Bursa'da da şubeleri olan ünlü restoranda şok! Çalışanın bilgisayarından sızmışlar...

Türkiye genelinde faaliyet gösteren ve Bursa'da da şubeleri bulunan Baydöner'de yaşanan veri güvenliği sorunu, binlerce müşterinin kişisel bilgilerinin gündeme gelmesine neden oldu. Şirketin bilişim sistemlerine, bir çalışana ait kullanıcı adı ve şifrenin ele geçirilmesinin ardından yetkisiz erişim sağlandığı bildirildi.

Sisteme giren saldırganların ulaştığı bilgiler arasında müşterilerin kimlik bilgileriyle birlikte iletişim ve demografik verilerinin de bulunduğu belirtildi. İhlal kapsamında 505 bin 337 kişinin ad ve soyadı, cinsiyeti, e-posta adresi, telefon numarası ve yaşadığı şehir bilgilerinin ele geçirildiği aktarıldı.

Bursa'daki Baydöner şubelerinden hizmet alan müşteriler açısından da gündeme gelen gelişme, kişisel verilerin dijital sistemlerde tutulmasının beraberinde getirdiği güvenlik risklerini yeniden tartışmaya açtı.

SALDIRGANLAR ŞİRKET YÖNETİCİSİNE ULAŞTI

Siber saldırının ardından olayın yalnızca sistem içerisindeki yetkisiz erişimle sınırlı kalmadığı ortaya çıktı. Hackerların bir süre sonra şirket yöneticisinin cep telefonuna mesaj göndererek ellerinde Baydöner'e ait bazı verilerin bulunduğunu bildirdiği ifade edildi.

Yaşanan gelişmenin ardından şirket tarafından Kişisel Verileri Koruma Kurumu'na (KVKK) bildirim yapıldı. Kurum, bildirimin ardından veri güvenliği uygulamalarına ilişkin inceleme başlattı ve şirketin kişisel verileri korumak için aldığı teknik ve idari önlemleri değerlendirdi.

KVKK'DEN TOPLAM 1 MİLYON LİRA CEZA

İnceleme sonucunda Baydöner'e iki ayrı gerekçeyle toplam 1 milyon liralık idari para cezası uygulanmasına karar verildi. Cezanın 800 bin liralık kısmı, kişisel verilerin güvenliğinin sağlanması için gerekli teknik ve idari tedbirlerin yeterli düzeyde alınmadığı değerlendirmesine dayandırıldı.

200 bin liralık diğer ceza ise veri ihlalinden etkilenen kişilere gerekli bildirimin yapılmaması nedeniyle uygulandı. Böylece şirketin veri güvenliği konusunda hem önleyici tedbirler hem de ihlal sonrasındaki bildirim yükümlülüğü bakımından sorumluluğu bulunduğu değerlendirildi.

SİSTEMDE ALARM MEKANİZMASI BULUNMAMASI DİKKAT ÇEKTİ

KVKK kararında şirketin güvenlik altyapısındaki önemli eksikliklerden biri olarak, sisteme yetkisiz giriş gerçekleştiğinde bunu tespit edip uyarı oluşturacak bir alarm mekanizmasının bulunmaması gösterildi.

Kurumun değerlendirmesine göre, saldırganların sisteme eriştiği anda olağan dışı hareketliliği fark edecek etkin bir takip ve kontrol mekanizmasının bulunması gerekiyordu. Bu altyapının yeterli şekilde oluşturulmaması, veri sorumlusunun sistemleri izleme ve kontrol etme yükümlülüğü açısından eksiklik olarak değerlendirildi.

ÇALIŞAN FARKINDALIĞI DA İNCELEME KONUSU OLDU

Veri ihlaline ilişkin değerlendirmede yalnızca teknik güvenlik önlemleri ele alınmadı. Çalışanların kişisel verilerin korunması konusunda bilinçlendirilmesine yönelik çalışmalar da kurumun kararında yer aldı.

KVKK, çalışanlara veri güvenliği konusunda eğitim verilmesi ve farkındalıklarının artırılması konusunda gerekli özenin gösterilmediği kanaatine vardı. Bir çalışanın kullanıcı bilgilerinin saldırganlar tarafından ele geçirilerek sisteme girişte kullanılması da bu açıdan dikkat çeken başlıklardan biri oldu.

Yaşanan olay, özellikle müşteri bilgilerini dijital ortamda işleyen şirketler açısından erişim güvenliği, çalışan eğitimleri, sistemlerin sürekli izlenmesi ve olası siber saldırılara karşı erken uyarı mekanizmalarının önemini bir kez daha gündeme taşıdı.