Bu bölümde ele alınan beş karar, sunuculara sızılması ve sistemlerin fidye yazılımıyla şifrelenmesiyle sonuçlanan olaylara ilişkindir. Kararların ortak paydası, ihlalin kendisinden çok ihlal öncesinde alınmayan tedbirlerin cezanın gerekçesini oluşturmasıdır: yapılmamış sızma testleri, kapatılmamış test bulguları, tahmin edilebilir parolalar ve tarayıcıya kaydedilmiş kimlik bilgileri.
Bu yazı, Kişisel Verileri Koruma Kurulu’nun 10 Ağustos 2026 tarihinde yayımladığı 47 karar özetini bölüm bölüm inceleyen on yazılık serinin 1. bölümüdür. Serinin bütününe ilişkin genel değerlendirme için 47 kararın toplu değerlendirmesini inceleyebilirsiniz.
Her karar aynı düzende ele alınmaktadır: incelemeye konu olay, Kurulun değerlendirmesi, kararın neden önemli olduğu ve şirketler açısından pratik çıkarımlar. Yazının sonundaki “Vircon Legal değerlendirmesi” başlıkları, ceza tutarı dışındaki kısımlarıyla tarafımızca yapılan yorumu içerir; kararın kendi metninin bir parçası değildir.
Bu yazıda ele alınan kararlar
| Karar | Tarih | Konu | Sonuç |
|---|---|---|---|
| 2024/1898 | 07.11.2024 | Jenerik ve Tahmin Edilebilir Şifrelerin Ransomware Saldırısındaki Rolünü Değerlendirdi | 350.000 TL |
| 2024/1899 | 07.11.2024 | Görece Hafif Veri Kategorisine Rağmen Sistemik Zafiyet Nedeniyle Yüksek Ceza Uyguladı | 700.000 TL |
| 2023/1017 | 08.06.2023 | Hiç Yaptırılmamış Sızma Testini Kararın Belirleyici Unsuru Olarak Değerlendirdi | 1.500.000 TL |
| 2022/1375 | 23.12.2022 | Kapatılmamış Sızma Testi Bulgularını Ağırlaştırıcı Unsur Saydı | 1.000.000 TL |
| 2024/133 | 25.01.2024 | Maliyetsiz Güvenlik Tedbirlerinin Eksikliğinin de Yüksek Cezaya Yol Açabileceğini Gösterdi | 250.000 TL |
Kurul, Jenerik ve Tahmin Edilebilir Şifrelerin Ransomware Saldırısındaki Rolünü Değerlendirdi
Karar no: 2024/1898 · Karar tarihi: 07.11.2024 · Sonuç: 350.000 TL
Karara konu olay
İncelemeye konu olayda, bir ilaç ve sağlık ürünleri şirketinin sunucularına sızılmış ve sunucular bir fidye yazılımı ile şifrelenerek erişilemez hale getirilmiştir. Saldırganların şirketin sistemine ilk olarak hangi yöntemle sızdığı kesin biçimde tespit edilememiş; olası erişim yöntemleri arasında uzak masaüstü protokolüne (RDP) yönelik bir kaba kuvvet (brute-force) saldırısı veya veritabanı sunucusuna yönelik parola deneme saldırısı değerlendirilmiştir.
Olaydan 520 kişi etkilenmiştir; bunların 196’sı mevcut çalışan, 303’ü eski çalışan, 17’si ise müşteri veya iş ortağı statüsündedir. Etkilenen veriler arasında kimlik, iletişim, özlük ve müşteri işlem bilgileri yer almaktadır. Şirketin siber olay sonrası yaptırdığı adli bilişim incelemesinde, bazı platform hesaplarına ait şifrelerin isim, şehir ve yıl gibi kolayca tahmin edilebilir unsurlardan oluştuğu ortaya çıkmıştır.
Kurul ne dedi?
Kurul, Siber Olay Müdahale Raporunda önerilen ağ güvenliği, sunucu güvenliği, kullanıcı güvenliği ve test/denetim tedbirlerinin yeterince uygulanmadığını tespit etmiştir. İlk erişim yönteminin kesin olarak belirlenememesi (RDP kaba kuvvet saldırısı veya veritabanı parola denemesi ihtimalleri), kişisel veri güvenliği takibindeki genel özensizliğin bir göstergesi olarak değerlendirilmiştir.
