Kişisel Verileri Koruma Kurulu (KVKK), restoran ve hızlı servis sektöründe hizmet veren bir firmada meydana gelen büyük çaplı veri sızıntısını mercek altına aldı. Yapılan detaylı incelemeler sonucunda, şirketin güvenlik protokollerindeki eksiklikler nedeniyle 505 bin 337 müşterinin kişisel verilerinin üçüncü kişilerin eline geçtiği ortaya çıktı.
Siber saldırı nasıl gerçekleşti?
İnceleme raporuna göre, saldırganlar bir çalışanın bilgisayarına internet tarayıcısı üzerinden bulaşan zararlı bir yazılım aracılığıyla sızdı. Tarayıcıda kayıtlı olan kullanıcı adı ve şifreleri ele geçiren saldırganlar, bu bilgileri kullanarak bilgi işlem personelinin hesaplarına erişim sağladı.
Bu yetkisiz girişle birlikte şirket sistemlerine sızan saldırganlar, müşterilere ait hassas verileri kopyaladı. İhlalden etkilenen veriler arasında müşterilerin isimleri, cinsiyet bilgileri, e-posta adresleri, telefon numaraları ve ikamet ettikleri şehir bilgileri yer alıyor.
Eğitim eksikliği cezayı artırdı
KVKK, yaptığı değerlendirmede şirketin veri güvenliğini sağlamak adına yeterli teknik ve idari tedbirleri almadığına hükmetti. Özellikle çalışanların şifrelerini tarayıcıda kayıtlı tutmalarının büyük bir zafiyet oluşturduğuna dikkat çeken Kurul, şirketin personeline yönelik yeterli farkındalık eğitimi verdiğini de belgeleyemediğini vurguladı.
Toplam 1 milyon liralık ceza
Kurul, veri güvenliğini sağlamadığı gerekçesiyle şirkete 800 bin lira, ihlalden etkilenen kişilere yasal süresi içerisinde bildirimde bulunmadığı için ise 200 bin lira olmak üzere toplamda 1 milyon lira idari para cezası uygulanmasına karar verdi.
