Veri sorumlusu tarafından Kuruma gönderilen kişisel veri ihlali bildirimi ve diğer yazılarda özetle;
- Veri sorumlusunun ABD’de bulunan kuruluşundaki bir çalışanın indirdiği bir programı açması neticesinde ABD’deki sunucuya fidye yazılımının bulaşmasına neden olduğu,
- Söz konusu zararlı yazılımın 797 adet global sunucuya bulaştığı ve sunucularda bulunan bir kısım dosyaların şifrelendiği,
- Veri sorumlusu tarafından yapılan çalışmalarda, fidye yazılımının sunuculardaki dosyaları olduğu yerde şifrelediği ve Kore'deki lokasyonuna ait birtakım verilere ulaştığı ancak Türkiye'ye ait kişisel verilere ilişkin bir veri sızıntısı olmadığı
belirtilmiştir.
Veri sorumlusu bünyesinde gerçekleşen kişisel veri ihlalinin Kurumumuzun görev ve yetki alanı çerçevesinde incelenmesi neticesinde Kişisel Verileri Koruma Kurulunun 23/12/2022 tarih ve 2022/1375 sayılı Kararı ile;
- Veri sorumlusunun küresel çapta faaliyet gösteren sunucularına yapılan bir fidye yazılımı saldırısı sonrası sunucularda bulunan verilerin şifrelenmesi sebebiyle veri ihlalinin meydana geldiği,
- Veri ihlalinden 4.885 adet çalışan, müşteri ve tedarikçilerin etkilendiği,
- Veri ihlalinden;
- 916 kişinin kimlik, adres, IBAN, telefon numarası bilgisi,
- 359 kişinin fotoğraf bilgisi (Kimlikte yer alan fotoğraflar ile sınırlı olduğu),
- 10 yabancı çalışanın kimlik ve pasaport bilgisi,
- 600 kişin kan grubu bilgisinin (Kimlikte yer alan kan grubu hanesi nedeniyle etkilendiği)
etkilendiği,
- Veri sorumlusunun veri ihlali meydana gelmeden önce “İç Penetrasyon Testi” yaptırdığı, veri ihlali sonrası da “Web Uygulama Sızma Testi” yaptırdığı, yaptırılan söz konusu sızma testlerinin birbirlerinden bağımsız farklı alanlarda zafiyet kontrolü için yapılan testler olduğu, veri ihlali sonrasında “İç Penetrasyon Testi” yapıldığına dair tarafımıza herhangi bir bilgi belge sunulmadığı,
- Veri sorumlusunun, veri ihlali meydana gelmeden önce “İç Penetrasyon Testi” yaptırdığı, sonuç raporuna göre 3 “Acil”, 2 “Kritik”, 2 “Yüksek” ve 1 “Düşük” seviyede güvenlik açığı tespit edildiği, var olan güvenlik açıklarının ihlale kadar geçen sürede ve ihlal sonrasında giderildiğine dair bilgi veya belgenin Kurumumuza sunulmadığı, söz konusu rapora göre veri tabanına ve bazı sistemlere verilen basit şifreleme sebebiyle bu alanlara yapılan Bruteforce saldırısı sonucu kolayca şifrenin kırılabileceğinin anlaşıldığı, bu durumun veri sorumlusu tarafından uygun ve yeterli bir parola politikası hazırlanamaması ve uygulanamamasından kaynaklandığı, bunun sonucu olarak veri tabanı ve bazı sistemlerdeki basit şifre yapılandırmasından dolayı söz konusu alanlara saldırganlar tarafından kolayca erişim sağlanabileceği, bu sebeple Kurumumuz tarafından yayınlanan Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler)’nde 3.1. Siber Güvenliğin Sağlanması başlığı altında yer alan “…kişisel veri içeren sistemlere erişimin de sınırlı olması gerekmektedir. Bu kapsamda çalışanlara, yapmakta oldukları iş ve görevler ile yetki ve sorumlulukları için gerekli olduğu ölçüde erişim yetkisi tanınmalı ve kullanıcı adı ve şifre kullanılmak suretiyle ilgili sistemlere erişim sağlanmalıdır. Söz konusu şifre ve parolalar oluşturulurken, kişisel bilgilerle ilişkili ve kolay tahmin edilecek rakam ya da harf dizileri yerine büyük küçük harf, rakam ve sembollerden oluşacak kombinasyonların tercih edilmesi sağlanmalıdır.” ifadelerine aykırılık teşkil ettiği,
