Yemeksepetinde 21 milyon kişinin hesabı tehlike altında!
Kişisel Verileri Koruma Kurumu, Yemeksepeti'nin hecklenmesinden dolayı 21,5 milyon kullanıcının etkilendiği dile getirildi.
Türkiye'nin önce gelen online yemek sipariş platformlarının başında gelen Yemesepeti, 25 Mart 2021 tarihinde siber saldırı altında kaldığı ve platformda kayıtlı olan kullanıcıların bilgilerinin yer aldığı veri tabanının bir kısmının ele geçildiği dile getirildi. Şirket, ne taraz verilerin çalındığını da dile getirdi. Aynı zamanda tüm kullanıcılar mail yoluyla bu konu hakkında bilgilendirildi. Kişisel Veri Koruma Kurulu ise ilk somut adımını da duyurdu. Yaşanan bu gelişmelerin üzerine Kişisel Veri Koruma Kurulu, Yemeksepeti’nde yaşanan veri ihlaline ilişkin bir açıklama yayımladı.
Yemeksepeti veri ihlali nedeniyle incelendi
Kişisel Verileri Koruma Kurulunca (KVKK), Yemek Sepeti Elektronik İletişim Perakende Gıda Lojistik AŞ’ye yapılan ve 21 milyon 504 bin 83 kişinin etkilendiğini dile getiren siber saldırının ardından veri ihlali sebebiyle inceleme yapıldı.
KVKK’dan yapılan açıklama şu şekilde
Bilindiği üzere, 6698 sayılı Kişisel Verilerin Korunması Kanununun “Veri güvenliğine ilişkin yükümlülükler” başlıklı 12 nci maddesinin (5) numaralı fıkrası “İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.” hükmünü amirdir. Veri sorumlusu sıfatını haiz olan Yemek Sepeti Elektronik İletişim Perakende Gıda Lojistik A.Ş.tarafından Kuruma gönderilen kişisel veri ihlali bildiriminde özetle;
- 18.03.2021 tarihinde kimliği veri sorumlusunca belirlenemeyen şahıs ya da şahıslarca Yemek Sepetine ait bir web uygulama sunucusuna erişildiği,
- Normal şartlarda yetkisiz bir erişim olduğunda uyarı veren araç üzerinde sorun kaydı oluştuğu ancak bir aksaklık nedeniyle yetkisiz erişimin o an fark edilemediği,
- 25.03.2021 tarihinde gelen alarmlar incelendiğinde şüpheli bir davranışın tespit edildiği,
- Yemek Sepetine ait bir web uygulama sunucusu üzerinde bir açıklık bulunduğu, bu açıklıktan yararlanılarak, uygulama kurulduğu ve komut çalıştırılmak suretiyle sunucuya erişilebildiği,
- Saldırıyı yapanlar tarafından sunucu üzerinde kullanıcı oluşturularak veri toplanmaya çalışıldığı ve uzaktaki sunuculara trafik gönderildiği,
- İhlalden 21.504.083 kişinin etkilendiği,
- İhlalden etkilenen kişisel verilerin kısmi olarak veri sorumlusunca belirlendiği ve söz konusu verilerin kullanıcı adı, adres, telefon, e-posta, şifre, IP bilgileri olduğunun değerlendirildiği,
- Kredi kartı ya da finansal verilerin etkilenmediğinin belirtildiği, kredi kartı saklama hizmetinin veri sorumlusundan bağımsız Mastercard tarafından sağlandığı,
- İlgili kişilerin ihlal ile ilgili olarak info@yemeksepeti.com e-mail adresi üzerinden bilgi alabileceği, ifade edilmiştir.
Konuyla ilgili olarak incelemeler halen devam ediyor olsa da, Kişisel Verileri Koruma Kurulunun 29.03.2021 tarih ve 2021/321 sayılı Kararı ile söz konusu veri ihlali bildiriminin Kurumun internet sayfasında ilan edilmesine karar verilmiştir. Konuyla ilgili olarak elde edilen bilgiler şu an için bu kadar olup gelecek günlerde konu ile ilgili olarak daha detaylı bilgilerin elde edilmesi bekleniyor.