Kişisel Verileri Koruma Kurumu (KVKK), müşterilerine ait kişisel bilgilerin güvenliğini sağlayamayan bir şirkete 1 milyon lira idari para cezası verdi. Veri ihlalinden 505 bin 337 müşterinin etkilendiği belirlendi.
KVKK’nin kararında yer alan bilgilere göre, restoran ve hızlı servis gıda sektöründe faaliyet gösteren şirketin bilgi işlem biriminde görev yapan bir personelin bilgisayarına, internet tarayıcısı üzerinden çalışan zararlı yazılım kullanılarak siber saldırganlar tarafından yetkisiz erişim gerçekleştirildi.
Saldırganlar, çalışanın internet tarayıcısında kayıtlı bulunan kullanıcı adı ve şifreleri ele geçirdi. Elde edilen hesap bilgileri üzerinden şirketin sistemlerine giriş yapan saldırganlar, 505 bin 337 müşteriye ait kişisel verilere erişim sağladı.
Bir süre sonra şirket yöneticisinin telefonuna ulaşan saldırganlar, ellerinde şirkete ait bazı verilerin bulunduğunu belirten bir mesaj gönderdi. Şirket yetkililerinin olayı KVKK’ye bildirmesinin ardından kurum tarafından inceleme başlatıldı.
Yapılan değerlendirme sonucunda KVKK, şirketin veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirleri almaması nedeniyle 800 bin lira, veri ihlalinden etkilenen kişilere bildirimde bulunulmaması nedeniyle ise 200 bin lira idari para cezası uygulanmasına karar verdi. Böylece şirkete verilen toplam ceza 1 milyon liraya ulaştı.
KVKK kararında, saldırganların şirket sistemine giriş yaptığı sırada durumu bildirecek bir alarm sisteminin bulunmadığına dikkat çekildi. Bu eksikliğin, veri sorumlusunun takip ve kontrol noktasında yeterli önlemi almadığını gösterdiği belirtildi.
Kararda ayrıca, kişisel verilerin korunması konusunda çalışanlara eğitim verilmesi ve farkındalık çalışmalarının yürütülmesi bakımından veri sorumlusunun gerekli özeni göstermediği ifade edildi.