- Veri sorumlusu tarafından veri ihlali gerçekleşmeden önce yapılan sızma testinde File Server (Dosya Sunucusu) üzerinde bulunan dosyalar içerisinde bazı sistemlere giriş için kullanıcı adı ve şifrelerin bulunduğu bir “şifreler.txt” dosyasının yer aldığı, veri sorumlusu tarafından KVKK Farkındalık ve Bilgi Güvenliği Eğitimi vermiş olduğuna dair katılımcı listesi eklerde yer alsa da yapılan sızma testine göre bu durumun personele uygun ve yeterli bir KVKK eğitiminin verilmediğinden kaynaklandığını gösterdiği, ayrıca söz konusu veri ihlalinin bir çalışanın internetten her hangi bir web sitesinden indirdiği bir uygulamayı sistem içerisine kurmasından kaynaklandığı göz önünde bulundurulduğunda bu durumun, çalışanlara verilen eğitim ve farkındalık çalışmalarının uygun veya yeterli seviyede olmadığının göstergesi olduğu, bu sebeple Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler)’nde 2.2. Çalışanların Eğitilmesi ve Farkındalık Çalışmaları başlığında “Kişisel veri güvenliğini zedeleyecek saldırılar ile siber güvenliğe ilişkin, çalışanların sınırlı bilgileri olsa dahi ilk müdahaleyi yapmaları, kişisel veri güvenliğinin sağlanması konusunda büyük önem taşımaktadır. Kişisel veri güvenliğini ihlal etmeye yönelik saldırıların yanı sıra, kişisel verilerin hukuka aykırı olarak açıklanması ya da paylaşılması gibi konular başlıca kişisel veri güvenliği ihlallerindendir. Bu ihlaller, kullanıcıların dikkatsizlik, dalgınlık veya tecrübesizlik gibi zayıf yönlerinin kullanılması suretiyle kötü amaçlı yazılım içeren elektronik posta ekinin açılması veya elektronik postanın yanlış alıcıya gönderilerek kişisel verilerin üçüncü kişilerin erişimine açılması şeklinde de ortaya çıkabilmektedir…” ifadelerine aykırılık teşkil ettiği,
- Söz konusu veri ihlali öncesinde yaptırılan sızma test raporuna göre; bir “Domain User” (Ağda kayıtlı olan sınırlı yetkilere sahip kullanıcı hesabı) tarafından networkte yer alan birçok paylaşım klasörüne ulaşılabildiği, bu durumda söz konusu “Domain User”ın kötü niyetli üçüncü kişiler tarafından ele geçirilmesi halinde birçok kişisel veriye rahat bir şekilde ulaşabileceğinin tespit edildiği, ihlale kadar geçen sürede ve ihlal sonrasında bu eksikliklerin giderildiğine dair bilgi veya belgenin Kurumumuza sunulmadığı, bu durumun Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler)’nde 3.3. Kişisel Veri İçeren Ortamların Güvenliğinin Sağlanması başlığında “…Kişisel veriler elektronik ortamda ise, kişisel veri güvenliği ihlalini önlemek için ağ bileşenleri arasında erişim sınırlandırılabilir veya bileşenlerin ayrılması sağlanabilir. Örneğin kullanılmakta olan ağın sadece bu amaçla ayrılmış olan belirli bir bölümüyle sınırlandırılarak bu alanda kişisel verilerin işleniyor olması halinde, mevcut kaynaklar tüm ağ için değil de sadece bu sınırlı alanın güvenliğini sağlamak amacıyla ayrılabilecektir...” ifadelerine aykırılık teşkil ettiği,
- Söz konusu veri ihlal öncesinde yaptırılan sızma testinde; desteği olmayan işletim sistemi kullanıldığının görüldüğü (Windows 7), Microsoft Windows işletim sisteminde güncelleme eksikleri olduğu, söz konusu güncelleme eksikliklerinin kritik seviyede olduğunun belirtilmiş olmasına rağmen gerekli güncellemelerin yapıldığına dair ihlale kadar geçen sürede ve ihlal sonrasında bu eksikliklerin giderildiğine dair bilgi veya belgenin Kurumumuza sunulmadığı, ayrıca veri ihlali sonrası araştırma sonuç raporu içerisinde siber saldırganın 5 geçerli etki alanı yönetici hesabı kullandığının belirtildiği, bu hesapları ele geçirmesinin sebebinin ise işletim sistemindeki versiyon düşüklüğünden kaynaklandığının anlaşıldığı, bu durumun veri sorumlusunun bilgi teknolojileri sistemlerinin