EnglishFrenchGermanTurkish

EnglishFrenchGermanTurkish

EnglishFrenchGermanTurkish

EnglishFrenchGermanTurkish

"Siber Saldırı" etiketli kararlar

2020/905

24/11/2020
Konu: Bir sigorta şirketinin kişisel veri ihlal bildirimi hakkında karar.

Kararı Paylaşın

Karar Özeti:

Kurum’a iletilen veri ihlal bildiriminde, veri sorumlusunun internet sayfasının bulunduğu testsuncuusunun siber saldırıya uğradığı ve bu durumun aynı tarihte veri sorumlusu tarafından tespit edildiği, gerçekleşen yetkisiz erişim sonucu uygulamanın bulunduğu veri tabanının silindiği ve silinen veri tabanı yerine fidye taleplerinin bulunduğu yeni bir veri tabanının sisteme yüklendiği, veri tabanının silinmesi işleminden önce muhtemelen siber saldırıyı gerçekleştiren kişi/kişiler tarafından kopyalandığının veri sorumlusu tarafından düşünüldüğü, ihlalden etkilenen kişi sayısının 311 olduğu ve ihlalden etkilnenen kişisel verilerin T.C. kimlik no, isim , soyisim, e-posta , plaka bilgisi olduğu beliritlmiştir. Kurum tarafından yapılan incelemeler neticesinde, ihlale konu test sunucusunun veri sorumlusu nezdinde yıllık olarak yapılan sızma testleri kapsamına alınmamasının söz konusu test suncusunda gerekli kontrollerin yapılmadığının gösterdiği, veri sorumlusu tarafından BT Veri Güvenlik ve Veri İhlali Prosedürü’nden yer alanın aksine periyodik sızma testlerinin uygulanmadığı, kullanılan parolanın yeteri kadar karmaşık ve güçlü olmadığı, veri ihallali öncesinden test sunucusunda yapılan erişimlerde sistemler arasından SSL VPN gibi güvenli iletişim sağlama yöntemlerinin kullanılmadığı, ayrıca ek güvenlik katmanı olarak erişimlerde İki Faktörlü Kimlik Doğrulama (2FA) gibi güçlü kimlik doğrulama yöntemlerinin kullnaılmadığı, T.C. kimlik numarası gibi verilerin etkilenmiş olması sebebiyle şifreleme gibi güvenlik tedbirlerinin kullanılmadığı ve bu kapsamda veri sorumlusu tarafından KVKK’nın 12’nci maddesinin 1 numaralı fıkrası kapsamında veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbilreri almaya ilişkin sorumluluğun ihlal edildiğine karar verilmiştir.

Ceza: KVKK’nın 12’nci maddesinin 1 numaralı fıkrası çerçevesinde KVKK’nın 18’inci maddesinin 1 numaralı fıkrasının b bendi uyarınca 300.000,00-TL idari para cezası uygulanmasına ve KVKK’nın 12’nci maddesinin 5 numaralı fıkrasında yer verilen en kısa sürede bildirimde bulunma yükümlülüğüne aykırı hareket edilmesi nedeniyle 72 saatlik süre içerisinde bildirimde bulunma yükümlülüğüne aykırı davranılmasına dayalı olarak 30.000,00-TL olmak üzere toplamda 330.000,00-TL idari para cezası uygulanmasına karar verilmiştir.

2020/216

12/03/2020
Konu: Bir bilişim şirketinin kişisel veri ihlali bildirimi.

