Bir sabah sitenizde tanımadığınız bir yönetici hesabı, Google’da sitenizin adıyla görünen yabancı dilde sayfalar ya da ziyaretçileri başka bir siteye götüren bir yönlendirme görüyorsunuz. Aynı hafta, kullandığınız bir eklenti için giriş gerektirmeyen bir açık kaydı yayımlanmış. Bu yazı, böyle bir durumda ilk saatlerde neyi hangi sırayla yapacağınızı ve sitenizde kişisel veri varsa Kişisel Verileri Koruma Kanunu’nun (KVKK) ne istediğini anlatıyor. Hukuki tavsiye değildir; durumunuza özel değerlendirme için bir hukukçuya danışın.
Önce kanıtı koruyun
İlk refleks çoğu zaman her şeyi silmek olur. Bunu yapmadan önce durumu kayıt altına alın:
- Tam yedek alın. Dosyalar ve veritabanı, olduğu gibi. Bu yedek muhtemelen kirlidir; geri yüklemek için değil, neyin ne zaman değiştiğini anlamak için saklanır. WordPress sıkılaştırma belgesi yedeklerin bütünlüğünden emin olmak için şifrelemeyi, her yedek dosyası için ayrı bir özet (hash) kaydı tutmayı ya da salt okunur ortamda saklamayı önerir.
- Sunucu kayıtlarını isteyin. Barındırma firmanızdan erişim kayıtlarını (access log) talep edin. Belge, kayıtları okumaya alıştıkça tema ve eklenti düzenleyicilerinin ne zaman kullanıldığını, kimin ne eklediğini görebileceğinizi söyler. Bu kayıtlar çoğu zaman belirli bir süre sonra silinir; erken isteyin.
- Tarih ve saat not edin. Fark ettiğiniz anı, neyi fark ettiğinizi ve kimin fark ettiğini yazın. Aşağıda göreceğiniz gibi, KVKK’daki süre bu andan başlıyor.
Sonra kapıyı kapatın
Açıklı eklentiyi güncelleyin ya da kaldırın. Saldırının kaynağı olduğundan şüphelendiğiniz eklentinin kayıtlarına bakın; son açıklar sayfasında son 30 günün kayıtlarını “yalnız girişsiz” süzgeciyle görebilirsiniz. Düzeltilmiş sürüm varsa kurun, yoksa eklentiyi silin.
Yönetici hesaplarını temizleyin. Kullanıcılar sayfasını “Yönetici” rolüne göre süzün. Wordfence’in 2025’te incelediği kötü amaçlı yazılım örneklerinde saldırganın ilk iş olarak kendine kalıcı bir yönetim yetkisi sağladığı görülüyor: ya sıfırdan bir hesap oluşturuluyor ya da mevcut bir kullanıcının rolü yükseltiliyor. Bu hesapların adları sıradan görünebilir. Tanımadığınız her yönetici hesabını silin.
Tüm parolaları değiştirin. Yönetici hesapları, barındırma paneli, FTP/SFTP ve veritabanı parolası. Veritabanı parolasını değiştirdiğinizde wp-config.php dosyasını da güncellemeniz gerekir.
Güvenlik eklentinizi kontrol edin. Aynı raporda güvenlik eklentisinin klasör adı değiştirilerek devre dışı bırakıldığı ve tarama sonuçlarının panelde gizlendiği anlatılıyor. Eklentiniz Eklentiler ekranında görünmüyorsa ya da kendiliğinden kapanmışsa, bunu bulaşmanın sürdüğüne dair bir işaret sayın.
Panelden dosya düzenlemeyi kapatın. Sıkılaştırma belgesi, panel düzenleyicisinin giriş yapabilen bir saldırganın genellikle ilk kullandığı araç olduğunu söyler ve DISALLOW_FILE_EDIT sabitiyle kapatılmasını anlatır.
Bulaşma derinse, örneğin çekirdek dosyaları değiştirilmişse ya da yeniden ortaya çıkıyorsa, temiz bir WordPress kurulumuna içerik taşımak ya da barındırma firmasından profesyonel temizlik desteği almak en hızlı yol olabilir.
Sitenizde kişisel veri var mı
KVKK açısından ilk soru, saldırganın kişisel verilere ulaşıp ulaşmadığıdır. Bir WordPress sitesinde kişisel veri sandığınızdan fazla yerde durur:
- Kullanıcı hesapları (ad, e-posta, parolaların karma değerleri)
- Form eklentilerinin kaydettiği girişler (iletişim, başvuru, teklif formları)
- WooCommerce siparişleri (ad, adres, telefon)
- Randevu, üyelik ve öğrenme yönetim sistemi kayıtları
- Yorumlar ve bülten aboneleri
Açık türü de ipucu verir. Bir SQL enjeksiyonu ya da başkasının kaydına erişim (IDOR) açığı doğrudan veri okumaya yöneliktir. Dosya yükleme ya da kod çalıştırma açığıyla siteyi ele geçiren biri ise veritabanına da ulaşabilir. Kaydın türünü açık türleri sayfasındaki açıklamalarla karşılaştırın.