Bu karar neden önemli?
Karar, zayıf/jenerik parola kullanımının somut örneklerle (isim+şehir+yıl) ortaya konması bakımından öğreticidir; ayrıca bir ihlal sonrası hazırlanan teknik raporun önerilerinin fiilen uygulanıp uygulanmadığının da Kurul denetiminin bir parçası olduğunu göstermektedir.
Şirketler nelere dikkat etmeli?
- Parola politikalarının, isim, şehir veya yıl gibi tahmin edilebilir kalıpları engelleyecek karmaşıklık kurallarını içermesi gerekmektedir.
- Bir siber olay sonrası hazırlanan teknik/adli inceleme raporlarındaki önerilerin, yalnızca raporlanmakla kalmayıp fiilen uygulandığının belgelenmesi önerilmektedir.
- RDP (uzak masaüstü) gibi uzaktan erişim protokollerinin, kaba kuvvet saldırılarına karşı ek koruma (IP kısıtlama, MFA) ile desteklenmesi önerilmektedir.
Vircon Legal değerlendirmesi
350.000 TL idari para cezası uygulanmıştır. Kararın, sağlık ve ilaç sektöründeki veri sorumluları için hem parola hijyeni hem de olay sonrası rapor takibi açısından somut bir kontrol listesi sunduğu değerlendirilmektedir.
Kurul, Görece Hafif Veri Kategorisine Rağmen Sistemik Zafiyet Nedeniyle Yüksek Ceza Uyguladı
Karar no: 2024/1899 · Karar tarihi: 07.11.2024 · Sonuç: 700.000 TL
Karara konu olay
Somut olayda, Avrupa’daki grup şirketlerine kurumsal destek hizmeti veren bir şirketin pazarlama amaçlı kullanılan bir hesabı ele geçirilmiştir; yapılan incelemede bu hesaba, güvenlik açısından şüpheli olarak kara listeye alınmış bir IP adresi üzerinden erişildiği tespit edilmiştir. Saldırganlar bu erişimi kullanarak, şirketin “herkese açık” olarak yanlış yapılandırılmış bazı dosya klasörlerine ve ayrıca bir FTP sunucusuna da yetkisiz erişim sağlamıştır.
Olaydan 70.000 kişi etkilenmiş olup etkilenen veriler ad-soyad, e-posta, iletişim ve adres bilgileriyle sınırlı kalmıştır; özel nitelikli veri veya kredi kartı bilgisi etkilenmemiştir. İhlalin ne zaman başladığı ise şirketin log kayıtlarındaki yetersizlik nedeniyle tam olarak tespit edilememiştir.
Kurul ne dedi?
Kurul, etkilenen veri kategorisinin görece hafif olmasına rağmen, sistemik zafiyetlerin (herkese açık yapılandırılmış klasörler, kara listeye alınmış bir IP’den erişimin engellenememesi) ve ihlalin başlangıç tarihinin tespit edilememiş olmasının ceza tutarını yükselttiğini belirtmiştir. Kurul ayrıca, log saklama süresinin ihlalden sonra 90 günden 1 yıla çıkarılmış olmasını ağırlaştırıcı bir unsur olarak değerlendirmiştir; zira bu, ihlal öncesindeki log saklama süresinin yetersiz olduğunu dolaylı biçimde ortaya koymaktadır.
Bu karar neden önemli?
Karar, veri kategorisinin “hafif” olmasının tek başına düşük ceza garantisi anlamına gelmediğini; sistemik zafiyetlerin ve tespit/izleme yetersizliklerinin ceza tutarını belirleyici biçimde etkilediğini göstermektedir. Log saklama süresinin somut olarak (90 gün → 1 yıl) tartışılması, nadiren rastlanan ve doğrudan uygulanabilir bir teknik detaydır.
Şirketler nelere dikkat etmeli?
- Bulut depolama ve dosya paylaşım sistemlerinde “herkese açık” yapılandırmaların düzenli olarak taranması ve gereksiz açık erişimlerin kapatılması önerilmektedir.
- Log kayıtlarının asgari bir yıl saklanması, ihlal sonrası adli analiz açısından önerilmektedir; bu sürenin ihlal öncesinde belgelenmiş olması gerekmektedir.
