KVKK bir günde 10 veri ihlali bildirimi yayımladı, üç e-ticaret sitesinde ihlal hizmet sağlayıcılarının sistemlerinden kaynaklandı

Kişisel Verileri Koruma Kurumu (KVKK), 21 Ekim’de 10 kurumun veri ihlali bildirimini internet sitesinde yayımladı. Bildirimler, kurumların Kişisel Verileri Koruma Kurulu’na ilettiği bilgilerin özetinden oluşuyor. Kurum, her bildirimde konuya ilişkin incelemenin sürdüğünü belirtiyor. Aşağıdaki bilgiler bu bildirimlerden alındı.

Üç e-ticaret sitesi, aynı türden bir ihlal

Dermojet, Karaköy Güllüoğlu ve Kurukahveci Mehmet Efendi’nin bildirimlerinde ihlalin nedeni aynı ifadelerle anlatılıyor: Verilerin bulunduğu veri işleyen sistemlerindeki bir sunucuya, kullanılan üçüncü taraf yazılım kütüphanesindeki bir açık kullanılarak yetkisiz erişim sağlandı. Veri işleyen, bir şirket adına kişisel verileri işleyen hizmet sağlayıcı anlamına geliyor. Üç bildirimde de ihlal, veri işleyenin şirketlere yaptığı bildirimle fark edildi. Bildirimlerde veri işleyenin adı geçmiyor ve üç olayın aynı hizmet sağlayıcıyla ilgili olup olmadığı belirtilmiyor.

• Dermojet: Veri işleyen şirketi 10 Eylül’de bilgilendirdi. Müşterilerin ve potansiyel müşterilerin ad-soyad, telefon, e-posta, adres bilgileri ile hash’lenmiş (tek yönlü olarak dönüştürülmüş) şifreleri etkilendi. Etkilenen kişi sayısı 50.636.
• Karaköy Güllüoğlu: İhlal 8 Ekim’de tespit edildi. Mağaza müşterilerinin ad-soyad, telefon, e-posta, adres bilgileri ve saklanan şifre değerleri ile satıcı paneli kullanıcı hesapları ve şifre değerleri etkilendi. Bildirimde şifrelerin hangi biçimde saklandığı belirtilmiyor. Etkilenen kişi sayısı 67.193.
• Kurukahveci Mehmet Efendi: İhlal 7 Ekim’de tespit edildi. Mağaza müşterilerinin ad-soyad, telefon, e-posta, adres bilgileri ve hash’lenmiş şifreleri ile yönetim paneli hesapları etkilendi. Etkilenmiş olabilecek kişi sayısı en fazla 15.303 müşteri ve 18 yönetim paneli hesabı sahibi.

Sağlık kuruluşları

DNC Sağlık Hizmetleri: Ankara Çankaya’da hizmet veren özel sağlık kuruluşunda, bilişim personeli Ekim ayında sunucu ekranında Türkçe bir fidye notu gördü ve veritabanı dosyalarına erişilemediğini fark etti. Hastalar, hasta yakınları, personel ve iş ortakları etkilendi. Şifrelenen sunucuda ad-soyad, T.C. kimlik numarası, iletişim bilgileri, muayene, tahlil, tanı, reçete ve tedavi geçmişine ait sağlık kayıtları ile randevu, faturalandırma ve SGK ya da özel sigorta provizyon kayıtları bulunuyordu. Veritabanı şifrelendiği için etkilenen kişi ve kayıt sayısı henüz belirlenemedi.

Baxter Turkey Renal Hizmetler: Bildirime göre şirket çalışanlarını hedef alan, telefonla yapılan bir oltalama (vishing) saldırısında saldırgan çalışanların kimlik bilgilerini ele geçirdi ve tek bir çalışan hesabı üzerinden şirketin Salesforce veritabanına ve Active Directory işlevi gören bir iç veri dosyasına erişti. İhlal 4 Ağustos’ta başladı, 6 Ekim’de tespit edildi. Etkilenen veriler ad, e-posta ve posta adresi gibi temel iş iletişim bilgileri. Etkilenen kişi sayısı ve grubu henüz belirlenemedi.

