土耳其KVKK对全球工业公司罚款100万里拉：勒索攻击蔓延797台服务器，迟报23天

事件链条清晰地展示了跨国企业的横向扩散风险：攻击始于该公司美国分公司的一名员工打开了一个下载的软件，导致美国境内一台服务器感染勒索软件；随后感染沿内网横向蔓延，最终波及全球网络中的797台服务器并加密大量文件。

受影响个人信息涉及4,885名员工、客户与供应商，数据类型包括身份信息、护照详情、住址、IBAN银行账号、电话号码乃至血型。血型在土耳其KVKK框架下属需强化保护的信息类别，与员工、客户及供应商三类主体叠加，使损害面进一步扩大。

监管认定的加重情节在于「已知风险未整改」：KVKK指出，此前的渗透测试已发现网络中存在多项安全弱点，但公司未能提供证据证明这些问题已得到处理。监管还发现系统陈旧、口令策略薄弱、网络访问权限过宽以及员工网络安全意识不足等问题，并认为这些网络弱点放大了攻击的潜在影响。

对中国出海企业的直接启示有两点：一是土耳其2026年数据安全义务罚款区间已上调至256,357至17,092,242里拉，且KVKK对「渗透测试发现未整改」这一情形明确从重；二是跨国网络必须做区域隔离——KVKK此前已在多起决定中强调，因总部与本地网络未分段导致境外攻击蔓延至土耳其境内系统的，数据控制者同样担责。