- Kara listeye alınmış IP adreslerinden gelen erişimleri engelleyen bir tehdit istihbaratı/güvenlik duvarı mekanizmasının bulunması önerilmektedir.
Vircon Legal değerlendirmesi
700.000 TL idari para cezası uygulanmıştır. Kararın, veri kategorisi hafif görünse dahi sistemik ve tekrarlayan yapılandırma hatalarının (herkese açık klasör gibi, bkz. 2022/711, 2023/1796) yüksek cezaya yol açabileceğini göstermesi bakımından önemli olduğu değerlendirilmektedir.
Kurul, Hiç Yaptırılmamış Sızma Testini Kararın Belirleyici Unsuru Olarak Değerlendirdi
Karar no: 2023/1017 · Karar tarihi: 08.06.2023 · Sonuç: 1.500.000 TL
Karara konu olay
Somut olayda, küresel ölçekte faaliyet gösteren ve dünya genelinde 69 milyonun üzerinde kullanıcı tabanına sahip bir dijital oyun ve eğlence platformu, aynı güvenlik açığından kaynaklanan bir siber saldırıya iki ayrı seferde maruz kalmıştır. Saldırı, platformun kendi güvenlik sistemleri tarafından tespit edilmemiş; bir forum sitesinde saldırganlar tarafından yapılan bir paylaşım sayesinde öğrenilmiştir.
Saldırıdan Türkiye’den 90.182 kişi etkilenmiş olup etkilenen kullanıcılar arasında çocuklar da bulunmaktadır. Aynı güvenlik açığının ikinci kez istismar edilmiş olması, platformun ilk saldırıdan sonra açığı kapatmadığını veya kapatma girişiminin yetersiz kaldığını ortaya koymaktadır.
Kurul ne dedi?
Kurulun değerlendirmesinde belirleyici unsur, şirketin bugüne kadar hiç sızma testi yaptırmamış olmasıdır. Buna ek olarak güvenlik izleme ve kayıt (log) takibinin yapılmadığı, yama yönetiminin ihlalden sonra başlatıldığı ve aynı açığın ikinci kez istismar edilmesine izin verildiği tespit edilmiştir.
Çocuklara ait verilerin de etkilenen kapsamda yer alması, Kurulun risk değerlendirmesini ağırlaştıran ayrı bir unsur olarak dikkate alınmıştır.
Bu karar neden önemli?
Bu karar, incelenen 47 karar arasındaki en yüksek tekil idari para cezasına konu olması bakımından öne çıkmaktadır. Sızma testinin hiç yaptırılmamış olmasının tek başına belirleyici bir ağırlaştırıcı unsur olarak nitelendirilmesi, sızma testini periyodik bir uyum yükümlülüğü haline getirmektedir.
Aynı açığın ikinci kez istismar edilmesi, önceki olaydan ders çıkarılmadığının somut göstergesi olarak değerlendirilmiş ve bu tekrar, cezanın büyüklüğünde belirleyici olmuştur.
Şirketler nelere dikkat etmeli?
- Sızma testinin şirketin ölçeğinden bağımsız olarak, düzenli bir periyotla (asgari yılda bir) yaptırılması ve sonuçlarının belgelenmesi önerilmektedir.
- Güvenlik izleme ve log takip sistemlerinin ihlal sonrasında değil, önleyici olarak önceden kurulmuş olması gerekmektedir.
- Bir güvenlik açığının kapatıldığının, benzer bir saldırının tekrarlanmadığının doğrulanmasıyla teyit edilmesi önerilmektedir.
Vircon Legal değerlendirmesi
1.500.000 TL idari para cezası uygulanmıştır. Kararın büyüklüğü ve çocuklara ait veri etkisi dikkate alındığında, bu kararın özellikle uluslararası ölçekte faaliyet gösteren platformlar için sıkça referans gösterileceği değerlendirilmektedir.
