da yeniden gündeme oturdu. Odatv’nin 20 Eylül haberine göre saldırganlar, 700’ü aşkın şirkete ait kayıtları ve 700 binden fazla vatandaşa ait psikometrik test sonuçlarını dark web forumlarında ve özel bir platformda herkese açık paylaştı; üst düzey yönetici verilerini de satışa çıkardıklarını duyurdu.

Listede kamu bankaları, havacılık, otomotiv ve savunma sanayiinden kurumların adı geçiyor. Bu tür dosyalar yalnızca “ad-soyad” değil; kişilik envanteri, değerlendirme skorları ve iletişim bilgileri gibi işe alım süreçlerinde toplanan hassas verileri de kapsayabiliyor. Yani risk, kimlik hırsızlığının ötesinde: işe başvuran veya çalışan adayının psikolojik profilinin üçüncü ellere düşmesi.

BTK cezası, KVKK bildirimleri

Bilgi Teknolojileri ve İletişim Kurumu (BTK) konuyu fark edip önlem aldığını; Baltaş Grubu’na idari para cezası kestiğini ve verilerin güvenliğini sağlama yükümlülüğünü hatırlattığını aktardı. Paralel hat: Kişisel Verileri Koruma Kurumu’nun site duyurularında Baltaş Eksen için Haziran 2026 civarı SQL Injection kaynaklı bir ihlal bildirimi yer alıyor; teknik inceleme sürerken etkilenen kişi sayısı kesinleşmemişti.

Sızıntı listesinde adı geçen Hyundai Motor Türkiye, Ağustos’un ilk haftasında KVKK’ya resmi veri ihlali bildiriminde bulundu. Kurum duyurusuna göre ihlal Hyundai Group Security Operation Center aracılığıyla 1 Ağustos’ta öğrenildi; veri işleyen konumundaki Baltaş Eksen’e sorulunca 3 Ağustos’ta ihlalin varlığı teyit edildi. Etkilenenler arasında çalışan ve adaylar; verilerde ad-soyad, e-posta, Hogan/BEYT tarzı kişilik envanteri sonuçları, kullanıcı adı ve unvan gibi alanlar sayılıyor. En fazla 422 kişinin etkilenmiş olabileceği not edilmiş; inceleme devam ediyor.

Şirketler ve adaylar için pratik çizgi

Bu yazı saldırı adımı öğretmez. Çıkarım yönetişim düzeyinde: İK ve değerlendirme platformları çoğu kurum için “veri işleyen” konumunda. Sözleşmede güvenlik standartları, ihlal bildirimi süresi, alt yüklenici denetimi ve psikometrik verinin saklama süresi yazılmamışsa risk büyür. Adaylar için: Eski test platformlarındaki hesapları kontrol etmek, şüpheli e-postalara karşı temkinli olmak ve mümkünse kurumun DPO / KVKK iletişim kanallarını kullanmak eldeki hızlı adımlar.

Türkiye’deki kullanıcılar için sonuçları

Son yıllarda Türkiye'de bir işe başvururken veya şirket içi terfi sürecinde çevrim içi kişilik envanteri ya da yetkinlik testi doldurduysanız, bu testleri çoğu zaman işveren değil, onun adına çalışan bir değerlendirme firması işler. Hyundai Motor Türkiye'nin KVKK bildirimi, etkilenen verilerin ad-soyad ve e-postanın ötesinde kişilik envanteri sonuçları, kullanıcı adı ve unvanı da kapsayabildiğini gösteriyor. Parolayı değiştirebilirsiniz; ama bir psikometrik profil ya da test skoru geri alınamaz. Basında yer alan "700 şirket / 700 bin kişi" iddiası henüz resmi bir bildirimle doğrulanmış değil; kesin kapsamı KVKK incelemeleri ve şirket bildirimleri netleştirecek.

Ne yapmalı?

  • Hangi işe başvurularda çevrim içi test doldurduğunuzu hatırlamaya çalışın. İlgili şirketin (veri sorumlusu) KVKK iletişim kanalına, verilerinizin hangi değerlendirme firmasıyla paylaşıldığını ve bu ihlalden etkilenip etkilenmediğinizi sorabilirsiniz.
  • Bu testler için açtığınız eski hesaplarda kullandığınız parolayı başka yerde de kullanıyorsanız değiştirin.
  • "Başvurunuz değerlendirildi", "test sonucunuzu görmek için tıklayın" gibi e-posta ve SMS'lere karşı temkinli olun; bu tür mesajlarda bağlantıya değil, şirketin resmi kariyer sayfasına kendiniz gidin.
  • Bilgi isteyin (KVKK m.11, m.13): Verinizin işlenip işlenmediğini ve ihlalden etkilenip etkilenmediğinizi şirketin duyuruda verdiği iletişim kanalından yazılı olarak sorabilirsiniz. Veri sorumlusu başvuruyu en geç 30 gün içinde yanıtlar.
  • Yanıt gelmezse Kurul'a şikâyet (m.14): Başvuru reddedilir, yanıt yetersiz kalır veya süresinde yanıt gelmezse; yanıtı öğrendiğiniz tarihten itibaren 30 gün, her hâlde başvuru tarihinden itibaren 60 gün içinde Kurul'a şikâyet edebilirsiniz. Başvurunuzun tarihini gösteren belgeyi saklayın.

Ek kaynaklar: KVKK — Başvuru ve şikâyet hakkı rehberi; KVKK — Şikâyet usul şartları duyurusu.

CyberNews özeti: Baltaş vakası, işe alım testlerinin “iç süreç” sanılıp dışarıda birikmesinin bedelini gösteriyor. 700 şirket / 700 bin kişi iddiası basın kaynaklı; kesin etkilenen sayıyı KVKK ve şirket bildirimleri netleştirecek. Kaynaklar: Odatv (20 Eylül 2026); KVKK – Hyundai Motor Türkiye bildirimi; KVKK – Baltaş Eksen duyurusu.