Müşteri Verilerini Güvenlik Açığı Nedeniyle Koruyamayan Şirkete 1 Milyon Liralık Ceza

Türkiye Kişisel Verileri Koruma Kurumu (KVKK), son zamanlarda artış gösteren siber saldırı vakalarına ilişkin ağır bir uyarıda bulunarak, önemli bir şirketin veri güvenliği ihlali nedeniyle 1 milyon lira para cezası kesildiğini açıkladı. Söz konusu şirketin, 505 binin üzerinde müşterisine ait kişisel bilgilere erişim sağlandığı ve bu bilgilerin güvenlik açığı nedeniyle kötü niyetli kişiler tarafından ele geçirildiği belirlendi. Ayrıca, şirketin veri güvenliği önlemlerini yeterli seviyede almaması ve ihlalden etkilenen müşterilere gerekli bildirimleri zamanında yapmaması, durumun ciddiyetini arttırdı.

Olayın detaylarına göre, saldırganlar restoran ve hızlı servis gıda sektöründe faaliyet gösteren bu şirketin bilgi işlem birimine sızmak için geleceği bir zararlı yazılım kullandı. Bir çalışanının kullandığı internet tarayıcısındaki kaydedilmiş kullanıcı adı ve şifreleri elde eden saldırganlar, bu bilgileri kullanarak şirketin sistemine sistematik olarak giriş sağladı. Saldırganlar, sistemlere sızdıktan sonra toplamda 505 bin civarında müşteriye ait kişisel bilgileri açığa çıkardı. Bu gelişmenin ardından, şirkete ait yöneticinin telefonuna, bazı verilerin elinde olduğunu belirten tehdit mesajları gönderildi. Kurumun durumu KVKK'ye bildirmesi üzerine, detaylı bir inceleme başlatıldı.

Yapılan incelemede, şirketin veri güvenliği açısından ciddi eksiklikler içerisinde olduğu tespit edildi. Sistemlere yetkisiz girişleri önleyecek alarm ve uyarı sistemlerinin bulunmadığı, takip ve kontrol mekanizmalarının yetersiz olduğu ve çalışanların kişisel verilerin korunmasına ilişkin yeterli eğitim ve farkındalık seviyesine sahip olmadıkları ortaya çıktı. Bu durumlar göz önüne alınarak, KVKK, şirketin teknik ve idari tedbirleri almadığını ve uygun önlemleri uygulamadığını belirtti. Sonuç olarak, veri güvenliği zafiyetleri sebebiyle 800 bin lira, aynı zamanda ihlal sırasında ilgili kişilere bildirim yapılmaması nedeniyle de 200 bin lira olmak üzere toplam 1 milyon lira idari para cezası kararlaştırıldı. Bu olay, Kişisel Verilerin Güvenliği konusunda alınacak tedbirlerin önemini tekrar gözler önüne serdi ve şirketlere uyarı niteliğinde bir örnek oluşturdu.