Belediye, üniversite ve vakıf

İzmir Büyükşehir Belediyesi: 30 Eylül’de bir kurumsal e-posta hesabından olağandışı miktarda e-posta gönderildiği fark edildi. Bildirime göre hesaba e-posta sunucusundaki bir açıkla değil, önceden ele geçirilmiş bir şifreyle girildi. Yetkisiz girilen hesaplardan ikisinin posta kutusu içeriği kurum dışına aktarıldı. Hesaplarda gelen iletileri silen kurallar tanımlandı, toplu istenmeyen e-posta gönderildi ve e-posta imzasına dolandırıcılık içerikli metin eklendi. Etkilenen veriler ad-soyad, e-posta adresi ve dahili telefon numarası. Etkilenen kişi sayısı tam olarak belirlenemedi.

Ondokuz Mayıs Üniversitesi: Üniversitenin kullandığı bir yazılımdaki açıktan yararlanılarak 109 kişinin kimlik, iletişim ve konum verileri ele geçirildi. İhlal, Ulusal Siber Olaylara Müdahale Merkezi USOM’dan gelen bildirimle 14 Ekim’de tespit edildi.

Enka Spor Eğitim ve Sosyal Yardım Vakfı: Vakfın sunucularına fidye yazılımı saldırısı yapıldı. Çalışanlar, öğrenciler, mezunlar ve çocuklar etkilendi. Etkilenen veriler arasında öğretmen, öğrenci ve mezunlara ait pasaport kopyalarındaki ad-soyad, doğum tarihi ve yeri, uyruk, pasaport numarası ve fotoğraflar ile sunucuda arşivlenmiş etkinlik fotoğrafları var. Saldırganın sisteme nasıl girdiğine ilişkin teknik inceleme sürüyor, etkilenen kişi sayısı henüz bilinmiyor.

Otel işletmeleri

Choice Hotels International: Saldırgan sosyal mühendislik yöntemiyle bir çalışanın ağ hesabına erişti. İhlal 5 Haziran’da başladı, aynı gün şirketin güvenlik izleme sistemleri tarafından fark edildi ve 6 Haziran’da sona erdi. Müşterilerin ad-soyad ve iletişim bilgileri ile bir kısmı için geçmiş otel konaklama ayrıntıları etkilendi. Etkilenen kişi sayısı 9.550.

MW Phokaia Beach & Resort (Akropol Turizm): Otelin bilgi işlem altyapısına ve kurumsal e-posta hesaplarına yönelik siber güvenlik olayları yaşandı. Yetkisiz erişim şüphesi olan hesaplarda çalışanlara, misafirlere ve iş ortaklarına ait kimlik, iletişim, rezervasyon ve konaklama bilgileri ile finansal veya işlem bilgileri bulunabileceği belirtiliyor. Olayın başlangıç ve bitiş tarihi, etkilenen hesaplar ve kişi sayısı için inceleme sürüyor.

Etkilenenler için öneriler

Bu kurumlardan birinin müşterisi, hastası ya da çalışanıysanız, kurumun sizinle iletişime geçmesini beklemeden alabileceğiniz önlemler var. Şifrelerin etkilendiği e-ticaret sitelerindeki şifrenizi değiştirin. Şifreler hash’lenmiş olarak saklansa bile zayıf ya da yaygın şifreler deneme yoluyla bulunabildiği için bu adım önemli. Aynı şifreyi başka sitelerde de kullanıyorsanız oralarda da değiştirin. Ad, telefon ve e-posta bilgileri sızdırılan kişiler, bu kurumların adını kullanan sahte e-posta, SMS ve aramalara karşı dikkatli olmalı. Bir bağlantıya tıklamanız, kart bilgisi girmeniz ya da bir kod paylaşmanız istenirse, kurumun resmi iletişim kanallarından doğrulayın. Dermojet, Karaköy Güllüoğlu ve Kurukahveci Mehmet Efendi bildirimlerinde ihlal hakkında bilgi alınabilecek iletişim kanallarını paylaştı, bu bilgiler KVKK’nın duyurularında yer alıyor.