Kişisel bilgileri koruyamayan şirkete 1 milyon lira ceza

Kişisel Verileri Koruma Kurumu'nun (KVKK) kararına göre, siber saldırganlar, internet tarayıcısı üzerinde çalışan zararlı yazılım aracılığıyla restoran ve hızlı servis gıda sektöründe faaliyet gösteren bir şirketin bilgi işlem biriminde çalışan personelinin bilgisayarına yetkisiz erişim sağladı.

Çalışanın internet tarayıcısına kayıtlı kullanıcı adı ve şifrelerini ele geçiren saldırganlar, personelin hesap bilgilerini kullanarak şirketin sistemine girdi ve 505 bin 337 müşterinin kişisel bilgisine ulaştı.

Saldırganlar, bir müddet sonra şirket yöneticisinin telefonuna, şirkete ait bazı verilerin ellerinde olduğuna dair mesaj attı.

Şirket yetkililerinin durumu KVKK'ye bildirmesi üzerine inceleme başlatıldı.

KVKK, veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirlerin alınmaması nedeniyle 800 bin lira, veri ihlalinden etkilenen kişilere bildirim yapılmaması nedeniyle de 200 bin lira olmak üzere şirkete toplam 1 milyon lira idari para cezası uygulanmasına karar verdi.

Kararda, siber saldırganlar tarafından şirket sistemine giriş sağlandığında bu durumu haber verecek alarm sisteminin kurulmadığı, bu nedenle veri sorumlusunun takip ve kontrol noktasında eksikliğinin bulunduğu belirtildi.

Ayrıca kararda, veri sorumlusunun, kişisel verilerin korunması için çalışanlarına eğitim ve farkındalık çalışması yapılması konusunda yeterli özeni göstermediği ifade edildi.