Dijital çağda veri güvenliğini bir lüks değil, ana yemek kadar temel bir ihtiyaç olarak görmeyen şirketler için çanlar çalmaya devam ediyor. Son yaşanan olay, siber korsanların artık ne kadar sinsi yöntemler kullandığını ve basit bir dikkatsizliğin yüz binlerce insanın verisini nasıl tehlikeye attığını net bir şekilde gözler önüne serdi. Restoran ve hızlı servis gıda sektöründe faaliyet gösteren dev bir firma, çalışanının internet tarayıcısındaki tek bir hatası yüzünden 505 bin 337 müşterisinin verisini korsanlara kaptırdı. Kişisel Verileri Koruma Kurumu (KVKK) ise bu ihmale sessiz kalmayarak şirkete toplam 1 milyon lira idari para cezası kesti.
Tarayıcıya Kaydedilen Şifreler Siber Felakete Nasıl Dönüştü?
Olayın perde arkasını incelediğimizde, siber saldırganların hedeflerine ulaşmak için ne kadar pragmatik yaklaştıklarını görüyoruz. Saldırı, bir çalışanın bilgisayarına bulaşan ve internet tarayıcısı üzerinde çalışan zararlı bir yazılımla başladı. Personelin tarayıcıya kaydettiği kullanıcı adı ve şifreleri ele geçiren saldırganlar, ellerini kollarını sallayarak şirketin ana sistemlerine sızmayı başardı.
Burada asıl düşündürücü olan detay, fidye yazılımcılarının ya da veri hırsızlarının şirkete sızdıktan sonra bunu bir şantaj malzemesine dönüştürmesi. Saldırganlar, bir süre sonra şirket yöneticisinin cep telefonuna mesaj atarak “Elimizde verileriniz var” dediklerinde tablo netleşti: Tam 505 bin 337 müşterinin kişisel bilgisi artık yetkisiz kişilerin elindeydi.
KVKK Şirkete Neden Ceza Kesti?
KVKK’nın olay sonrasında başlattığı inceleme, dijital altyapılarda “Sadece antivirüs programı kurduk, tamamız” mantığının geçerli olmadığını kanıtlar nitelikte. Kurum, cezayı iki temel başlık altında kesti:
-
800 Bin TL (Teknik ve İdari Tedbir Eksikliği): Veri güvenliğini sağlamak adına gerekli altyapı ve kontroller kurulmadığı için uygulandı.
-
200 Bin TL (Bildirim İhmali): Veri ihlalinden doğrudan etkilenen kişilere zamanında ve doğru bilgilendirme yapılmadığı için kesildi.
Alarm Sistemi Eksikliği ve İnsan Faktörü
Kararın detaylarında yer alan iki kritik tespit, dijital güvenlik mimarisinin neden bu kadar hayati olduğunu ortaya koyuyor. İlk olarak; şirket sistemlerine yetkisiz bir giriş yapıldığında bunu güvenlik ekibine bildirecek bir alarm/erken uyarı sisteminin kurulmadığı anlaşıldı. Yani kapı kırılmış, içeri girilmiş ama içerideki kimsenin haberi olmamış!
İkinci ve belki de en önemli nokta ise insan faktörü. Kararda, veri sorumlusu şirketin çalışanlarına kişisel verilerin korunması ve siber güvenlik farkındalığı konusunda yeterli eğitimi vermediği vurgulandı. Şifrelerin internet tarayıcılarına güvensiz bir şekilde kaydedilmesi, tam da bu farkındalık eksikliğinin doğrudan bir sonucudur.
Siber güvenlik, yalnızca bilgi işlem departmanlarının sırtına yüklenecek bir sorumluluk değildir. Çalışan farkındalığı ve doğru teknik altyapı bir araya gelmediği sürece, bu tarz ağır yaptırımlar kaçınılmaz olmaya devam edecektir.
