Ne oldu?
Kişisel Verileri Koruma Kurumu (KVKK), tasarım platformu Canva Pty Ltd’nin bildirdiği veri ihlalini 16 Eylül 2026 tarihli ve 2026/2037 sayılı kararla yayımladı. Duyuruya göre ihlal, Canva’nın kullandığı üçüncü taraf bir araçta gerçekleşen yetkisiz erişimden kaynaklandı; tehdit aktörünün veri işleyen bağlantısı üzerinden bazı kişisel verileri dışarı aktardığı değerlendiriliyor.
Canva’nın KVKK’ya ilettiği bildirimde, Türkiye’de bulunan 424 organizasyon ve kuruluşla ilişkili verilerin etkilendiği belirtiliyor. Etkilenen gerçek kişi sayısı ise henüz tespit edilemedi; kurum incelemenin sürdüğünü açıkladı.
Hangi veriler risk altında?
İhlale konu olabilecek kişisel veriler arasında Canva müşterilerinin çalışanlarına ait isim, iş e-posta adresi, iş yeri konumu ve iş telefonu sayılıyor. Ayrıca müşterilerin Canva’ya yüklediği sipariş formları, sözleşmeler, faturalar, veri koruma anlaşmaları ve rutin iş yazışmalarının da kapsama girebileceği belirtiliyor. Yani risk, “sadece iletişim listesi” değil; kurumların platforma bıraktığı belgelere göre genişliyor.
Üçüncü taraf zinciri
Bu olay, veriyi “kendi sunucumuzda tutuyoruz” rahatlığının ne kadar yanıltıcı olduğunu bir kez daha gösteriyor. Tasarım aracı, fatura arşivi, sözleşme deposu — hepsi aynı güvenlik zincirinin halkası. Zincirin bir halkası kırılınca, sorumluluk “biz değil, satıcı” diye uçup gitmiyor; veri sorumlusu hâlâ halka hesap vermek zorunda.
Savunma tarafında somut adımlar net: Canva (ve benzeri SaaS) erişimlerini gözden geçirmek, gereksiz belge yüklerini silmek, çalışan iş hesaplarında parola + ikinci doğrulama zorunluluğu, tedarikçi ihlal bildirim kanallarını önceden tanımlamak. Ama asıl mesele teknik yama değil: kişisel veriyi platformlara serbestçe yığan iş modelinin maliyeti, yine çalışanlara ve halka yıkılıyor.
