KVKK'dan Veri İhlali Yapan Dev Restoran Zincirine 1 Milyon Liralık Tokat: 505 Bin Müşterinin Bilgileri Çalındı

Kişisel Verileri Koruma Kurumu (KVKK), veri güvenliği konusunda ihmalkar davranan şirketlere karşı tavizsiz tutumunu sürdürüyor. Son olarak hızlı servis gıda ve restoran sektöründe faaliyet gösteren dev bir zincir firmanın, siber saldırganların hedefi olması ve 505 binden fazla müşterisinin hassas bilgilerini çaldırması üzerine yürütülen inceleme tamamlandı. KVKK, gerekli teknik önlemleri almayan ve siber güvenliği hiçe sayan şirkete toplamda 1 milyon lira idari para cezası kesti.

Tarayıcıya Kaydedilen Şifreler Felakete Yol Açtı

Akıllara durgunluk veren siber saldırı, şirketin bilgi işlem biriminde görev yapan bir personelin bilgisayarına siber saldırganların sızmasıyla başladı. İnternet tarayıcısı üzerinden çalışan zararlı bir yazılım (malware) kullanan korsanlar, personelin bilgisayarına yetkisiz erişim sağladı. Çalışanın internet tarayıcısında kayıtlı tuttuğu tüm kullanıcı adı ve şifreleri ele geçiren saldırganlar, bu yetkili hesap bilgileriyle doğrudan şirketin ana sistemine sızdı. Yapılan incelemelerde, bu sızma sonucunda tam 505 bin 337 müşterinin kişisel verilerinin korsanların eline geçtiği belirlendi.

Şirket Yöneticisine Tehdit Mesajı Gönderildi

Sistemde uzun süre fark edilmeden gezinen siber saldırganlar, elde ettikleri verileri koz olarak kullanmaktan da çekinmedi. Belirli bir süre sonra şirket yöneticisinin cep telefonuna doğrudan mesaj atan korsanlar, firmanın kritik verilerinin kendi ellerinde olduğunu iddia ederek şantaj girişiminde bulundu. Bu mesajın ardından durumun ciddiyetini kavrayan şirket yetkilileri, vakit kaybetmeden KVKK'ye resmi bildirimde bulunarak yasal süreci başlatmak zorunda kaldı.

Alarm Sistemi Yok, Personel Eğitimi Yetersiz

KVKK tarafından başlatılan derinlemesine inceleme, şirketteki güvenlik zafiyetlerini bir bir ortaya çıkardı. Kurulun yayınladığı kararda, siber saldırganlar sisteme giriş yaptığında veri sorumlusunu uyaracak herhangi bir erken uyarı veya alarm sisteminin kurulmadığı vurgulandı. Bu durum, şirketin takip ve kontrol mekanizmalarında ciddi bir boşluk olduğunu gözler önüne serdi. Ayrıca, veri sorumlusunun personeline kişisel verilerin korunması ve siber güvenlik farkındalığı konularında yeterli eğitimi vermediği, gerekli özeni göstermediği karara bağlandı.

İhmalin Bedeli: 1 Milyon TL İdari Para Cezası

Yapılan değerlendirmeler sonucunda KVKK, siber güvenliği sağlamaya yönelik idari ve teknik tedbirleri almayan şirkete 800 bin lira ceza kesti. Bunun yanı sıra, veri ihlalinden doğrudan etkilenen 505 binden fazla kişiye zamanında bilgilendirme yapılmaması nedeniyle de 200 bin lira ek ceza uygulandı. Böylece firmanın ihmalkarlığı, toplamda 1 milyon lira idari para cezası ile sonuçlanmış oldu. Uzmanlar, bu kararın tüm şirketler için tarayıcılarda şifre saklamama ve çift aşamalı doğrulama kullanma konularında büyük bir ders niteliğinde olduğunu belirtiyor.