Bu iki tür seyrek değil. 20 Ekim 2026’ya kadarki bir yılda WordPress için 500’e yakın SQL enjeksiyonu ve 340’ı aşkın IDOR kaydı yayımlandı. IDOR kayıtlarının 130’dan fazlası abone düzeyinde bir hesapla kullanılabiliyor; yani üyeliğe açık bir sitede, kayıt olan herhangi biri başka bir üyenin kaydına ulaşabiliyor olabilir. IDOR kayıtlarında en sık geçen adlar öğrenme yönetim sistemleri, randevu eklentileri, çok satıcılı mağaza eklentileri ve form eklentileri. Bu eklentilerden birinde ilgili bir kayıt varsa ve site ele geçirildiyse, “veri okundu mu?” sorusunu ciddiye almak gerekir; sunucu erişim kayıtları bu soruya cevap vermenin en somut yoludur.
KVKK ne diyor
Kanunun veri güvenliğine ilişkin 12. maddesi, Kurum’un özetiyle, veri sorumlusunun uygun güvenlik düzeyini sağlamak için gerekli her türlü teknik ve idari tedbiri almasını ister. Aynı maddenin son hükmüne göre işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurul’a bildirir.
“En kısa süre”nin ne demek olduğunu Kişisel Verileri Koruma Kurulu’nun 24.01.2019 tarihli ve 2019/10 sayılı kararı belirler. Kurum’un sitesinde 15 Şubat 2019’da yayımlanan duyuruya göre:
- Kurul’a bildirim: “En kısa süre” 72 saat olarak yorumlanır. Veri sorumlusu ihlali öğrendiği andan itibaren gecikmeksizin ve en geç 72 saat içinde Kurul’a bildirir.
- İlgili kişilere bildirim: İhlalden etkilenen kişiler belirlendikten sonra makul olan en kısa süre içinde, iletişim adresine ulaşılabiliyorsa doğrudan, ulaşılamıyorsa veri sorumlusunun internet sitesi gibi uygun bir yöntemle yapılır.
- Gecikme: Haklı bir nedenle 72 saat içinde bildirim yapılamazsa, bildirimle birlikte gecikmenin nedenleri de Kurul’a açıklanır.
- Kayıt: İhlale ilişkin hususlar, etkileri ve alınan önlemler kayıt altına alınır ve Kurul’un incelemesine hazır tutulur.
- Plan: Veri ihlali müdahale planı hazırlanır ve belirli aralıklarla gözden geçirilir.
Bildirim, Kurum’un sitesindeki ihlal bildirimi bölümünden yapılır; aynı sayfada çevrim içi form ve formun kılavuzu bulunur.
Site sahibi için pratik karşılığı
Süre “öğrendiği andan” başladığı için, yukarıda not ettiğiniz tarih ve saat önem kazanır. Teknik temizlikle uğraşırken 72 saat hızla geçer. Şu ayrımı aklınızda tutun: 72 saat, her şeyi çözmüş olmanız için değil, Kurul’a bildirmeniz için verilen süredir. Teknik inceleme sürerken neyi ne zaman öğrendiğinizi yazılı tutmak, hem gecikme gerekçesi hem de kararın istediği kayıt için işinize yarar.
Kişisel blog işleten ve sitesinde yalnız kendi hesabı olan biri ile müşteri siparişleri tutan bir mağaza aynı durumda değildir. Hangi verinin kimin adına işlendiği, sizin veri sorumlusu olup olmadığınız ve bildirimin kapsamı gibi sorular durumunuza bağlıdır; burada bir hukukçunun görüşü gerekir.
Bir dahaki sefere hazır olmak
Kararın istediği müdahale planı, küçük bir site için de birkaç satırlık bir belge olabilir: yedeklerin nerede durduğu, barındırma firmasına nasıl ulaşılacağı, hangi eklentilerin kişisel veri tuttuğu, bildirimi kimin yapacağı. Bu listeyi hazırlarken kullandığınız eklentilerin son 12 aydaki kayıtlarına eklentiler sayfasından bakabilir, otomatik güncellemeyi hangi eklentilerde açacağınıza karar vermek için otomatik güncelleme yazımızı okuyabilirsiniz. Dosya yükleme açıklarının yükleme klasöründeki etkisini sınırlamanın yolunu dosya yükleme yazımızda anlattık.