Ne oldu?
Eylül 2026’nın ortasında Londra merkezli fintech Revolut, müşteri verilerini yetkisiz bir tarafa aktardığını kabul etti. Şirket bunu “sistemlere izinsiz girme” olarak değil, meşru bir devlet kurumunun alan adından gelen sahte bilgi taleplerine yanıt vermek olarak tanımlıyor. TechCrunch’un aktardığı, Malwarebytes ve Privacy Guides’ın müşteri bildirimlerinden derlediği tabloya göre saldırgan, gerçek bir kamu domain’ine bağlı yetkisiz bir posta kutusundan yazıyordu; yani SPF/DKIM gibi teknik “kimlik doğrulama” işaretleri yeşil görünürken içerik sahteydi.
Revolut, fonların etkilenmediğini ve olayın “çok sınırlı” sayıda müşteriyi kapsadığını söylüyor. Aynı şirket, hangi kurumu ve hangi domain’i hedef aldığını kamuoyuna açmıyor. Müşterilere giden bildirimlerde ise paket net: ad-soyad, doğum tarihi, adres, e-posta, telefon; pasaport veya ehliyet kopyaları; doğrulama selfieleri; hesap özetleri, IBAN’lar ve Bitcoin işlemleri dahil tam işlem geçmişi.
Bu, “hacklendik” cümlesinin örttüğü bir gerçek: veri çoğu zaman duvarın dışından değil, kurumun kendi onay kapısından çıkar.
Domain güveni sermayenin kolay yolu
Finansal platformlar, “yasal talep” dilini rutinleştirdi. Talebin geldiği adres bir devlet alan adına ait olduğunda, içerik denetimi çoğu zaman hız ve uyum baskısı altında inceliyor. Revolut’un anlatımı tam da bu boşluğu gösteriyor: teknik olarak meşru görünen bir kanal, sosyal mühendislikle müşteri dosyasını teslim ettirdi.
Burada sorun yalnızca bir “yanlış tıklama” değil. KYC (müşterini tanı) rejimleri, pasaport, yüz ve işlem geçmişini tek dosyada biriktiriyor; sonra bu dosya, “otorite” görüntüsü taşıyan bir e-postaya bağlanabiliyor. Veriyi toplayan platform, onu korumakla yükümlü olduğunu iddia ederken, aynı anda onu paylaşmaya hazır bir bürokrasi kuruyor.
Privacy Guides’ın vurguladığı nokta sert: bu bir “gönüllü ifşa”. Sistem kırılmadı; kurum, kendisine gelen talebi doğrulamadan müşteriye ait en ağır kimlik katmanını dışarı verdi.
Sınıf ve risk asimetri
Etkilenenlerin “sınırlı” olması, maruz kalan kişi için sınırlı bir zarar değildir. Pasaport kopyası, selfie ve Bitcoin hareketlerinin bir arada sızması; kimlik hırsızlığı, hedefli dolandırıcılık ve şantaj için hazır bir malzeme demektir. Cryptoticker’ın 14 Eylül civarı aktardığına göre bazı belgeler dolaşıma girmiş, tehdit dili yükselmiş durumda — iddiaların tamamı bağımsız doğrulanmasa da, bildirim alan müşteriler için risk somut.
Fintech’in 80 milyonu aşan müşteri iddiası ile “çok sınırlı” ifadesi yan yana durduğunda, şeffaflık talebi büyüyor: kaç kişi, hangi ülkeler, hangi doğrulama adımları atlandı, kaç dakika içinde veri gönderildi? Bunlar olmadan “fonlar güvende” cümlesi, kimliği satılmış insanın yükünü hafifletmez.
Ne yapılabilir? (savunma tarafı)
Revolut’tan bildirim aldıysanız: bakiyeleri, kartları, alıcıları, son transferleri ve bağlı cihazları uygulama içi resmi kanaldan kontrol edin. Beklenmedik “hesabınızı güvene alın” aramalarına veya WhatsApp mesajlarına linkle cevap vermeyin. GDPR kapsamındaysanız, hangi kategorilerin hangi alıcıya gittiğini yazılı sorun (erişim hakkı); yanıt belirsizse denetim otoritesine şikâyet yolu açık.
Kurumsal tarafta ders net: domain yeşili, yasal talep değildir. Talep eden birimi bağımsız kanalda doğrulamak, asgari veri ilkesiyle yanıt vermek ve “acil” diline karşı çift onay şart koşmak — bunlar lüks değil, müşteri dosyasını üçüncü tarafa hediye etmemenin maliyeti.
Kaynaklar: Malwarebytes (14 Eylül 2026), Privacy Guides (13 Eylül 2026), The Register / TechCrunch aktarımları.
