Otomotiv devine 500 bin TL'lik siber saldırı cezası

Kişisel Verileri Koruma Kurumu (KVKK), fidye yazılımı saldırısına maruz kalan bir otomotiv güvenlik ve elektronik sistemleri üreticisine 500 bin lira idari para cezası verdi. Kurumun kararında, şirketin veri güvenliğine ilişkin gerekli teknik ve idari tedbirleri almadığı gerekçesi gösterildi.

Şirket, sunucularına fidye yazılımı bulaştığını tespit etmesinin ardından KVKK'ye veri ihlali bildiriminde bulundu. Bildirimde, saldırı sonucunda sistemdeki dosyaların şifrelendiği ve bazı kişisel verilere yetkisiz erişim sağlandığı belirtildi.

Saldırganların internet üzerinden yayımladıkları içeriklerde şirket verilerini paylaştığı da kaydedildi. İhlalden müşteri ve tedarikçi temsilcilerinin kimlik ve iletişim bilgileri ile şirketin mevcut ve eski çalışanlarına ait kimlik, iletişim bilgileri, izin kayıtları ve bazı sağlık verilerinin etkilendiği aktarıldı.

"HİZMET SAĞLAYICININ HESABI ELE GEÇİRİLDİ"

KVKK'nin incelemesinde, saldırının şirketin insan kaynakları yazılım hizmeti aldığı bir hizmet sağlayıcısına ait kullanıcı hesabının ele geçirilmesiyle başlamış olabileceği değerlendirildi. Kararda, veri sorumlularının hizmet aldıkları veri işleyenlerin yeterli güvenlik tedbirlerini uyguladığından emin olmakla yükümlü olduğuna işaret edildi.

6698 sayılı Kişisel Verilerin Korunması Kanunu'nda veri güvenliğine ilişkin yükümlülüklere aykırı hareket edilmemesinin hüküm altına alındığı hatırlatıldı. Şirketin bilgi sistemlerinin düzenli izlenmemesi, ağdaki olağan dışı hareketlerin zamanında tespit edilememesi ve kötü amaçlı yazılımlara karşı yeterli korumanın sağlanamaması nedeniyle gerekli tedbirleri almadığı belirtildi.