Kişisel Verileri Koruma Kurumu (KVKK), restoran ve hızlı servis gıda sektöründe faaliyet gösteren bir şirkete, müşterilerinin kişisel verilerinin siber saldırı sonucu ele geçirilmesi nedeniyle 1 milyon lira idari para cezası verdi.
Siber Saldırının Detayları ve Etkilenen Müşteri Sayısı
KVKK'nın açıklamasına göre, şirketin bilgi işlem biriminde görevli bir personelin bilgisayarına internet tarayıcısı üzerinden çalışan zararlı yazılım bulaştı. Bu yazılım aracılığıyla saldırganlar, çalışanın tarayıcıda kayıtlı kullanıcı adı ve şifrelerine erişim sağladı. Elde edilen bu bilgilerle şirketin sistemlerine giren siber saldırganlar, 505 bin 337 müşteriye ait kişisel verilere ulaşabildi.
Şirketin İhmal ve Bildirim Eksikliği
Bir süre sonra saldırganlar, şirket yöneticisinin telefonuna şirket verilerine sahip olduklarını belirten bir mesaj gönderdi. Şirket yetkilileri olayı KVKK'ye bildirdi ve kurum tarafından inceleme başlatıldı. Yapılan değerlendirmede, şirketin veri güvenliğini sağlamak için gerekli teknik ve idari tedbirleri almadığı tespit edildi.
Ayrıca, veri ihlalinden etkilenen kişilere bildirim yapılmaması da cezanın artmasına neden oldu. Bu nedenle KVKK, şirketin güvenlik tedbirlerini ihmal etmesi nedeniyle 800 bin lira, bildirim yükümlülüğünü yerine getirmemesi nedeniyle ise 200 bin lira olmak üzere toplam 1 milyon lira idari para cezası uyguladı.
Güvenlik Sistemlerindeki Eksiklikler ve Çalışan Eğitimi
KVKK kararında, saldırı sırasında şirket sisteminde durumu algılayacak bir alarm sistemi bulunmadığına dikkat çekildi. Bu durumun, veri sorumlusunun takip ve kontrol mekanizmalarında yetersiz kaldığını gösterdiği belirtildi. Kararda ayrıca, kişisel verilerin korunması kapsamında çalışanlara yönelik eğitim ve farkındalık çalışmalarının yapılmaması nedeniyle şirketin gerekli özeni göstermediği vurgulandı.
Veri Güvenliğinin Önemi ve Sonuç
Bu karar, kişisel verilerin korunması konusunda şirketlerin teknik ve idari tedbirleri eksiksiz uygulamasının, ayrıca veri ihlallerinde etkilenen kişilere zamanında bildirim yapılmasının önemini bir kez daha ortaya koydu. KVKK'nın uyguladığı bu ceza, veri güvenliği ihlallerine karşı kurumun kararlı duruşunu göstermesi açısından dikkat çekici bulundu.
Gelişmeler takip ediliyor.