KVKK Kurulu, plastik ev gereçleri ve temizlik ürünleri üreten veri sorumlusuna yönelik fidye yazılımı saldırısını inceledi. Çalışan verilerinin etkilendiği olayda 250.000 TL idari para cezasına karar verildi.
Kişisel Verileri Koruma Kurulunun 26/12/2024 tarihli ve 2024/2196 sayılı karar özetine göre, plastik ev gereçleri ve temizlik ürünleri üreten bir veri sorumlusunun sistemlerine fidye yazılımı saldırısı düzenlendi. Karar özeti 10 Ağustos 2026 tarihinde yayımlandı.
Saldırıda şirket verilerinin bir bölümü şifrelendi ve fidye talep edildi. Kurul incelemesinde, çalışanlara ait çeşitli kişisel verilerin etkilendiği değerlendirilerek veri sorumlusuna 250.000 TL idari para cezası uygulanmasına karar verildi.
Saldırıda şirket verileri şifrelendi
Kaynakta yer alan bilgilere göre saldırganlar, veri sorumlusunun sistemlerindeki verileri şifreledi ve sunucu ile bilgisayar masaüstlerine not bıraktı. Şifrelenen verilerin yedekten geri dönülmesinin ardından sunucular yeniden çalışır duruma getirildi.
Saldırganların verileri elde ettiklerini veya kopyaladıklarını ileri sürdüğü, veri sorumlusunun ise bu konuda farklı beyanlarda bulunduğu aktarıldı. Saldırıyla ilgili olarak adli makamlara suç duyurusunda bulunuldu. Olaydan veri sorumlusu dahil 9 şirketin verilerinin etkilendiği belirtildi.
Çalışan verileriyle ilgili çelişkili beyanlar incelendi
Veri sorumlusunun Kuruma ilettiği bildirim ve sonraki yazılarda, ihlalden etkilenen kişiler ile kişisel verilerin kapsamı konusunda farklı açıklamalar yer aldı. Kurula sunulan belgeler incelendiğinde, 388 çalışana ait çok sayıda kişisel veri kategorisinin bulunduğu görüldü.
Etkilenen veriler arasında çalışanlara ait maaş, banka hesap, bordro, çalışma, kimlik, erişim ve pasaport bilgileri sayıldı. Veri sorumlusu müşterilere ait verilerin ticari veri niteliğinde olduğunu ve kişisel veri içermediğini bildirse de bu değerlendirmeyi destekleyen bazı dokümanları Kurula sunamadı.
Kurul ayrıca veri sorumlusunun Kişisel Veri İşleme Envanteri örneğini sunmadığını, ihlal öncesinde uygulandığı belirtilen teknik ve idari tedbirlerin bir bölümü için de tevsik edici belge sağlanamadığını kaydetti.
Teknik ve idari tedbirler yetersiz bulundu
Karar özetinde, ihlal öncesinde özel nitelikli kişisel veriler için güvenli şifreleme ve kriptografik anahtar kullanımının uygulanmadığı, işletme dışından erişimlerde iki faktörlü doğrulamanın ise saldırıdan sonra devreye alındığı belirtildi.
Güvenlik açığı testinde olumsuz bulgu bulunmamasına rağmen sisteme erişilmesi, verilerin çıkarılabilmesi ve sistemin şifrelenerek kullanılamaz hâle getirilmesi; testin kapsamı ve uygulama özeni bakımından eksiklik olarak değerlendirildi. Ayrıca ağ segmentasyonunun uygun yapılmamasının saldırının 9 şirketi etkilemesine neden olduğu belirtildi.
Kurul, bu tespitler doğrultusunda 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12 nci maddesinin (1) numaralı fıkrası kapsamındaki veri güvenliği yükümlülüklerinin yerine getirilmediğine karar verdi. Kanunun 18 inci maddesinin (1) numaralı fıkrasının (b) bendi uyarınca 250.000 TL idari para cezası uygulandı.
Kaynak
KVKK — Kurul Karar Özetleri — 10 Ağustos 2026
Yapay zeka dönüşümünüz için uzman görüşü alın
Bu gelişmelerin kurumunuza etkisini birlikte değerlendirelim.
Görüşme Planlayın
