505 bin müşterinin verisini koruyamadı. Şirkete 1 milyon lira ceza

Kişisel Verileri Koruma Kurumu (KVKK), siber saldırı sonucu 505 bin 337 müşterisinin kişisel bilgileri ele geçirilen şirkete toplam 1 milyon lira idari para cezası uyguladı. Şirketin veri güvenliği için gerekli tedbirleri almadığı ve ihlalden etkilenen kişilere bildirim yapmadığı belirtildi.

KVKK’nin kararına göre, siber saldırganlar restoran ve hızlı servis gıda sektöründe faaliyet gösteren şirketin bilgi işlem birimindeki bir çalışanın bilgisayarına, internet tarayıcısı üzerinde çalışan zararlı yazılım aracılığıyla yetkisiz erişim sağladı.

Çalışanın tarayıcıya kaydettiği kullanıcı adı ve şifreleri ele geçiren saldırganlar, bu bilgilerle şirketin sistemine girerek 505 bin 337 müşteriye ait kişisel verilere ulaştı.

Saldırganlar daha sonra şirket yöneticisinin telefonuna mesaj göndererek bazı şirket verilerinin ellerinde olduğunu bildirdi. Şirketin durumu KVKK’ye bildirmesinin ardından inceleme başlatıldı.

İncelemede, şirket sistemine yetkisiz giriş yapıldığında uyarı verecek bir alarm sisteminin bulunmadığı, takip ve kontrol konusunda eksiklikler olduğu belirlendi. Şirketin ayrıca çalışanlarına kişisel verilerin korunmasına yönelik eğitim ve farkındalık çalışmaları konusunda yeterli özeni göstermediği kaydedildi.

KVKK, veri güvenliğine ilişkin gerekli teknik ve idari tedbirlerin alınmaması nedeniyle 800 bin lira, veri ihlalinden etkilenen kişilere bildirim yapılmaması nedeniyle de 200 bin lira ceza verdi. Şirkete uygulanan toplam idari para cezası 1 milyon lira oldu.