Kişisel Verileri Koruma Kurumu'nun (KVKK) kararına göre, siber saldırganlar, internet tarayıcısı üzerinde çalışan zararlı yazılım aracılığıyla restoran ve hızlı servis gıda sektöründe faaliyet gösteren bir şirketin bilgi işlem biriminde çalışan personelin bilgisayarına yetkisiz erişim sağladı.
Saldırganlar, çalışanın internet tarayıcısına kayıtlı kullanıcı adı ve şifrelerini ele geçirerek, personelin hesap bilgilerini kullanarak şirketin sistemine girdi ve 505 bin 337 müşterinin kişisel bilgisine ulaştı.
Bir müddet sonra, saldırganlar şirket yöneticisinin telefonuna, şirkete ait bazı verilerin ellerinde olduğuna dair bir mesaj gönderdi.
Şirket yetkilileri durumu KVKK'ye bildirdikten sonra inceleme başlatıldı.
KVKK, veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirlerin alınmaması nedeniyle şirkete 800 bin lira, veri ihlalinden etkilenen kişilere bildirim yapılmaması nedeniyle de 200 bin lira olmak üzere toplamda 1 milyon lira idari para cezası uygulanmasına karar verdi.
Kararda, siber saldırganlar tarafından şirket sistemine giriş sağlandığında durumu haber verecek alarm sisteminin kurulmadığı ve bu nedenle veri sorumlusunun takip ve kontrol noktasında eksiklikler bulunduğu ifade edildi.
Ayrıca, veri sorumlusunun kişisel verilerin korunması için çalışanlarına eğitim ve farkındalık çalışması yapılması konusunda yeterli özeni göstermediği vurgulandı.
Kişisel Verileri Koruma Kurumu, 505 bin 337 müşterisinin kişisel verisini koruyamayan şirkete 1 milyon lira idari para cezası uyguladı. 😠
