Bir çalışanının kullanıcı adı ve parola bilgilerinin siber saldırganlar tarafından ele geçirilmesi sonucu restoran zinciri Baydöner'in sistemlerine yetkisiz erişim sağlandı. Yaşanan veri ihlali neticesinde şirketin veri tabanında kayıtlı olan 505 bin 337 müşterinin ad-soyadı, cinsiyet, e-posta adresi, telefon numarası ve ikamet ettiği şehir gibi kritik kişisel bilgileri korsanların eline geçti.
Siber saldırganların, bilgileri ele geçirdikten sonra şirket yöneticisinin telefonuna söz konusu verilerin ellerinde bulunduğuna dair mesaj göndermesi üzerine durum fark edildi. Baydöner yönetiminin yaşanan güvenlik açığını Kişisel Verileri Koruma Kurumu’na (KVKK) bildirmesinin ardından kurul tarafından kapsamlı bir inceleme başlatıldı.
Denetim ve alarm altyapısındaki eksiklikler tespit edildi
İncelemeyi tamamlayan KVKK, restorasyon zincirinin veri güvenliğine yönelik idari ve teknik tedbirleri almakta yetersiz kaldığını hükme bağladı. Kurul kararında; sistemdeki olağan dışı hareketleri ve yetkisiz erişimleri anlık olarak algılayacak bir güvenlik ve alarm mekanizmasının bulunmaması ciddi bir denetim zafiyeti olarak nitelendirildi. Ayrıca çalışanlara yönelik veri güvenliği ve farkındalık eğitimlerinin de mevzuat gereklerini karşılamadığı kaydedildi.
Müşterilere bildirim yapılmaması cezayı artırdı
Kurul, veri güvenliğini sağlayacak teknik ve idari önlemleri almadığı gerekçesiyle 6698 sayılı Kanun kapsamında Baydöner'e 800 bin lira idari para cezası kesti. Sızıntıdan doğrudan etkilenen müşterilere kanunun öngördüğü sürede ve usulde bilgilendirme yapılmaması nedeniyle uygulanan 200 bin liralık ek yaptırımla birlikte, şirkete kesilen toplam ceza miktarı 1 milyon liraya ulaştı.
