KVKK, fidye yazılımı saldırısıyla veri sızdıran otomotiv üreticisine ceza kesti

Kişisel Verileri Koruma Kurumu (KVKK), fidye yazılımı (ransomware) saldırısına maruz kalan bir otomotiv güvenlik ve elektronik sistemleri üreticisi firmaya, veri güvenliğine yönelik teknik ve idari tedbirleri almadığı gerekçesiyle 500 bin lira idari para cezası verdi.

İnceleme sonucunda, şirketin sunucularına bulaşan fidye yazılımının sistemlerdeki dosyaları şifrelediği, yetkisiz kişilerin verilere erişim sağladığı ve bu verilerin internet ortamında yayımlandığı tespit edildi. İhlal kapsamında müşteri ve tedarikçi temsilcilerine ait kimlik ve iletişim bilgilerinin yanı sıra, mevcut ve eski çalışanların kimlik, iletişim bilgileri, izin kayıtları ve bazı sağlık verilerinin etkilendiği belirlendi.

Teknik incelemelerde, siber saldırının şirketin insan kaynakları yazılımı hizmeti aldığı üçüncü taraf hizmet sağlayıcısına ait bir kullanıcı hesabının ele geçirilmesiyle başladığı saptandı. Kurum, veri sorumlularının sadece kendi bünyelerindeki değil, hizmet aldıkları veri işleyenlerin de yeterli güvenlik tedbirlerini uyguladığından emin olmakle yükümlü olduğunu vurguladı.

Şirket, ihlalden etkilenen kişilere e-posta yoluyla bilgilendirme yaptığını kuruma bildirdi. Kurul, tespit edilen eksikliklerin kişisel veri güvenliğinin sağlanmasına yönelik gerekli teknik ve idari tedbirlerin alınmadığını gösterdiği değerlendirmesinde bulundu.