土耳其KVKK同日公示9起数据泄露通告：钓鱼邮件致境外数据处理者Okta单点登录被入侵波及券商客户，另有多家电商与零售企业遭第三方应用恶意软件入侵

① Akkoyunlar Otomotiv İletişim Tekstil San ve Dış Ticaret A.Ş.（委员会决定 2026/2138）

② Deve Yükü Dayanıklı Tüketim Malları Ltd. Şti.（deveyuku.com）

③ Bambi Deri Mamülleri A.Ş.（bambiayakkabi.com.tr）

④ Walke Spor Ürünleri Dış Ticaret A.Ş.（walkesport.com）

⑤ Unigen Yapı Malzemeleri A.Ş.（unigen.com.tr）

⑥ Efece Ayakkabıcılık Mağazacılık San. ve Dış Tic. Ltd. Şti.（eceninbutigi.com）

⑦ Ofix Ofis Malzemeleri A.Ş.

⑧ Spirit Cultural Exchange, Inc.

⑨ Papara Menkul Değerler A.Ş.（委员会决定 2026/2144）

案例一（Akkoyunlar Otomotiv）：第三方应用恶意软件入侵——据通报，泄露始于**2026年9月23日**、于**9月24日**被发现；数据控制者系经**第三方应用程序来源的恶意软件**遭到网络攻击；受影响数据主体群体为**员工**；受影响个人数据类别为**身份、通信、视觉与音频记录**。据初步调查，泄露涉及**2025年在职员工与公司数据以及已失去时效的旧文档**。受影响人数估计为**约1,690人**，因存在重复记录，详细核查仍在进行。

案例二（Papara Menkul Değerler）：境外数据处理者 Okta 单点登录平台被攻破——据通报，泄露始于**2026年9月4日**，由**数据处理器**于**9月5日**发现，于**9月6日**终止，并于**9月18日**向数据控制者通报。攻击方式是向该**位于境外的数据处理器**的员工发送**社会工程学钓鱼邮件**，从而取得对其**多因素单点登录（SSO）平台 Okta** 的未授权访问。数据是否已被外传尚未确认。受影响数据为客户的**姓名、电子邮箱、电话、地址、投资画像、税务身份（依 FATCA 规则确定的客户税务身份）**；被访问数据为**加密状态**；据称其中**不含银行信息、金融服务访问凭据**等。

同一日集中公示9起通告在 KVKK 实践中并不常见，其中电商与零售类企业占多数，且成因集中于**第三方应用/供应商侧**（第三方应用恶意软件、境外数据处理器身份系统被攻破），对采用 SaaS、外包客服或境外共享服务中心的企业具有直接警示意义。