Kurul, Kapatılmamış Sızma Testi Bulgularını Ağırlaştırıcı Unsur Saydı
Karar no: 2022/1375 · Karar tarihi: 23.12.2022 · Sonuç: 1.000.000 TL
Karara konu olay
İncelemeye konu olayda, bir sanayi şirketinin bilgi sistemlerine yönelik bir fidye yazılımı saldırısı gerçekleştirilmiş; saldırganlar sistemlere sızarak veri tabanlarını şifrelemiş ve verilerin karşılığında fidye talep etmiştir. Saldırıdan 4.885 kişi etkilenmiş olup etkilenen veri kategorileri arasında kimlik bilgisi, adres, IBAN, telefon numarası, fotoğraf, pasaport bilgisi ve kan grubu gibi hem genel hem de hassas nitelikte veriler yer almaktadır.
Şirket, ihlali Kurula bildirmiş; ancak yapılan inceleme sırasında bildirimin kanunda öngörülen süre aşılarak, olaydan 23 gün sonra (20 günlük bir gecikmeyle) yapıldığı ortaya çıkmıştır.
Kurul ne dedi?
Kurul incelemesinde, zayıf parola politikası, ağ segmentasyonu eksikliği, yama yönetiminin düzenli yapılmaması, hatalı ağ yapılandırması ve kaba kuvvet saldırılarına karşı koruma bulunmaması gibi çok sayıda teknik ve idari tedbir eksikliği tespit edilmiştir. Bunlara ek olarak, şirketin daha önce yaptırdığı bir sızma testinde belirlenen açıkların kapatılmamış olduğu görülmüştür.
Kurul ayrıca, ihlalin kanunda öngörülen süre aşılarak (20 günlük gecikmeyle, toplam 23 günde) bildirilmiş olmasını ayrı bir ihlal olarak değerlendirmiştir.
Bu karar neden önemli?
Bu karar, Kurulun bir veri sorumlusundan beklediği teknik ve idari tedbirler kataloğunu en ayrıntılı şekilde ortaya koyan kararlardan biridir; gerekçede Kişisel Veri Güvenliği Rehberi’ne madde madde atıf yapılması, kararı uygulamada doğrudan bir kontrol listesi olarak kullanılabilir kılmaktadır.
Ayrıca, sızma testi yaptırmış olmanın tek başına yeterli olmadığı, testte tespit edilen açıkların fiilen kapatılmasının da beklendiği açıkça ortaya konmuştur.
Şirketler nelere dikkat etmeli?
- Sızma testi sonuçlarının yalnızca raporlanması değil, tespit edilen açıkların kapatıldığının ayrıca belgelenmesi gerekmektedir.
- Parola politikası, ağ segmentasyonu, yama yönetimi ve kaba kuvvet saldırılarına karşı koruma gibi temel tedbirlerin periyodik olarak denetlenmesi önerilmektedir.
- İhlal bildirimlerinin kanunda öngörülen süre (72 saat) içinde yapılabilmesi için önceden tanımlanmış bir iç süreç bulunmalıdır.
Vircon Legal değerlendirmesi
Güvenlik eksiklikleri nedeniyle 800.000 TL, bildirim gecikmesi nedeniyle ayrıca 200.000 TL olmak üzere toplam 1.000.000 TL (kanuni üst sınır) idari para cezası uygulanmıştır. Kararın hem tedbir kataloğu hem de bildirim süresi disiplini açısından çok yönlü bir referans niteliği taşıdığı değerlendirilmektedir.
Kurul, Maliyetsiz Güvenlik Tedbirlerinin Eksikliğinin de Yüksek Cezaya Yol Açabileceğini Gösterdi
Karar no: 2024/133 · Karar tarihi: 25.01.2024 · Sonuç: 250.000 TL
Karara konu olay
Başvuruya konu olayda, bir yemek siparişi ve kurye teslimat platformu, birden fazla unsuru içeren bileşik bir siber saldırıya maruz kalmıştır: saldırganlar önce bir DDoS (dağıtık hizmet reddi) saldırısı düzenlemiş, ardından platformun veri tabanına erişerek verileri silmiş ve şirketten fidye talep etmiştir. Saldırıdan 1.362 kullanıcının kimlik, iletişim ve adres bilgisi etkilenmiştir.
Yapılan teknik incelemede saldırının karmaşık bir yöntemle değil, temel düzeyde güvenlik açıklarının istismar edilmesiyle gerçekleştirildiği ortaya çıkmıştır.
Kurul ne dedi?
