Baydöner'e büyük veri ihlali cezası

Medya kaynaklarından edinilen bilgilere göre, Kişisel Verileri Koruma Kurumu (KVKK), zincir restoran markası Baydöner'de meydana gelen geniş çaplı veri ihlaline ilişkin incelemesini tamamladı. İnceleme sonucunda, şirketin sistemlerinde siber saldırıyı tespit edecek yeterli alarm mekanizmasının bulunmadığı ve çalışanlara yönelik veri güvenliği eğitimlerinin yetersiz kaldığı belirtildi.

Saldırı sonucunda, bir çalışana ait kullanıcı adı ve şifrelerin hackerların eline geçmesiyle Baydöner'in sistemlerine erişim sağlandığı ve bu durum sonucunda yüz binlerce müşterinin kişisel bilgilerinin ele geçirildiği tespit edildi. Siber saldırıda toplamda 505 bin 337 müşterinin ad-soyad, cinsiyet, e-posta adresi, telefon numarası ve yaşadığı şehir bilgilerinin çalındığı belirlendi.

Yapılan incelemeler, hackerların sisteme erişim sağladıkları süre zarfında olağan dışı hareketleri tespit edecek bir alarm mekanizmasının bulunmadığını ortaya koydu. Bu eksiklik, veri sorumlusunun sistemlerin takibi ve kontrolü konusundaki zafiyetini gösterdi. KVKK, bu durumun yanı sıra, çalışanlara yönelik kişisel verilerin korunması konusunda yeterli eğitim ve farkındalık çalışmalarının sağlanmadığını da vurguladı.

Siber saldırıyı gerçekleştiren hackerlar, bir süre sonra şirket yöneticilerinden birinin telefonuna mesaj göndererek Baydöner'e ait bazı verilerin ellerinde bulunduğunu bildirdi. Bu gelişme üzerine Baydöner, veri ihlalini KVKK'ya bildirdi ve kurum tarafından olayla ilgili inceleme başlatıldı.

Yapılan inceleme sonucunda, şirketin kişisel verilerin güvenliğinin sağlanması için gerekli teknik ve idari tedbirleri yeterince almadığı belirlenmiş ve bu nedenle 800 bin lira idari para cezası uygulanmıştır. Ayrıca, veri ihlalinden etkilenen kişilere gerekli bildirimin yapılmaması nedeniyle 200 bin lira daha ceza kesildi. Böylece, Baydöner'e kesilen toplam idari para cezası 1 milyon liraya ulaştı.

KVKK'nın kararında, şirketin siber güvenlik önlemlerinin yetersizliği, veri ihlali durumunda gerekli önlemlerin alınmadığını ve bilgi güvenliği kültürünün çalışanlar arasında sağlanmadığını net bir şekilde ortaya koyuyor. Bu tür olayların yaşanması, hem tüketicilerin güvenliği açısından hem de şirketlerin itibarları açısından ciddi riskler barındırıyor. Dolayısıyla, şirketlerin veri güvenliğine ve çalışan eğitimine daha fazla özen göstermeleri gerekmektedir.