Çalışanın bilgisayarından sisteme sızdılar

KVKK kararına göre olay, bir çalışanın bilgisayarına internet tarayıcısı üzerinden çalışan zararlı yazılım aracılığıyla yetkisiz erişim sağlanmasıyla başladı.

Saldırganların, çalışanın internet tarayıcısında kayıtlı bulunan kullanıcı adı ve şifre bilgilerini ele geçirdiği belirlendi. Elde edilen bu bilgiler daha sonra şirketin bilgi işlem personeline ait hesaplara erişmek için kullanıldı.

Bu hesaplar üzerinden şirketin bilgi sistemlerine giren saldırganların, müşteri bilgilerinin bulunduğu sistemlere ulaştığı tespit edildi.

Yarım milyondan fazla müşterinin bilgileri etkilendi

İnceleme sonucunda veri ihlalinden 505 bin 337 müşterinin etkilendiği ortaya çıktı.

İhlal kapsamında müşterilere ait ad ve soyadı, cinsiyet, e-posta adresi, telefon numarası ve ikamet edilen şehir bilgilerinin ele geçirildiği belirlendi.

KVKK'dan şirketlere önemli uyarı

Kurulun değerlendirmesinde, çalışanların kullanıcı adı ve şifrelerini internet tarayıcılarında kayıtlı şekilde tutmasının veri güvenliği açısından ciddi risk oluşturduğu vurgulandı.

Şirketin ihlal yaşanmadan önce çalışanlarına kişisel verilerin korunması konusunda gerekli eğitim ve farkındalık çalışmalarını yaptığını ortaya koyamadığı da kararda yer aldı.

Bu kapsamda KVKK, kişisel veri güvenliğinin sağlanmasına yönelik gerekli teknik ve idari tedbirlerin alınmaması gerekçesiyle şirkete 800 bin lira, veri ihlalinden etkilenen kişilere mevzuatta öngörülen bildirimin yapılmaması nedeniyle ise 200 bin lira olmak üzere toplam 1 milyon lira idari para cezası verdi.

Uzmanlara göre karar, yalnızca güçlü siber güvenlik sistemlerinin değil, çalışan farkındalığının ve doğru şifre yönetiminin de kişisel verilerin korunmasında kritik öneme sahip olduğunu bir kez daha ortaya koyuyor.