Bu bölümdeki beş karar, saldırının şirkete ulaştığı kapıya odaklanıyor: çok faktörlü kimlik doğrulaması bulunmayan e-posta hesapları, tarayıcıya kaydedilmiş parolalar, sahte yönetici e-postaları ve kilitlenmemiş bir sunucu odası. Kurulun bu kararlardaki yaklaşımı, maliyeti düşük olan tedbirlerin eksikliğini ağırlaştırıcı bir unsur olarak değerlendirmesidir.
Bu yazı, Kişisel Verileri Koruma Kurulu’nun 10 Ağustos 2026 tarihinde yayımladığı 47 karar özetini bölüm bölüm inceleyen on yazılık serinin 2. bölümüdür. Serinin bütününe ilişkin genel değerlendirme için 47 kararın toplu değerlendirmesini inceleyebilirsiniz.
Her karar aynı düzende ele alınmaktadır: incelemeye konu olay, Kurulun değerlendirmesi, kararın neden önemli olduğu ve şirketler açısından pratik çıkarımlar. Yazının sonundaki “Vircon Legal değerlendirmesi” başlıkları, ceza tutarı dışındaki kısımlarıyla tarafımızca yapılan yorumu içerir; kararın kendi metninin bir parçası değildir.
Bu yazıda ele alınan kararlar
| Karar | Tarih | Konu | Sonuç |
|---|---|---|---|
| 2025/88 | 09.01.2025 | Tek Bir Çalışanın Tarayıcı Kaydının 500 Binden Fazla Kişiyi Etkilediği Bir İhlali Değerlendirdi | 1.000.000 TL |
| 2024/728 | 09.05.2024 | Sahte Yönetici E-postasıyla Veri Sızdırılmasında Geç Bildirimi Ayrıca Cezalandırdı | 1.000.000 TL |
| 2022/714 | 21.07.2022 | Çok Faktörlü Kimlik Doğrulama Eksikliğini BEC Saldırısının Nedeni Saydı | 200.000 TL |
| 2024/1523 | 10.09.2024 | Dijital Güvenlik Kadar Fiziksel Sunucu Erişiminin de Denetlenmesi Gerektiğini Vurguladı | 500.000 TL |
| 2023/412 | 21.03.2023 | İhlalin Altı Ay Sonra Fark Edilmesini Ayrı Bir Eksiklik Olarak Değerlendirdi | 350.000 TL |
Kurul, Tek Bir Çalışanın Tarayıcı Kaydının 500 Binden Fazla Kişiyi Etkilediği Bir İhlali Değerlendirdi
Karar no: 2025/88 · Karar tarihi: 09.01.2025 · Sonuç: 1.000.000 TL
Karara konu olay
Somut olayda, bir restoran zincirinin bilgi teknolojileri ekibinde görev yapan bir çalışanın bilgisayarına kötü amaçlı bir yazılım bulaşmış; bu yazılım, çalışanın internet tarayıcısında oturum açma kolaylığı için kayıtlı tuttuğu kullanıcı adı ve şifre bilgilerini ele geçirmiştir. Aynı tarayıcıda, çalışanın destek verdiği üçüncü taraf bir platformun oturum bilgileri de kayıtlı olduğundan, saldırganlar tek bir cihaz üzerinden hem şirketin kendi sistemlerine hem de bu üçüncü taraf platforma erişim sağlamıştır.
Bu tek noktadan başlayan erişim, kısa sürede kartopu etkisiyle büyümüş ve sonuçta 505.337 müşterinin ad-soyad, cinsiyet, e-posta, telefon ve şehir bilgisi etkilenmiştir. Şirket, etkilenen müşterilere bu ihlale ilişkin doğrudan bir bildirim yapmamıştır.
Kurul ne dedi?
Kurul, iki adımlı kimlik doğrulamanın (2FA) bulunmamasını, SIEM ve güvenlik duvarı gibi güvenlik sistemlerinin ihlalden ancak sonra tedarik edilmiş olmasını ve çalışan güvenlik eğitimlerine dair herhangi bir kanıt sunulamamasını temel eksiklikler olarak tespit etmiştir.
