Yemeksepeti’ne müşteri bilgilerinin çalınması nedeniyle 1 milyon 900 bin lira ceza

Kişisel Verileri Koruma Kurulu (KVKK), Yemeksepeti’ne veri ihlali nedeniyle 1 milyon 900 bin lira idari para cezası verdi.

KVKK’nin internet sitesinde yer alan kararda, Yemeksepeti’ne ilişkin veri ihlali bildiriminin 6698 sayılı Kişisel Verilerin Korunması Kanunu gereğince incelenerek sonuçlandırıldığı belirtildi. Kararda veri sorumlusu şirkete ait web uygulama sunucusuna, sunucudaki açık sebebiyle uygulama kurarak ve komut çalıştırmak suretiyle erişildiği, bu ihlalden 21 milyondan fazla kullanıcının etkilendiği kaydedildi.

Kullanıcı adı, adres, telefon numarası, e-posta adresi, şifre ve IP bilgilerine yönelik erişim ihlalinden etkilenen kişi sayısının çok fazla olması ve neredeyse tüm müşteri veri tabanının sızdırılmış bulunması dikkate alındığında ihlalin çok büyük çaplı olduğu belirtildi.

Verilerin çalındığı sekiz gün boyunca fark edilmemiş

İhlalde, veri sorumlusunun kusurunun bulunduğu belirtilen kararda, “Sisteme giren kişi ya da kişilerce, zararlı yazılım ve araçlarla sisteme giriş yaptıktan sonra diğer sistemlere de erişilerek bilgi toplandığı, sisteme zararlı yazılımların yüklenip çalıştırılmasının veri sorumlusunca sekiz gün boyunca fark edilemediği, dolayısıyla bilişim ağlarında hangi yazılım ve servislerin çalıştığının kontrol edilmesi ve bilişim ağlarında sızma veya olmaması gereken bir hareket olup olmadığının belirlenmesi noktasında veri sorumlusunun kusurunun bulunduğu anlaşılmıştır” denildi.

Yeterli güvenlik kontrolü yok

Saldırganların veri sorumlusundan elde ettikleri veriyi Fransa’da bulunan bir IP adresine/sunucuya ait lokasyona ilettiği, sistemden çıkan 28,2 GB’lık veri ya da dışarı giden trafiğin, veri sorumlusu tarafından fark edilemediği, bunun da güvenlik kontrolleri ve veri güvenliği takibinin veri sorumlusu tarafından düzgün şekilde yapılmadığının göstergesi olduğu da kararda anlatıldı.

Müdahalede geç kalınmış

Müdahalede geç kalındığı vurgulanan kararda, şöyle denildi:

“Büyük miktarda kişisel veri işleyen veri sorumlusunun bu boyutta bir ihlal yaşamasının ve müdahalede geç kalmasının mevcut risk ve tehditleri iyi belirlemediğinin göstergesi olduğu hususları dikkate alındığında, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12’nci maddesinin (1) numaralı fıkrası hükmü çerçevesinde veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirleri almayan veri sorumlusu hakkında, kanunun 18’inci maddesinin (1) numaralı fıkrasının (b) bendi uyarınca ihlalin boyutu, kabahatin haksızlık içeriği, veri sorumlusunun kusuru ve ekonomik durumu da göz önünde bulundurularak 1 milyon 900 bin lira idari para cezası uygulanmasına karar verilmiştir.”

Medyascope'a destek olun.

Sizleri iyi ve özgür gazeteciliğe destek olmaya çağırıyoruz.

Medyascope sizlerin sayesinde bağımsızlığını koruyor, sizlerin desteğiyle 50’den fazla çalışanı ile, Türkiye ve dünyada olup bitenleri sizlere aktarabiliyor. 

Bilgiye erişim ücretsiz olmalı. Bilgiye erişim eşit olmalı. Haberlerimiz herkese ulaşmalı. Bu yüzden bugün, Medyascope’a destek olmak için doğru zaman. İster az ister çok, her katkınız bizim için çok değerli. Bize destek olun, sizinle güçlenelim.

Medyascope internet sitesinde çerezlerden faydalanılmaktadır.

Sitemizi kullanarak, çerezleri kullanmamızı kabul edersiniz. Ayrıntılı bilgi için Gizlilik Politikası ve Çerez Politikası'nı inceleyebilirsiniz.

  • Medyascope
  • Medyascope Plus