Veri İhlalini Saldırganın İlanından Öğrenmek

Kişisel Verileri Koruma Kurulu’nun 8 Haziran 2023 tarihli ve 2023/1017 sayılı kararı, ihlalin nasıl öğrenildiğinin yaptırım açısından belirleyici olabileceğini gösteriyor.

Dijital oyun ve eğlence platformu işleten veri sorumlusu, siber saldırıyı kendi ekipleriyle değil, saldırganın forumda kaynak kodu ve veri tabanını satışa çıkardığını duyurması üzerine fark etti. Türkiye’de 90.182 kişi etkilendi; Kurul 1.500.000 TL idari para cezası uyguladı. İhlal on beş ülkenin veri koruma otoritesine de bildirildi.

Yaptırıma esas alınan husus ihlalin kendisi değil, öğrenilme biçimiydi: sızma testi yapılmamıştı, aynı açık ikinci kez kullanılmıştı, yama politikası ancak ihlalden sonra devreye alınmıştı. Olağandışı hareketliliği fark edemeyen bir yapı, log ve izleme yükümlülüğünün yerine getirilmediğinin karinesi olarak okundu.

Kararın pratik hatırlatması net: log kayıtları, düzenli sızma testleri ve yürürlükteki bir yama politikası, ihlal anında Kurul’a sunulabilecek en güçlü belgelerdir. Değerlendirmemizi bilgi notunda derledik.