KVKK 17 veri ihlali bildirimini yayımladı, 12'sinde veriler şifrelendi

Kişisel Verileri Koruma Kurumu (KVKK), 7 Ekim’de 17 veri sorumlusunun veri ihlali bildirimini internet sitesinde yayımladı. Bildirimlerin 12’sinde saldırganların sistemlere girip verileri şifrelediği, yani fidye yazılımı ya da benzer bir saldırının yaşandığı belirtiliyor. Diğer beşi yetkisiz erişimle ilgili. Bildirimlerin çoğunda etkilenen kişi sayısı henüz belirlenemedi.

Etkilenebilecek kişi sayısının en yüksek olduğu bildirim Yıldız Teknik Üniversitesi’ne ait. Üniversitenin sanallaştırma altyapısı ve üzerinde çalışan sunucular 1 Ekim’de fidye yazılımı saldırısından etkilendi. Mevcut kayıtlara göre yaklaşık 140 bin öğrenci ve 4 bin 500 personel etkilenmiş olabilir. Ziyaretçilerin sayısı ve etkilenen veri türleri henüz belirlenemedi.

Yedi bildirim çağrı merkezi hizmetleriyle ilgili. PCT Yazılım Danışmanlık Telekomünikasyon, PCX Operasyon Yazılım ve Danışmanlık, Procat Teknoloji Danışmanlık ve Procatcx Operasyon Yazılım ve Danışmanlık aynı metinle, 30 Eylül’de fidye yazılımı saldırısına uğradıklarını bildirdi. Etkilenmiş olabilecek veriler arasında çalışanların performans ve özlük bilgileri, özlük dosyalarındaki eski tip nüfus cüzdanı suretleri, iş başvurusu yapanların özgeçmişleri ve çağrı merkezini arayan ya da çağrı merkezince aranan kişilerin telefon numaraları ile görüşme ses kayıtları var. Şirketler verilerin dışarı aktarıldığına dair henüz bir tespit olmadığını, incelemenin sürdüğünü belirtti.

Nesine.com’u işleten D Elektronik Şans Oyunları ve Yayıncılık ile atyarisi.com’u işleten 4 Race Teknoloji ve Yazılım da çağrı merkezi hizmeti aldıkları veri işleyenin sistemlerinin 30 Eylül’de şifrelendiğini bildirdi. Etkilenen veriler telefon numaraları, görüşmelerde verilen ad soyad ve kimlik doğrulama bilgileri, talep ve şikâyet içerikleri ile ses kayıtları. Bildirimlere göre ses kayıtları, görüşmenin içeriğine bağlı olarak doğum tarihi ve T.C. kimlik numarası gibi bilgileri de içerebiliyor. İlk incelemede verilerin dışarı aktarıldığına dair bir bulgu yok, ancak bu ihtimal de dışlanmıyor. GIG Sigorta ise ses kayıtlarını arşivleyen veri işleyeninin 30 Eylül’de saldırıya uğradığını, bir günlük ses kayıtlarının şifrelendiğini ve 161 çağrının kaydına erişilemediğini bildirdi. Bu üç bildirimde veri işleyenin adı geçmiyor.

Dört bildirim pizza sektöründen. Dodo Brands International, kendi sistemlerine yetkisiz erişimi 28 Eylül’de tespit etti. Deniz Pizza Restoranları, DDP Temizlik Pizza Gıda ve Smart Delivery Pizza Yemekçilik ise hizmet aldıkları veri işleyenin sistemlerine yetkisiz erişim sağlandığını 30 Eylül ve 1 Ekim’de öğrendi. Dört bildirimde de müşterilerin ve çalışanların kimlik, iletişim, konum, müşteri işlem ve finans bilgileri etkilendi, etkilenen kişi sayısı ise henüz belirlenmedi.

Ortadoğu Holding, Medikalyapı Sağlık Yatırımları ve Gür Grup İnşaat da aynı ifadelerle, 3 Ekim’de sistemlerine dışarıdan erişilip verilerin şifrelendiğini bildirdi. Etkilenen kişi sayısı tahmin edilemiyor. Monnalisa Bebek Giyim, 28 ve 29 Eylül’de fidye yazılımı saldırısına uğradığını, dosyalar şifrelendiği için etkilenen kişi sayısını veremediğini bildirdi. barrelsandoil.com’u işleten Hüşyar Tekstil’in bildirimine göre ise veri işleyenin sunucusunda kullanılan üçüncü taraf bir yazılım kütüphanesindeki açık istismar edildi. Müşterilerin adı, adresi, e-postası, telefonu ve saklanan şifre değerleri ile yönetim paneli hesapları etkilendi.

Bu kurumlardan birinin müşterisi, öğrencisi ya da çalışanıysanız, kurum adına gelen arama, SMS ve e-postalara karşı dikkatli olmak yerinde olur. Çağrı merkezi kayıtları başkalarının eline geçtiyse, dolandırıcılar görüşmelerde verilen bilgileri kullanarak kendilerini kurum çalışanı gibi tanıtabilir. barrelsandoil.com’da hesabı olanların, aynı parolayı kullandıkları diğer hesaplarda parolalarını değiştirmesi de yerinde olur.