Kurulun tespit ettiği eksiklikler arasında, yönetim paneli şifresinin tarayıcıya kaydedilmiş olması ve phpMyAdmin erişiminin IP kısıtlaması olmaksızın herkese açık bırakılması yer almaktadır.
Kurul kararında özellikle, güvenlik tedbirlerinin her zaman yüksek maliyet gerektirmediğini; tarayıcıda şifre saklamama veya erişimi IP ile sınırlama gibi ücretsiz düzenlemelerin dahi temel bir güvenlik hijyeni oluşturduğunu vurgulamıştır.
Bu karar neden önemli?
Bu karar, küçük ve orta ölçekli veri sorumluları için özellikle öğreticidir: Kurul, “kaynak kısıtı” savunmasının temel güvenlik hijyeninin ihmaline gerekçe teşkil etmediğini açıkça ortaya koymuştur. Ceza tutarının, şirketin büyüklüğüne göre görece yüksek kalması bu mesajı güçlendirmektedir.
Şirketler nelere dikkat etmeli?
- Yönetim panellerine ve veritabanı yönetim arayüzlerine (phpMyAdmin ve benzerleri) erişimin IP kısıtlaması veya VPN ile sınırlandırılması önerilmektedir.
- Kurumsal hesap bilgilerinin tarayıcıya kaydedilmemesi yönünde çalışanlara yönelik bir politika oluşturulması ve teknik olarak da bu ayarın kısıtlanması önerilmektedir.
- Bu tür düşük maliyetli tedbirlerin uygulanıp uygulanmadığının, bütçe büyüklüğünden bağımsız olarak asgari bir kontrol listesiyle düzenli denetlenmesi önerilmektedir.
Vircon Legal değerlendirmesi
250.000 TL idari para cezası uygulanmıştır. Kararın, kaynak kısıtı bulunan KOBİ ölçekli veri sorumluları için doğrudan uygulanabilir ve düşük maliyetli bir uyum kontrol listesi niteliği taşıdığı değerlendirilmektedir.
Serinin diğer bölümleri
- 1. bölüm — Fidye Yazılımı ve Yetkisiz Erişim: Kurul Hangi Teknik Tedbirleri Arıyor? (bu yazı)
- 2. bölüm — Kimlik Doğrulama, E-posta ve Fiziksel Erişim: Beş Kararda Güvenlik Standardı
- 3. bölüm — Hizmet Sağlayıcı Kaynaklı İhlaller: Sorumluluk Neden Veri Sorumlusunda Kalıyor?
- 4. bölüm — İhlal Bildirimi: 72 Saatlik Süre, Usul ve Şeffaflık Üzerine Beş Karar
- 5. bölüm — Açık Rıza Kararları: Pazarlama İzinleri, Onay Kutucukları ve Hizmet Şartı
- 6. bölüm — Açık Rıza Gerekmeyen Hâller ve Kanunun Kapsamı: Beş Karar
- 7. bölüm — İlgili Kişi Başvuruları ve Aydınlatma Yükümlülüğü: Beş Kararda Usul
- 8. bölüm — Ölçülülük Sınavı: Kamera, Ses, Biyometri, Çerez ve Maskeleme Kararları
- 9. bölüm — Kurul Ne Zaman İşlem Yapmıyor? Düşük Riskli Beş İhlal Kararı
- 10. bölüm — Kredi Kayıt Sektöründen İki Karar ve 47 Karar Özetinin Tam Dizini
Serinin çıkış noktası olan genel değerlendirme için: KVKK’nın yayımladığı 47 karar özeti — toplu değerlendirme. Bu yazının İngilizcesi: Ransomware and Unauthorised Access: Which Technical Measures Does the Board Expect?.
Uyum programının bütünü için KVKK ve GDPR uyumu sayfamıza, yayımlandıkça işlediğimiz kararlar için KVKK Takip‘e göz atabilirsiniz.
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır ve hukuki görüş niteliği taşımaz. Somut bir olaya ilişkin değerlendirme için hukuki destek alınması önerilir.
Yazar
Bu konu masanızdaysa
Kurucu Akademisi'nde şablonlar ve kontrol listeleri ücretsiz; spesifik bir durum için 30 dakikalık ön görüşme planlayabilirsiniz.
Kurucu AkademisiGörüşme planlayın