KVKK, 500 binden fazla müşterinin verisini koruyamayan bir işletmeye, gerekli güvenlik önlemlerini almadığı gerekçesiyle 1 milyon lira idari para cezası kesildi.
Kişisel Verileri Koruma Kurumu'nun (KVKK) aldığı kararda, hızlı servis gıda ve restoran sektöründe hizmet veren bir firmanın sistemine siber saldırı gerçekleştirildiği tespit edildi. Saldırganlar, zararlı yazılım yoluyla firmanın bilgi işlem departmanında görevli bir çalışanın bilgisayarına yetkisiz şekilde erişim sağladı.
Siber saldırganlar, ele geçirdikleri bu cihaz üzerinden çalışanın tarayıcısında kayıtlı olan kullanıcı adı ve şifrelerini kullandı. Bu bilgilerle şirketin iç sistemine sızan saldırganlar, toplamda 505 bin 337 müşteriye ait kişisel verilere ulaşmayı başardı. Olayın ardından saldırganlar, ellerinde şirket verisi bulunduğuna dair mesajı şirket yöneticisinin telefonuna gönderdi.
Şirket yetkililerinin durumu KVKK'ye bildirmesiyle inceleme süreci başlatıldı. Kurum, firmanın veri güvenliğini sağlamak adına yasal zorunluluk olan teknik ve idari tedbirleri almadığı gerekçesiyle 800 bin lira, veri ihlalinden etkilenen kişilere gerekli bilgilendirmenin yapılmadığı gerekçesiyle ise 200 bin lira olmak üzere toplam 1 milyon lira idari para cezası uygulanmasına hükmetti.
Karar metninde, siber saldırı anında durumu tespit edip uyarı verecek bir alarm mekanizmasının bulunmamasının, veri sorumlusunun takip ve denetim konusundaki ihmali olarak değerlendirildiği vurgulandı. Bunun yanı sıra, şirketin çalışanlarına kişisel verilerin korunması hususunda yeterli düzeyde eğitim ve farkındalık çalışması düzenlemediği de kararda açıkça ifade edildi.
