Restoran ve hızlı servis gıda sektöründe faaliyet gösteren bir şirkette yaşanan veri ihlalinin boyutu ortaya çıktı.
Siber saldırganlar, şirketin bilgi işlem biriminde çalışan bir personelin bilgisayarına zararlı yazılımla yetkisiz erişim sağladı.
Saldırganlar buradan elde ettikleri hesap bilgileriyle şirket sistemine ulaşırken, yüz binlerce müşterinin kişisel bilgileri de saldırganların eline geçti.
Olayın KVKK’ye bildirilmesinin ardından başlatılan incelemede şirketin veri güvenliği konusunda aldığı önlemler değerlendirildi.
Siber saldırganlar çalışanın bilgisayarına zararlı yazılımla girdiKVKK’nin kararına göre siber saldırı, şirketin bilgi işlem biriminde çalışan bir personelin bilgisayarı üzerinden gerçekleştirildi.
Saldırganlar, internet tarayıcısı üzerinde çalışan zararlı yazılım aracılığıyla personelin bilgisayarına yetkisiz erişim sağladı.
Ardından çalışanın internet tarayıcısına kayıtlı kullanıcı adı ve şifreleri ele geçirildi.
Bu hesap bilgilerini kullanan saldırganlar şirketin sistemine girmeyi başardı.505 bin 337 müşterinin kişisel bilgisine ulaştılarŞirket sistemine erişen siber saldırganların 505 bin 337 müşterinin kişisel bilgisine ulaştığı tespit edildi.
Saldırganlar bir süre sonra şirket yöneticisinin telefonuna mesaj göndererek şirkete ait bazı verilerin ellerinde olduğunu bildirdi.Şirket yetkililerinin durumu Kişisel Verileri Koruma Kurumu’na bildirmesinin ardından olayla ilgili inceleme başlatıldı.
KVKK şirkete 1 milyon TL ceza verdiKVKK, incelemenin ardından şirkete iki ayrı gerekçeyle idari para cezası uygulanmasına karar verdi.
Veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirlerin alınmaması nedeniyle 800 bin TL, veri ihlalinden etkilenen kişilere bildirim yapılmaması nedeniyle ise 200 bin TL ceza kesildi.
Böylece şirkete verilen toplam idari para cezası 1 milyon TL oldu.Şirket sisteminde alarm mekanizması kurulmadığı belirlendiKVKK kararında şirketin güvenlik sistemindeki eksikliklere de yer verildi.
Siber saldırganların şirket sistemine giriş yapması durumunda bunu haber verecek bir alarm sisteminin kurulmadığı belirtildi.
KVKK, bu nedenle veri sorumlusunun takip ve kontrol noktasında eksikliğinin bulunduğunu değerlendirdi.Çalışanların veri güvenliği eğitimi de mercek altındaKararda yalnızca teknik güvenlik önlemleri değil, şirket çalışanlarına yönelik eğitimler de değerlendirildi.
KVKK, veri sorumlusunun kişisel verilerin korunması konusunda çalışanlarına eğitim ve farkındalık çalışması yapılması için yeterli özeni göstermediğini belirtti.
Böylece 505 bin 337 müşteriyi etkileyen veri ihlalinde, hem şirketin teknik ve idari güvenlik tedbirlerindeki eksiklikler hem de ihlalden etkilenen kişilere bildirim yapılmaması toplam 1 milyon TL’lik idari para cezasıyla sonuçlandı.
