Hepsiburada kullanıcılarının verileri güvende mi? Kaspi.kz'nin sicili tartışılıyor

Hepsiburada'da yaşanan yeni veri ihlali, şirketin yeni sahibi Kaspi.kz'nin güvenlik geçmişini gündeme getirdi. Kaspi.kz, Kazakistan'da milyonlarca kişiyi etkileyen veri sızıntıları yaşadı.

Kaspi.kz, Kazakistan'da yalnızca bir alışveriş veya bankacılık uygulaması değil. Şirket, günlük hayatta ihtiyaç duyulan çok sayıda hizmeti tek çatı altında toplayan bir süper uygulama (Super App) modeliyle faaliyet gösteriyor. Kullanıcılar alışveriş ve bankacılık işlemlerinin yanı sıra Türkiye’deki e-Devlet hizmetlerine benzer şekilde Kaspi.kz üzerinden vergi ve trafik cezalarını ödeyebiliyor, sosyal yardımlarını alabiliyor, dijital kimlik ve ehliyet taşıyabiliyor, araç alım-satım tescili yapabiliyor, uçak/tren bileti alabiliyor ve anlık kredi çekebiliyor.

Kaspi.kz, 20,6 milyon nüfusa sahip Kazakistan’da aylık ortalama 15,7 milyon aktif kullanıcıya ulaşıyor. 12,2 milyon kişi, Kaspi üzerinden devlet hizmetlerine erişiyor.

Nüfusun büyük çoğunluğunun günlük yaşamında kullandığı bu "Süper Uygulama" (Super App) yapısı, vatandaşların en mahrem verilerini tek bir çatı altında topluyor:

• Bireysel Kimlik Numaraları (IIN) ve elektronik dijital imza (EDS/e-imza) verileri,
• Biyometrik veriler (yüz tanıma ve kimlik doğrulama fotoğrafları),
• Tüm finansal geçmiş, kredi skorları, taksit/borç kayıtları ve günlük QR harcamaları,
• İkametgah adresleri, aile bağları ve resmi devlet kayıtları.

Kaspi.kz’nin bu kadar kritik verileri tek bir ekosistemde toplaması ve devlet veri tabanlarıyla sürekli senkronize çalışması, siber saldırganlar ve dolandırıcılar için devasa bir hedef oluşturuyor. Kaspi.kz ise bu verileri koruma konusunda zaman zaman başarısız oluyor. Kazakistan vatandaşlarının ifadelerine göre Kaspi.kz’deki veri sızıntıları “ rutin ” haline geldi.

Kazakistan’da "rutin" hale gelen dev veri sızıntıları

Kazakistan’da devlet kurumları, finans kuruluşları ve özel şirketler arasındaki veri entegrasyonu büyürken, siber güvenlik altyapısının aynı hızda korunamaması ülkede veri sızıntılarını rutin hale getirdi. Yakın dönemde yaşanan büyük veri sızıntıları şöyle:

ATM'lerde herkesin kredi ve borç bilgileri ifşa oldu (Ekim 2026)

Kaspi.kz’de henüz iki hafta önce ortaya çıkan güvenlik zafiyetinde, ATM üzerinden sadece alıcının Bireysel Kimlik Numarası (IIN) girilerek yapılan para transferleri sırasında, alıcı kişinin mevcut taksitleri ve kredi borcu bilgilerinin ATM ekranında herkese açık şekilde görüntülendiği ortaya çıktı. Bu olay ülkede " bankacılık sırrı ve kişisel verilerin korunması " konusunda büyük tepki çekti.

Kazakistan merkezli haber sitelerinin 19 Ekim 2026 tarihli haberine göre, bir kullanıcı Kaspi ATM'si üzerinden para transferi gerçekleştirirken başka bir kişinin kimlik numarasını kullanarak o kişiye ait taksit bilgilerine ulaşabildiğini fark etti.

Paylaşılan görüntülere göre alıcının IIN numarası girildiğinde ilgili kişinin taksitli alışverişlerinin sayısı, her bir taksitte kalan borç tutarı ve toplam kredi borcu görüntülenebiliyordu. Menüde ayrıca tüm taksit ve kredileri listeleyen bir bölüm bulunuyordu. Buradaki en önemli ayrıntı, söz konusu bilgilere ulaşmak için ilgili kişinin kimlik numarasını bilmenin yeterli olduğunun bildirilmesi.