505 BİN MÜŞTERİNİN VERİLERİ ELE GEÇİRİLDİ
Restoran ve hızlı servis gıda sektöründe faaliyet gösteren bir şirkette yaşanan veri ihlali yüz binlerce müşteriyi etkiledi.
Kişisel Verileri Koruma Kurumu’nun (KVKK) kararına göre siber saldırganlar, şirket sistemlerine erişerek toplam 505 bin 337 müşterinin kişisel bilgilerine ulaştı.
HER ŞEY BİR ÇALIŞANIN BİLGİSAYARIYLA BAŞLADI
Saldırganların şirket sistemine giriş yöntemi de ortaya çıktı.
İnternet tarayıcısı üzerinde çalışan zararlı yazılım aracılığıyla şirketin bilgi işlem biriminde görev yapan bir personelin bilgisayarına yetkisiz erişim sağlandı.
TARAYICIYA KAYITLI ŞİFRELERİ ELE GEÇİRDİLER
Siber saldırganlar, çalışanın internet tarayıcısında kayıtlı kullanıcı adı ve şifrelerine ulaştı.
Ele geçirilen hesap bilgileri kullanılarak şirket sistemlerine giriş yapıldı. Bu erişim sonucunda 505 bin 337 müşteriye ait kişisel bilgiler saldırganların eline geçti.
ŞİRKET YÖNETİCİSİNE MESAJ ATTILAR
Verileri ele geçiren saldırganlar bir süre sonra şirket yöneticisinin telefonuna mesaj gönderdi.
Mesajda şirkete ait bazı verilerin ellerinde olduğunu bildiren saldırganların bu hamlesinin ardından olay ortaya çıktı. Şirket yetkilileri durumu KVKK’ye bildirirken kurum tarafından inceleme başlatıldı.
SİSTEMDE ALARM BULUNMADIĞI ORTAYA ÇIKTI
KVKK tarafından gerçekleştirilen incelemede şirketin veri güvenliğine ilişkin eksiklikleri tespit edildi.
Kararda, saldırganların şirket sistemine giriş yaptığı anda yetkilileri uyaracak bir alarm sisteminin bulunmadığı belirtildi. Bu durumun veri sorumlusunun takip ve kontrol mekanizmalarındaki eksikliği gösterdiği değerlendirildi.
ÇALIŞANLARIN EĞİTİMİ DE YETERSİZ BULUNDU
KVKK, şirketin yalnızca teknik güvenlik önlemlerini incelemekle kalmadı.
Kararda, kişisel verilerin korunması konusunda çalışanlara verilmesi gereken eğitim ve farkındalık çalışmalarında da yeterli özenin gösterilmediği ifade edildi.
Ayrıca veri ihlalinden etkilenen kişilere gerekli bildirimin yapılmaması da ayrı bir ihlal olarak değerlendirildi.
TOPLAM 1 MİLYON TL CEZA KESİLDİ
KVKK, gerekli teknik ve idari güvenlik tedbirlerinin alınmaması nedeniyle şirkete 800 bin TL idari para cezası uygulanmasına karar verdi.
Veri ihlalinden etkilenen kişilere bildirim yapılmaması nedeniyle de 200 bin TL ceza kesildi.
Böylece 505 bin 337 müşterinin kişisel verilerinin etkilendiği olayda şirkete uygulanan toplam idari para cezası 1 milyon TL’ye ulaştı.