Kararı Paylaşın

Karar Özeti:

Veri sorumlusu tarafında Kurul’a iletilen veri ihlal bildiriminde veri sorumlusunun sistemlerine siber saldırı sonucunda veri ihlalinin gerçekleştiği belirtilmiştir. Kurul tarafından yapılan inceleme sonucunda saldırganlar tafafından erişilen verilerin veri sorumlusu tarafından tespit edilememesi veri sorumlusu tarfaından kontrol ve uyarı mekanizmalarının etkin şekilde kullanılmadığının göstergesi olduğu, veri sorumlusu nezdinde son kullanma tarihi geçmiş kredi kartı bilgilerinin kayıtlı olmasının KVKK’nın 4’üncü maddesinin 2 numaralı fıkrasının b ce ç bentlerine aykırılık teşkil ettiği, bununla birlikte veri sorumlusuna ait internet sitesinde gerçekleştirilen veri işleme faaliyetlerine ilişkin aydınlatma metninin bulunmadığı ve veri güvenliğini sağlanmasına ilişkin gerekli teknik ve idari tedbirlerin alınmaması sebebiyle idari para cezası uygulanmasına karar verilmiştir.

Ceza: 450.000,00-TL idari para cezası uygulanmasına karar verilmiştir.

2019/144

16/05/2019
Konu: Cathay Pasific Airway Limited’in veri ihlal bildirimi hakkında bilgilendirme.

Kararı Paylaşın

Karar Özeti:

Veri sorumlusu tarafından Kurum’a yapılan veri ihlal bildiriminde veri sorumlusu bilgisayar ağları üzerinden yolcu bilgilerini içeren bilgi sistemlerine yetkisiz erişim gerçekleştiği, saldırganın veri sorumlusunun ortamına uzaktan eriştiği ve müşteri sadakat sistemiin kısmi veri tabanı yedeği olarak hitap edilebilecek belgeleri ele geçirdiği, Türkiye’de toplamda 1.286 kişinin etkilendiği ve isim, uyruk, doğum tarihi , telefon numarası , elektronik posta adresi , pasaport numarası, kimlik numarası verilerinin etkilendiği belirtilmiştir. kurul tarafından yapılan incelemeler sonucunda, veri ihlalinin 2 ay sonra tespit edilmesinin güvenlik çaığı olduğu ve veri sorumlusu tarafından gerekli denetim ve kontrollerin yapılmadığına karar verilerek KVKK’nın 12’nci maddesinin 1 numaralı fıkrası çerçevesinde veri güvenliğini sağlamaya yönelik gerekli teknik ve iadri tedbirlerin alınmaması nedeniyle idari para cezası uygulanmasına karar verilmiştir.

Ceza: KVKK’nın 12’nci maddesi kapsamında 450.000,00-TL ve geç bildirim sebebiyle 100.000,00-TL idari para cezası uygulanmasına karar verilmiştir.

2019/141

16/05/2019
Konu: Clickbus Seyahat Hizmetleri A.Ş.’nin veri ihlal bildirimi hakkında bilgilendirme.

Kararı Paylaşın

Karar Özeti:

Veri sorumlusu tarafından Kurum’a iletilen veri ihlal bildiriminde veri sorumlusuna ait sunucular üzerinde bazı zararlı dosyaların bulunduğu ve bazı zararlı kodları içerecek şekilde modifiye edildiğinin tespit edildiği, veri sızıntısının 25 Eylül 2018 ve 25 Kasım 2018 arasında gerçekleştiğinin tespit edildiği belirtilmiştir. Kurul tarafından yapılan incelmeler neticesinde, ihlalden 67.519 kişinin etkilendiği, isim, soyisim, iletişim bilgileri, müşteri işlem bilgisi, işlem güvenliği bilgileri gibi verilerin etkilendiği, ihlalin 2 ay boyunca devam etmesinin veri sorumlusunun gerekli denetim ve kontrolleri yapmadığının göstergesi olduğuna karar verilerek KVKK’nın 12’nci maddesinin 1 numaralı fıkrası çerçevesinde veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirleri almayan veri sorumlusu hakkında idari para cezası uygulanmasına karar verilmiştir.

Ceza: KVKK madde 12 kapsamında 450.000,00-TL ve geç bildirim sebebiyle 100.000,00-TL idari para cezası uygulanmasına karar verilmiştir.