Kişisel Verileri Koruma Kurumu (KVKK), yüz binlerce müşterinin kişisel bilgilerinin ele geçirildiği veri ihlaline ilişkin incelemesini tamamladı.
Restoran ve hızlı servis gıda sektöründe faaliyet gösteren bir şirketin sistemine sızan saldırganların 505 bin 337 müşterinin kişisel bilgilerine ulaştığı belirlendi.
KVKK, veri güvenliğine ilişkin yükümlülüklerin yerine getirilmediği gerekçesiyle şirkete toplam 1 milyon lira idari para cezası uygulanmasına karar verdi.
ÇALIŞANIN BİLGİSAYARINA SIZDILAR
KVKK'nin kararına göre siber saldırganlar, internet tarayıcısı üzerinde çalışan zararlı bir yazılım aracılığıyla şirketin bilgi işlem biriminde görev yapan bir personelin bilgisayarına yetkisiz erişim sağladı.
Saldırganlar, çalışanın internet tarayıcısında kayıtlı kullanıcı adı ve şifrelerini ele geçirdi.
505 BİN 337 MÜŞTERİNİN BİLGİLERİNE ULAŞTILAR
Ele geçirilen hesap bilgilerini kullanan saldırganlar şirketin sistemine giriş yaptı.
Siber saldırı sonucunda 505 bin 337 müşterinin kişisel bilgilerine erişildiği tespit edildi.
ŞİRKET YÖNETİCİSİNE MESAJ ATTILAR
Saldırganların bir süre sonra şirket yöneticisinin telefonuna mesaj gönderdiği de ortaya çıktı.
Mesajda şirkete ait bazı verilerin saldırganların elinde bulunduğu belirtildi.
Bunun üzerine şirket yetkilileri yaşanan veri ihlalini KVKK'ye bildirdi ve olayla ilgili inceleme başlatıldı.
ALARM SİSTEMİ KURULMADIĞI TESPİT EDİLDİ
KVKK'nin incelemesinde şirketin sistemine yetkisiz giriş yapılması durumunda durumu bildirecek bir alarm sisteminin bulunmadığı tespit edildi.
Kararda, veri sorumlusunun takip ve kontrol konusunda eksikliklerinin bulunduğu belirtildi.
ÇALIŞANLARA YETERLİ EĞİTİM VERİLMEDİ
KVKK ayrıca kişisel verilerin korunmasına yönelik çalışanlara verilmesi gereken eğitim ve farkındalık çalışmalarında yeterli özenin gösterilmediğine karar verdi.
Kurul, şirketin gerekli teknik ve idari tedbirleri almakta yetersiz kaldığını değerlendirdi.
800 BİN LİRA VERİ GÜVENLİĞİ CEZASI
Kurul, veri güvenliğinin sağlanmasına yönelik gerekli teknik ve idari tedbirlerin alınmaması nedeniyle şirkete 800 bin lira idari para cezası verdi.
İHLALDEN ETKİLENENLERE BİLDİRİM YAPILMADI
KVKK, veri ihlalinden etkilenen kişilere gerekli bildirimin yapılmadığını da tespit etti.
Bu nedenle şirkete ayrıca 200 bin lira idari para cezası uygulanmasına karar verildi.
Böylece şirket hakkında verilen toplam idari para cezası 1 milyon liraya ulaştı.
