Ünlü şirkette büyük skandal! Sizin verileriniz de çalınmış olabilir

KVKK, 505 bin 337 müşterinin kişisel verilerinin etkilendiği veri ihlali sonrası bir şirkete toplam 1 milyon TL idari para cezası verdi.

Kişisel Verileri Koruma Kurumu ( KVKK ), restoran ve hızlı servis gıda sektöründe faaliyet gösteren bir şirkette yaşanan ve 505 bin 337 müşteriyi etkileyen veri ihlaline ilişkin kararını verdi. İnceleme sonucunda şirkete iki ayrı gerekçeyle toplam 1 milyon TL idari para cezası uygulandı.

Veri ihlalinin, şirketin bilgi işlem biriminde çalışan bir personelin bilgisayarına gerçekleştirilen siber saldırıyla başladığı belirtildi. Saldırganların çalışanın bilgisayarından elde ettikleri kullanıcı adı ve şifrelerle şirket sistemine eriştiği tespit edildi.

SALDIRI ÇALIŞANIN BİLGİSAYARINDAN BAŞLADI

KVKK kararında yer alan bilgilere göre siber saldırganlar, şirketin bilgi işlem biriminde çalışan bir personelin bilgisayarına internet tarayıcısı üzerinde çalışan zararlı yazılım aracılığıyla yetkisiz erişim sağladı.

Saldırganların daha sonra çalışanın internet tarayıcısında kayıtlı kullanıcı adı ve şifreleri ele geçirdiği belirtildi.

Elde edilen hesap bilgileri kullanılarak şirket sistemine giriş yapıldı.

505 BİN MÜŞTERİ ETKİLENDİ

Şirket sistemine erişim sağlayan saldırganların 505 bin 337 müşterinin kişisel bilgilerine ulaştığı tespit edildi.

Saldırganların bir süre sonra şirket yöneticisinin telefonuna mesaj göndererek şirkete ait bazı verilerin ellerinde bulunduğunu bildirdiği aktarıldı.

Şirket tarafından olayın Kişisel Verileri Koruma Kurumu'na bildirilmesinin ardından veri ihlaliyle ilgili inceleme başlatıldı.

KVKK İKİ AYRI CEZA VERDİ

KVKK tarafından gerçekleştirilen incelemede şirketin veri güvenliği kapsamında aldığı teknik ve idari tedbirler değerlendirildi.

Gerekli teknik ve idari tedbirlerin alınmaması nedeniyle şirkete 800 bin TL idari para cezası verildi.

Veri ihlalinden etkilenen kişilere gerekli bildirimin yapılmaması nedeniyle ayrıca 200 bin TL ceza uygulanmasına karar verildi.

Böylece şirkete kesilen toplam idari para cezası 1 milyon TL'ye ulaştı.

ALARM SİSTEMİ BULUNMADIĞI BELİRTİLDİ

KVKK kararında şirketin güvenlik sistemlerine ilişkin tespitlere de yer verildi.

Siber saldırganların şirket sistemine giriş yapması durumunda bunu haber verecek bir alarm mekanizmasının kurulmadığı belirtildi. Kurum, veri sorumlusunun takip ve kontrol konusunda eksikliklerinin bulunduğunu değerlendirdi.

ÇALIŞAN EĞİTİMLERİ DE İNCELENDİ

İncelemede teknik güvenlik önlemlerinin yanı sıra şirket çalışanlarına verilen kişisel veri güvenliği eğitimleri de ele alındı.

KVKK, veri sorumlusunun çalışanlara kişisel verilerin korunması konusunda eğitim ve farkındalık çalışması yapılması için yeterli özeni göstermediğini belirtti.