tedariki ve geliştirilmesi ile ilgili ihtiyaçları belirlerken güvenlik gereksinimlerini göz önüne almada eksiklikleri olduğunun ve sorunları düzeltme konusunda gecikme yaşadığının göstergesi olduğu, bu durumun Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler)’nde 3.5.Bilgi Teknolojileri Sistemleri Tedariki, Geliştirme ve Bakımı başlığı altında düzenlenen “Veri sorumlusu tarafından yeni sistemlerin tedariki, geliştirilmesi veya mevcut sistemlerin iyileştirilmesi ile ilgili ihtiyaçlar belirlenirken güvenlik gereksinimleri göz önüne alınmalıdır.” ifadelerine aykırılık teşkil ettiği,
- Söz konusu veri ihlali öncesinde yaptırılan sızma test raporuna göre; veri sorumlusu sisteminde bulunan kullanıcılara Bruteforce atak yapıldığında kullanıcıların kilitlenmediğinin belirtildiği, yani veri sorumlusu tarafından kullanıcı girişleri için şifre giriş deneme sayısı sınırlanmadığından siber saldırganlarca istenildiği kadar parola denemesi yapılabileceği, bu durumun yüksek seviyede risk olarak belirlendiği fakat bu açığın kapatıldığına ilişkin ihlale kadar geçen sürede ve ihlal sonrasında bu eksikliklerin giderildiğine dair bilgi veya belgenin Kurumumuza sunulmadığı, bu durumun Kurumumuz tarafından yayınlanan Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler)’nde 3.1. Siber Güvenliğin Sağlanması başlığı altında “Güçlü şifre ve parola kullanımının yanı sıra, kaba kuvvet algoritması (BFA) kullanımı gibi yaygın saldırılardan korunmak için şifre girişi deneme sayısının sınırlandırılması, düzenli aralıklarla şifre ve parolaların değiştirilmesinin sağlanması, yönetici hesabı ve admin yetkisinin sadece ihtiyaç olduğu durumlarda kullanılması için açılması ve veri sorumlusuyla ilişikleri kesilen çalışanlar için zaman kaybetmeksizin hesabın silinmesi ya da girişlerin kapatılması gibi yöntemlerle erişimin sınırlandırılması gerekmektedir...” ifadelerine aykırılık teşkil ettiği,
- Bahse konu veri ihlali öncesinde yaptırılan sızma test raporuna göre; veri sorumlusu tarafından kullanılan cihazlar içerinde bulunan SNMP servislerinin (Uzaktan sistem ayarlarını sorgulama, sistem hakkında bilgi alma ve ayarlarda değişiklik yapmak için kullanılan bir yönetim servisidir.) uygun yapılandırılamadığı, bu sebeple saldırgana sistem üzerinde sorgu yapma ve konfigürasyonda değişiklik yapma olanağı sağlayabileceği ve uzaktan kod çalıştırma imkanı sunabileceği, söz konusu açıklığın kapatıldığına ilişkin tarafımıza herhangi bir bilgi belge sunulmadığı, bu durumun Kurumumuz tarafından yayınlanan Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler)’nde 3.1. Siber Güvenliğin Sağlanması başlığı altında “Bununla birlikte hemen hemen her yazılım ve donanımın bir takım kurulum ve yapılandırma işlemlerine tabi tutulması gerekmektedir. Ancak yaygın şekilde kullanılan bazı yazılımların özellikle eski sürümlerinin belgelenmiş güvenlik açıkları bulunmakta olup, kullanılmayan yazılım ve servislerin cihazlardan kaldırılması potansiyel güvenlik açıklarının azalmasını sağlamaya yardımcı olacaktır. Bu nedenle, kullanılmayan yazılım ve servislerin güncel tutulması yerine silinmesi, kolaylığı nedeniyle öncelikle tercih edilebilecek bir yöntemdir. Diğer önemli unsurlardan biri de yama yönetimi ve yazılım güncellemeleri olup yazılım ve donanımların düzgün bir şekilde çalışması ve sistemler için alınan güvenlik tedbirlerinin yeterli olup olmadığının düzenli olarak kontrol edilmesi de olası güvenlik açıklarının kapatılması için gereklidir...” ifadelerine aykırılık teşkil ettiği,
