KVKK’nın yayımladığı Kurul kararına göre, veri ihlali sonucunda 505 bin 337 müşteriye ait kişisel bilgiler saldırganların erişimine açıldı. Ele geçirilen veriler arasında müşterilerin ad ve soyadı, cinsiyet, e-posta adresi, telefon numarası ve yaşadığı şehir bilgileri yer aldı.
Saldırganlar çalışanın bilgisayarından sisteme ulaştı
KVKK’nın incelemesinde dikkat çeken ayrıntılardan biri, saldırının doğrudan bir çalışan üzerinden gerçekleştirilmesi oldu.
Kurul kararında yer alan bilgilere göre saldırganlar, çalışanın bilgisayarına tarayıcı üzerinden çalışan zararlı bir yazılımla yetkisiz erişim sağladı. Bu yöntemle tarayıcıda kayıtlı kullanıcı adı ve şifrelere ulaşan saldırganlar, söz konusu bilgiler üzerinden şirket sistemlerine erişerek müşteri verilerinin bulunduğu alanlara ulaştı.
İhlalin ardından saldırganların şirket yöneticisinin telefonuna da mesaj göndererek bazı şirket verilerine eriştiklerini bildirdikleri belirtildi.
KVKK güvenlik önlemlerini yetersiz buldu
KVKK değerlendirmesinde, şirketin yalnızca çalışan kaynaklı güvenlik açığı nedeniyle değil, sistemsel ve idari eksiklikler nedeniyle de sorumlu olduğu sonucuna vardı.
Kurul, şirketin sistemlerinde olağan dışı hareketleri tespit ederek yöneticileri uyaracak yeterli bir alarm altyapısının bulunmadığına dikkat çekti. Ayrıca risklerin belirlenmesi, sistemlerin takip edilmesi ve kontrol mekanizmalarının oluşturulması konusunda da eksiklikler tespit edildi.
Kararda, ihlal sonrasında iki faktörlü kimlik doğrulama ve sistemleri takip etmeye yönelik güvenlik çözümlerinin devreye alındığı da belirtilirken, bu önlemlerin ihlal gerçekleşmeden önce alınması gerektiğine işaret edildi.
Çalışan eğitimleri de inceleme konusu oldu
KVKK’nın dikkat çektiği bir diğer konu ise çalışanların kişisel veri güvenliği konusunda yeterince eğitilmemiş olması oldu.
Kurul, ihlalin çalışan kaynaklı gerçekleştiğine dikkat çekerek şirketin ihlal öncesinde çalışanlara kişisel veri güvenliği konusunda eğitim verdiğini gösteren yeterli bilgi ve belge sunamadığını değerlendirdi. Bu nedenle eğitim ve farkındalık çalışmalarının da yeterli düzeyde olmadığı sonucuna varıldı.
800 bin TL güvenlik, 200 bin TL bildirim cezası
KVKK, şirketin kişisel verilerin korunması için gerekli teknik ve idari tedbirleri yeterince almaması nedeniyle 800 bin lira idari para cezası uygulanmasına karar verdi.
Bunun yanında, veri ihlalinden etkilenen kişilere gerekli bildirimin yapılmaması nedeniyle 200 bin lira daha ceza kesildi.
Böylece Baydöner hakkında uygulanan toplam idari para cezası 1 milyon liraya ulaştı.
İhlal 2022’de yaşandı
KVKK kayıtlarına göre söz konusu veri ihlali 2022 yılında gerçekleşti. Baydöner’in bilgi işlem yöneticisinin bilgisayarına zararlı yazılımla erişilmesi ve bazı kullanıcı adı ile şifrelerin ele geçirilmesi sonucunda başlayan saldırının ardından 505 bin 337 müşterinin verilerinin etkilendiği Kurum kayıtlarına geçti.
KVKK’nın 9 Ocak 2025 tarihli ve 2025/88 sayılı Kurul kararıyla ise şirketin veri güvenliği yükümlülüklerini yerine getirmediği ve ilgili kişilere gerekli bildirimleri yapmadığı değerlendirilerek toplam 1 milyon liralık idari para cezası uygulanmasına karar verildi.
