KVKK, fidye yazılımı saldırısıyla veri sızdıran otomotiv şirketine ceza kesti

Kişisel Verileri Koruma Kurumu (KVKK), otomotiv güvenlik ve elektronik sistemleri alanında faaliyet gösteren bir şirketin sistemlerine fidye yazılımı (ransomware) bulaşması sonucu yaşanan veri ihlali üzerine inceleme başlattı. Kurum, bilgi sistemlerinin düzenli izlenmemesi, ağ üzerindeki olağan dışı hareketlerin tespit edilememesi ve kötü amaçlı yazılımlara karşı yeterli koruma sağlanamaması nedeniyle şirkete 500 bin lira idari para cezası uyguladı.

Şirket tarafından KVKK'ye yapılan bildirimde, saldırı sonucunda sunuculardaki dosyaların şifrelendiği ve bazı kişisel verilere yetkisiz erişim sağlandığı belirtildi. Siber korsanların, ele geçirdikleri verilerin bir kısmını internet ortamında yayımladığı kaydedildi. İhlalden; müşteri ve tedarikçi temsilcilerinin kimlik ve iletişim bilgilerinin yanı sıra, şirketin mevcut ve eski çalışanlarına ait kimlik, iletişim, izin kayıtları ve sağlık verilerinin etkilendiği açıklandı.

KVKK tarafından yürütülen detaylı incelemede, siber saldırının şirketin insan kaynakları yazılımı aldığı üçüncü taraf bir hizmet sağlayıcısına ait kullanıcı hesabının ele geçirilmesiyle başladığı saptandı. Kurum, veri sorumlularının, hizmet aldıkları veri işleyenlerin de yeterli güvenlik önlemlerini aldığından emin olmakla yükümlü olduğunu vurguladı.

Veri ihlali nedeniyle etkilenen kişilere e-posta yoluyla bildirimde bulunulduğu bilgisi de KVKK'ya iletildi. İnceleme sonucunda, şirketin 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındaki yükümlülüklerini ihlal ettiği tespit edildi.