KVKK’dan Baydöner’e 1 milyon lira ceza: 505 bin müşterinin verisi ele geçirildi

KVKK, Baydöner’de 505 bin 337 müşterinin kişisel bilgilerinin ele geçirildiği veri ihlaline ilişkin incelemesini tamamladı. Saldırıyı kendi sistemleriyle tespit edemeyen ve müşterilere gerekli bildirimi yapmayan şirkete, güvenlik ve denetim zafiyetleri nedeniyle toplam 1 milyon lira idari para cezası kesildi.

Kişisel Verileri Koruma Kurumu (KVKK), zincir restoran markası Baydöner'de yaşanan ve 505 bin 337 müşteriyi etkileyen veri ihlaline ilişkin incelemesini tamamladı. Şirketin gerekli güvenlik önlemlerini zamanında almadığı, saldırıyı fark edecek alarm mekanizması kurmadığı ve mağdurları bilgilendirmediği belirlendi. Baydöner'e toplam 1 milyon lira idari para cezası kesildi.

Bir çalışana ait bilgilerin ele geçirilmesiyle şirket sistemlerine sızan saldırganların, yüz binlerce müşterinin kişisel verilerine eriştiği tespit edildi.

Siber saldırı sonucunda 505 bin 337 müşterinin ad-soyad, cinsiyet, e-posta adresi, telefon numarası ve yaşadığı şehir bilgilerinin ele geçirildiği belirlendi.

ŞİRKET SALDIRIYI HACKERLARIN MESAJIYLA ÖĞRENDİ

Baydöner'in sistemlerindeki güvenlik açığı, şirketin kendi denetim mekanizmaları tarafından fark edilemedi. Saldırganlar, şirket yöneticilerinden birinin telefonuna mesaj göndererek verilerin ellerinde bulunduğunu bildirdi.

Mesajın ardından Baydöner, veri ihlalini KVKK'ye bildirirken kurum da olayla ilgili inceleme başlattı.

YÜZ BİNLERCE VERİ KORUMASIZ KALDI

KVKK tarafından yürütülen incelemede, şirketin kişisel verilerin güvenliğini sağlamak için alması gereken teknik ve idari tedbirlerin yetersiz kaldığı sonucuna varıldı.

Kurum, gerekli güvenlik önlemlerinin alınmaması nedeniyle Baydöner'e 800 bin lira idari para cezası uygulanmasına karar verdi.

MAĞDURLARA BİLDİRİM YAPILMADI

İncelemede yalnızca güvenlik tedbirlerinin yetersizliği değil, ihlalden etkilenen müşterilerin bilgilendirilmemesi de ceza gerekçesi oldu.

KVKK, yüz binlerce kişinin verileri saldırganların eline geçmesine rağmen ilgili kişilere gerekli bildirimin yapılmaması nedeniyle şirkete ayrıca 200 bin lira ceza verdi. Böylece Baydöner'e kesilen toplam idari para cezası 1 milyon liraya ulaştı.

SİSTEMDE ALARM MEKANİZMASI BİLE YOKTU

KVKK kararında, saldırganların şirket sistemlerine girdiği sırada olağan dışı hareketleri tespit ederek yetkilileri uyaracak bir alarm mekanizmasının bulunmadığına dikkat çekildi.

Bu eksikliğin, şirketin sistemlerini takip ve kontrol etme konusunda yeterli güvenlik altyapısına sahip olmadığını ortaya koyduğu değerlendirildi.

ÇALIŞANLARA VERİ GÜVENLİĞİ EĞİTİMİ DE YETERSİZ

Kurum, kişisel verilerin korunması konusunda çalışanlara yönelik eğitim ve farkındalık çalışmalarına da gereken önemin verilmediği kanaatine vardı.

Bir çalışanın bilgilerinin ele geçirilmesiyle başlayan saldırının yüz binlerce müşteriyi etkilemesi; teknik güvenlik önlemlerinin yanı sıra personel eğitimi ve iç denetim süreçlerindeki zafiyeti de gözler önüne serdi.

Yunus Akseki

Takvim.com.tr