Kişisel Verileri Koruma Kurumu, otomotiv güvenlik ve elektronik sistemleri üretimi yapan bir şirkete, fidye yazılımı saldırısı sonrasında kişisel verilerin internette yayımlanması üzerine 500 bin lira idari para cezası verdi. KVKK kararında, şirketin veri güvenliği için gerekli teknik ve idari tedbirleri yeterince almadığı belirtildi.
Kişisel Verileri Koruma Kurumu (KVKK), fidye yazılımı saldırısı nedeniyle kişisel verileri ele geçirilen otomotiv güvenlik ve elektronik sistemleri üreticisi bir şirkete 500 bin lira idari para cezası uygulanmasına karar verdi.
KVKK'nın resmi kararında, saldırı sonucunda şirketin sunucularındaki bazı dosyaların şifrelendiği ve saldırganların elde ettiği bazı verileri internet ortamında yayımladığı belirtildi. Kurum, şirketin kişisel veri güvenliği konusunda gerekli teknik ve idari tedbirleri almadığı sonucuna vardı.
Karar, 2026 yılında yeniden gündeme gelirken vatandaşların ve şirketlerin “fidye yazılımı nedir, kişisel veriler nasıl korunur, şirketler veri sızıntısından sorumlu mu, KVKK veri ihlalinde ne kadar ceza veriyor?” gibi sorularını da gündeme taşıdı.
Fidye yazılımı saldırısı nasıl gerçekleşti?
KVKK kararında yer alan bilgilere göre olay, şirketin sunucularına bir fidye yazılımının bulaşmasıyla ortaya çıktı. Yazılımın sistemlere girmesinin ardından sunucularda bulunan bazı dosyalar şifrelendi.
Şirketin Bilgi Teknolojileri (IT) departmanı, log kayıtlarında yaşanan bir problemi fark ederek saldırıyı tespit etti. Bunun ardından ihlale ilişkin inceleme başlatıldı.
Yapılan analizlerde saldırganların şirket sistemlerindeki bazı kişisel verilere eriştiği belirlendi. Ayrıca saldırganların şirkete ait bazı verileri internet ortamında yayımladığı tespit edildi.
KVKK kararında saldırının kesin olarak hangi yöntemle gerçekleştirildiğinin şirket tarafından doğrulanamadığına da dikkat çekildi. Ancak Kurul, saldırının şirketin insan kaynakları yazılımını yöneten hizmet sağlayıcının erişim bilgilerinin ele geçirilmesiyle başlamış olabileceğini değerlendirdi.
Kararda özellikle, söz konusu hizmet sağlayıcı tarafından 2003 yılından beri kullanılan bir kullanıcı hesabının, şirket ağı içerisinde bulunan bir bilgisayara saldırı yazılımının yüklenmesinde ilk erişim noktası olarak kullanılmış olabileceği belirtildi.
Hangi kişisel veriler ele geçirildi?
KVKK'nın kararında veri ihlalinden etkilenen bilgilerin kapsamı da ayrıntılı olarak açıklandı.
İhlalden etkilenen veriler arasında şirketin müşteri ve tedarikçi temsilcilerine ait ad, soyadı, telefon numarası, e-posta adresi ve iş pozisyonu bilgilerinin bulunduğu belirtildi.
Bunun yanında bazı müşterilerin satın alma portallarına erişim sağlamak amacıyla şirket çalışanlarına verdiği şifre bilgilerinin de saldırıdan etkilenmiş olabileceği kaydedildi.
Şirketin eski ve mevcut çalışanlarına ait bazı bilgiler de ihlal kapsamında değerlendirildi. Bunlar arasında ad-soyad, şirket e-postası, iş pozisyonu, fotoğraf, şirket telefonu, bordro sicil numarası ve izin kullanımına ilişkin bilgiler yer aldı.
Daha dikkat çekici bölüm ise bazı çalışanlara ilişkin kan grubu bilgileri, COVID-19 ile ilgili bilgiler ve 2012 yılında verilen doktor raporlarının içeriğinin de ihlalden etkilenen veriler arasında sayılması oldu.
KVKK neden 500 bin TL ceza verdi?
KVKK Kurulu, olayda 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesinin birinci fıkrasında düzenlenen veri güvenliğine ilişkin yükümlülüklerin yerine getirilmediği sonucuna ulaştı.
Kurumun değerlendirmesinde, şirketin veri sorumlusu olarak kişisel verilerin hukuka aykırı şekilde işlenmesini ve erişilmesini önlemek için gerekli teknik ve idari tedbirleri alması gerektiği vurgulandı.
Saldırının gerçekleşmiş olması tek başına şirketin otomatik olarak sorumlu olduğu anlamına gelmese de KVKK, veri sorumlusunun güvenlik önlemlerinin yeterli olup olmadığını ayrıca değerlendiriyor. Bu dosyada Kurul, mevcut şartlar ve saldırının gerçekleşme biçimini dikkate alarak şirkete 500 bin TL idari para cezası uygulanmasına karar verdi.
2026 yılında veri güvenliği yükümlülüklerine aykırılık nedeniyle uygulanabilecek KVKK idari para cezalarının alt ve üst sınırları da yeniden değerleme kapsamında güncellenmiş durumda. KVKK'nın yayımladığı güncel tabloda veri güvenliği yükümlülüğünün yerine getirilmemesi bakımından 256 bin 357 TL ile 17 milyon 92 bin 242 TL arasında ceza öngörülüyor.
Buradaki 500 bin TL'lik kararın ise 2022 tarihli Kurul kararına dayandığı özellikle belirtilmeli.
Vatandaşların kişisel verileri için bu karar ne anlama geliyor?
Karar, kişisel verilerin yalnızca sosyal medya hesapları veya bireysel kullanıcıların bilgisayarları açısından değil, şirketlerin tuttuğu çalışan, müşteri ve tedarikçi bilgilerinin güvenliği açısından da önemli olduğunu gösteriyor.
Özellikle şirketlerin kullandığı insan kaynakları yazılımları, dış hizmet sağlayıcı hesapları, eski kullanıcı hesapları ve erişim yetkileri önemli bir güvenlik riski oluşturabiliyor.
KVKK'nın bu kararıyla birlikte “kişisel bilgilerim çalındı ne yapmalıyım?, verilerim sızdırıldı mı nasıl öğrenebilirim?, şirket kişisel verilerimi korumak zorunda mı?” gibi sorular da yeniden gündeme geldi.
KVKK kararında ise somut olay bakımından kişisel verilere yetkisiz erişim sağlandığı ve bazı verilerin internette yayımlandığı tespit edildi.
