Kurum, kişisel verilerin güvenliğini sağlamaya yönelik gerekli önlemlerin alınmadığını belirleyerek şirkete toplam 1 milyon TL idari para cezası uygulanmasına karar verdi.
İncelemeye göre siber saldırganlar, şirketin bilgi işlem biriminde görev yapan bir çalışanın bilgisayarına zararlı yazılım aracılığıyla erişim sağladı. Çalışanın internet tarayıcısında kayıtlı kullanıcı adı ve şifreleri ele geçiren saldırganlar, bu bilgiler üzerinden şirket sistemlerine giriş yaptı.
Gerçekleştirilen saldırı sonucunda 505 bin 337 müşteriye ait kişisel verilere yetkisiz şekilde erişildiği tespit edildi. Saldırganların daha sonra şirket yöneticilerinden birinin telefonuna mesaj göndererek bazı şirket verilerini ele geçirdiklerini bildirdiği belirtildi.
Olayın KVKK’ye bildirilmesinin ardından başlatılan incelemede, şirketin kişisel verilerin korunmasına yönelik teknik ve idari tedbirleri mercek altına alındı.
KVKK, şirketin veri güvenliğini sağlamaya yönelik yeterli önlem almaması nedeniyle 800 bin TL idari para cezası verdi. Veri ihlalinden etkilenen kişilere gerekli bildirimin yapılmaması nedeniyle de şirkete 200 bin TL ek ceza uygulandı. Böylece toplam ceza 1 milyon TL’ye ulaştı.
Kurumun kararında, şirket sistemlerine yetkisiz erişim gerçekleştiğinde durumu tespit edecek veya yetkilileri uyaracak yeterli bir alarm mekanizmasının bulunmadığına da dikkat çekildi. Bu durumun şirketin sistemleri izleme ve kontrol süreçlerinde eksiklik bulunduğunu ortaya koyduğu değerlendirildi.
KVKK ayrıca çalışanlara kişisel verilerin korunması ve bilgi güvenliği konusunda yeterli eğitim ve farkındalık çalışması verilmediğini tespit etti. Kurum, veri ihlalinin meydana gelmesinde hem teknik ve idari güvenlik eksikliklerinin hem de çalışanlara yönelik bilinçlendirme çalışmalarındaki yetersizliğin etkili olduğunu değerlendirdi.
