Pegasus önce yalanladı, sonra 'verileri çaldırdık' dedi!

Pegasus Havayolları’nın sistemlerine admin parolası kullanılarak yetkisiz erişim sağlandı.

12 Ekim’de başlayan, 26 Ekim’de tespit edilen veri ihlalinden 11 bin 762 kişinin kimlik ve iletişim bilgileri etkilendi.

KVKK’nın 11 Kasım Çarşamba günü kamuoyuna duyurduğu bu ihlal, Pegasus Havayolları’nın 4 Kasım’da yaptığı açıklamayla çelişti. Pegasus o gün müşteri verilerinin söz konusu sistemlerde bulunmadığını söylemişti.

Veri Tabanı Seç

BTDünyası'nın haberine göre Pegasus Havayolları’nın bilgi teknolojileri talep ve geliştirme sistemine yönetici (admin) parolası kullanılarak yetkisiz erişim sağlandı

. Şirketin KVKK’ya yaptığı bildirimde, parolanın nasıl ele geçirildiğinin kesin olarak belirlenemediği açıklandı.

KVKK’nın 11 Kasım’da kamuoyuna duyurduğu veri ihlaline göre saldırı 12 Ekim 2026’da başladı ve 26 Ekim’de tespit edildi.

İhlalden 11 bin 762 kişi etkilendi. Bu kişiler Pegasus çalışanları ve kullanıcılarından oluşuyor. İhlal edilen veriler ise kimlik ve iletişim bilgileri.

Oysa Pegasus, aynı olayla ilgili iddialar 4 Kasım’da gündeme geldiğinde yaptığı açıklamada, kamuoyunu yanıltıcı bulduğunu söylediği iddiaları reddetmişti.

4 Kasım’da 173 GB veri çalındığı öne sürüldü

Dark Web Intelligence (@DailyDarkWeb), 4 Kasım öncesinde sosyal medyada yaptığı paylaşımda Pegasus’un Jira ve Confluence sunucularına, ardından AWS bulut ortamına erişildiğini ve yaklaşık 173 GB veri ele geçirildiğini ileri sürmüştü.

Çalındığı iddia edilen veriler arasında yaklaşık 430 bin Jira destek kaydı, 37 bin Confluence dosyası ve 18 bin çalışanın ad ve e-posta bilgileri bulunuyordu.

Paylaşımda yolculara ait PNR rezervasyon kayıtları, uçuş bilgileri, ad-soyad, T.C. kimlik ve pasaport numaraları, e-posta adresleri ve telefonların da ele geçirildiği iddia edilmişti.

Pegasus: “Misafir veri tabanları bu sistemlerde yer almıyor”

Pegasus, 4 Kasım’da haber ajansları aracılığıyla yaptığı açıklamada, şirket içi destek süreçlerinde kullanılan sistemlerde bir güvenlik açığı tespit edildiğini ve giderildiğini bildirdi.

Şirket, bu sistemlerin kritik operasyonel sistemler arasında olmadığını belirterek şu ifadeleri kullandı:

“Misafir veri tabanları bu sistemlerde yer almamaktadır ve söz konusu sistemler uçuş operasyonlarımızın yürütülmesinde kullanılmamaktadır.”

Veri Tabanı Seç

Bu açıklamayla Pegasus, yolcu verilerinin söz konusu sistemlerde bulunmadığını ve iddiaların kamuoyunu yanılttığını savundu.

KVKK bildirimi Pegasus’un açıklamasıyla çelişiyor

KVKK’nın 11 Kasım’da yayımladığı bildirimde ise Pegasus’un sistemine yetkisiz erişim sağlandığı ve 11 bin 762 kişinin kişisel verilerinin ihlalden etkilendiği açıkça belirtildi.

Üstelik KVKK, etkilenen kişi gruplarını yalnızca çalışanlar olarak değil, “çalışanlar ve kullanıcılar” şeklinde tanımladı.

Böylece Pegasus’un 4 Kasım’da yaptığı açıklamadaki “misafir veri tabanları bu sistemlerde yer almamaktadır” ifadesi ile KVKK’ya bildirilen kullanıcı verisi ihlali arasında ciddi bir çelişki ortaya çıktı.

KVKK bildirimi, 11 bin 762 kişinin kimlik ve iletişim bilgilerinin ihlal edildiğini doğruluyor.

Ancak kullanıcı kategorisindeki kişilerin tamamının yolcu olup olmadığı ve hangi kayıtlarının ele geçirildiği açıklanmadı. Aynı şekilde 4 Kasım’da öne sürülen 173 GB veri hırsızlığı iddiası da KVKK bildirimiyle doğrulanmış değil.

KVKK’nın yayımladığı  Veri İhlal Bildirimi’ne KVKK sitesinden ulaşılabilir.