- Veri ihlali sonrasında hazırlanan “Üst Yönetim Olay Raporu”na göre; bir çalışanın internetten indirerek bilgisayarına kurulumunu yaptığı bir “Ses dosyası değiştirme programı” vasıtasıyla fidye yazılımının veri sorumlusu networkünde bulunan 797 adet sunucuya bulaştığı, bu durumun ağ bileşenleri arasında erişimin sınırlandırılmamasından veya network bileşenlerinin birbirinden ayrılmamasından kaynaklandığı, bu durumun Kurumumuz tarafından yayınlanan Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler)’nde 3.3. Kişisel Veri İçeren Ortamların Güvenliğinin Sağlanması başlığında yer alan “…kişisel veri güvenliği ihlalini önlemek için ağ bileşenleri arasında erişim sınırlandırılabilir veya bileşenlerin ayrılması sağlanabilir. Örneğin kullanılmakta olan ağın sadece bu amaçla ayrılmış olan belirli bir bölümüyle sınırlandırılarak bu alanda kişisel verilerin işleniyor olması halinde, mevcut kaynaklar tüm ağ için değil de sadece bu sınırlı alanın güvenliğini sağlamak amacıyla ayrılabilecektir. Aynı seviyedeki önlemlerin veri sorumlusu yerleşkesi dışında yer alan ve veri sorumlusuna ait kişisel veri içeren kâğıt ortamları, elektronik ortam ve cihazlar için de alınması gerekmektedir...” ifadelerine aykırılık teşkil ettiği,
- Bahsi geçen raporda belirtilen idari ve teknik anlamda alınması gereken önlemler çerçevesinde birçok önerinin bulunduğunun görüldüğü; bu kapsamda, veri ihlali sonrası sistemde tespit edilen problemlerin, veri ihlali gerçekleşmeden önce veri sorumlusu tarafından yeterli ve uygun güvenlik önlemlerini almak için gerekli denetimleri yapmadığının göstergesi olduğu, bu durumun Kurumumuz tarafından yayınlanan Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler)’nde 2.5. Veri İşleyenler ile İlişkilerin Yönetimi başlığında yer alan “Bazı veri sorumluları, bilgi teknolojileri ihtiyaçlarını karşılamak için veri işleyenlerden hizmet almaktadırlar. Veri sorumlularının, hizmet alırken söz konusu veri işleyenlerin kişisel veriler konusunda en az kendileri tarafından sağlanan güvenlik seviyesinin sağlandığından emin olmaları gerekmektedir. Zira Kanunun 12 nci maddesinin ikinci fıkrası gereği veri işleyenler de kişisel verilerin güvenliğinin sağlanması konusunda veri sorumlusuyla müştereken sorumludur…Bununla birlikte veri sorumlusu, kişisel veri içeren sistem üzerinde gerekli denetimleri yapar veya yaptırır, denetim sonucunda ortaya çıkan raporları ve hizmet sağlayıcıyı yerinde inceleyebilir.” ifadelerine aykırılık teşkil ettiği
hususları dikkate alındığında, 6698 sayılı Kişisel Verilerin Korunması Kanununun (Kanun) 12’nci maddesinin (1) numaralı fıkrası hükmü çerçevesinde veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirleri almayan veri sorumlusu hakkında ihlalin boyutu, kabahatin haksızlık içeriği, veri sorumlusunun kusuru ve ekonomik durumu da göz önünde bulundurularak Kanun’un 18’inci maddesinin (1) numaralı fıkrasının (b) bendi uyarınca 800.000 TL,
- Veri ihlalinin; tespit edildiği belirtilen tarihten 23 gün sonra Kurumumuza bildirildiği, bu sebeple bildirimde 20 günlük bir gecikme olduğu,
- İlgili kişilere bildirim yapılmasına rağmen, ihlalden etkilenen verilerin ilgili kişiler üzerinde olumsuz etki doğurma riskinin bulunduğu
hususları dikkate alındığında bu durumun Kanun’un 12’nci maddesinin (5) numaralı fıkrasında yer verilen “en kısa sürede” bildirimde bulunma yükümlülüğüne aykırılık teşkil etmesi nedeniyle Kanun’un 18’inci maddesinin (1) numaralı fıkrasının (b) bendi uyarınca veri sorumlusu hakkında 200.000
olmak üzere toplam 1.000.000 TL idari para cezasının uygulanmasına karar verilmiştir.