iyzico’nun 14 Eylül akşamı maruz kaldığı dağıtık hizmet engelleme (DDoS) saldırısı, bazı ödeme işlemlerini etkilerken finans sektöründe giderek büyüyen bir teknoloji riskini de yeniden gündeme getirdi: Siber güvenlik artık yalnızca sistemlere girilmesini ve veri çalınmasını önlemek değil, hizmeti ayakta tutabilmek anlamına da geliyor.

iyzico, saldırı sırasında yaşanan yavaşlama ve erişim sorunları nedeniyle yanıt sürelerinin uzadığını ve bazı ödeme işlemlerinin etkilendiğini açıkladı. Şirket, hizmetlerin daha sonra normal seyrine döndüğünü bildirdi.

Küresel veriler, DDoS saldırılarının finans kuruluşları açısından giderek daha önemli bir operasyonel risk haline geldiğine işaret ediyor. Akamai’nin Mayıs 2026’da yayımladığı araştırmaya göre finansal hizmetler, Layer 3 ve Layer 4 DDoS saldırılarında en fazla hedef alınan sektör oldu. Finans sektörünü hedefleyen bu saldırıların küresel medyan süresi 2024’ten bu yana yüzde 738 arttı. EMEA bölgesi ise 2025’te finans sektörünü hedefleyen Layer 3 ve Layer 4 DDoS olaylarının yüzde 62’sini aldı.

Avrupa Bankacılık Otoritesi’nin (EBA) Haziran 2026 tarihli Risk Assessment Report’u da benzer bir tablo ortaya koyuyor. DORA kapsamında Ocak 2025-Mart 2026 arasında 18 binden fazla ICT olayı bildirildi. EBA, bildirilen siber güvenlik olaylarında DDoS’u en yaygın saldırı teknikleri arasında gösteriyor; ayrıca ödeme kuruluşlarının dış kaynaklı olaylara maruziyetinin kredi kuruluşlarından daha yüksek olduğuna dikkat çekiyor.

Karar kesişimi: İhlali önlemek mi, hizmeti ayakta tutmak mı?

Bu tablo teknoloji ekipleri için kritik bir karar kesişimi yaratıyor. Güvenlik yatırımları yalnızca “Sisteme girildi mi, veri çalındı mı?” sorusuna göre mi şekillenecek, yoksa ödeme altyapısının saldırı altındayken çalışmaya devam edebilmesi de aynı ölçüde tasarım ve bütçe konusu olacak mı?

iyzico vakası, ikinci sorunun teorik olmadığını gösterdi. Bir DDoS saldırısında veri ihlali yaşanmasa bile ödeme altyapısındaki yavaşlama, doğrudan üye işyerlerinin ödeme alma kabiliyetine kadar uzanabiliyor.