Kişisel veri skandalı: Tüm bilgiler sızdı faturası ağır oldu

Kişisel Verileri Koruma Kurulu’nun kararına göre, bir şirket veri ihlali yaşandığını KVKK’ye bildirdi. Bildirimde, şirket sunucularına fidye yazılımı bulaştığı, bunun sonucunda sistemdeki bazı dosyaların şifrelendiği ve bazı kişisel verilere yetkisiz erişim sağlandığının tespit edildiği belirtildi.

Şirket ayrıca, saldırıyı gerçekleştiren kişi ya da kişilerin internette paylaştıkları içeriklerde şirkete ait bazı verileri yayımladıklarını bildirdi. İhlalin müşteri ve tedarikçi temsilcilerine ait kimlik ve iletişim bilgileriyle birlikte şirketin mevcut ve eski çalışanlarına ilişkin kimlik ve iletişim bilgilerini, izin kayıtlarını ve bazı sağlık verilerini etkilediği aktarıldı. Etkilenen kişilere e-posta yoluyla bilgilendirme yapıldığı da Kurula iletildi.

KVKK’nın incelemesinde, saldırının şirketin insan kaynakları yazılım hizmeti aldığı bir hizmet sağlayıcısına ait kullanıcı hesabının ele geçirilmesiyle başlamış olabileceği değerlendirildi. İncelemede, veri sorumlularının hizmet aldıkları veri işleyenlerin de yeterli güvenlik tedbirlerini uyguladığından emin olmakla yükümlü olduğuna dikkat çekildi.

Kurul, gerekli teknik ve idari tedbirlerin alınmadığı gerekçesiyle şirkete 500 bin lira idari para cezası verdi. Kararda, bilgi sistemlerinin düzenli izlenmemesi, olağan dışı ağ hareketlerinin zamanında fark edilememesi ve kötü amaçlı yazılımlara karşı yeterli koruma sağlanmaması nedeniyle kişisel veri güvenliğine ilişkin yükümlülüklerin yerine getirilmediği ifade edildi.