Ayrıca, etkilenen ilgili kişilere bildirim yapılmamış olması, 2019/271 sayılı Kurul kararına atıfla ayrı bir ihlal olarak değerlendirilmiştir.
Bu karar neden önemli?
Karar, tek bir çalışanın tarayıcısında saklanan bir parolanın, kurumsal ölçekte yüz binlerce kişiyi etkileyen bir ihlale nasıl dönüşebileceğini somut biçimde göstermesi bakımından ölçek etkisine dikkat çeken güçlü bir örnektir.
İlgili kişilere bildirim yükümlülüğünün dayanağı olarak 2019/271 sayılı karara atıf yapılması, 2019/10 sayılı karardan (72 saatlik Kurul bildirimi) ayrı bir referans noktası sunması bakımından ayrıca not edilmelidir.
Şirketler nelere dikkat etmeli?
- Kurumsal cihazlarda tarayıcı düzeyinde parola kaydının devre dışı bırakılması ve kurumsal parola yöneticisi kullanımının teşvik edilmesi önerilmektedir.
- İki adımlı kimlik doğrulamanın, özellikle üçüncü taraf sistemlere erişim sağlayan hesaplarda zorunlu kılınması önerilmektedir.
- Güvenlik eğitimlerinin düzenli olarak verilmesi ve katılımın belgelenmesi, olası bir incelemede önemli bir savunma unsuru oluşturabilir.
Vircon Legal değerlendirmesi
Güvenlik eksiklikleri için 800.000 TL, ilgili kişilere bildirim yapılmaması için ayrıca 200.000 TL olmak üzere toplam 1.000.000 TL (kanuni üst sınır) idari para cezası uygulanmıştır. Kararın ölçeği ve tarayıcı parola riskinin yaygınlığı dikkate alındığında, bu kararın sıkça referans gösterilecek bir emsal olacağı değerlendirilmektedir.
Kurul, Sahte Yönetici E-postasıyla Veri Sızdırılmasında Geç Bildirimi Ayrıca Cezalandırdı
Karar no: 2024/728 · Karar tarihi: 09.05.2024 · Sonuç: 1.000.000 TL
Karara konu olay
İnceleme konusu olayda, uluslararası bir muhasebe/finans meslek kuruluşunun sistemine yönelik bir CEO dolandırıcılığı saldırısı gerçekleşmiştir. Saldırganlar, kuruluşun başkanının kimliğine bürünerek hazırladıkları sahte bir e-postayı, kuruluş içindeki yetkili bir personele göndermiş; bu e-posta gerçek görünümü sayesinde personeli, 217 Türk üyeye ait ad-soyad, üyelik numarası ve e-posta bilgilerini içeren bir listeyi paylaşmaya ikna etmiştir. Bu şekilde liste saldırganların eline geçmiştir.
Kuruluş, olayı tespit ettikten sonra Kurula bildirimde bulunmuş; ancak yapılan incelemede bu bildirimin kanunda öngörülen 72 saatlik süre geçtikten sonra yapıldığı belirlenmiştir.
Kurul ne dedi?
Kurul, e-posta doğrulama kontrollerinin (sahte gönderen adreslerini engelleyen teknik önlemler) ihlalden önce güçlendirilmemiş olmasını ve risk analizi sürecinin yetersizliğini güvenlik yükümlülüğünün ihlali olarak değerlendirmiştir.
Ayrı bir başlık olarak, ihlalin kanunda öngörülen 72 saatlik süre içinde bildirilmediği tespit edilmiş; bu husus 2019/10 sayılı Kurul kararına atıfla ayrıca değerlendirilmiştir.
Bu karar neden önemli?
Karar, hem CEO dolandırıcılığı türü saldırılara karşı e-posta doğrulama kontrollerinin somut bir beklenti haline geldiğini hem de 72 saatlik bildirim süresinin (2019/10 sayılı kararla belirlenen) katı biçimde uygulandığını göstermesi bakımından iki ayrı öğretici unsur içermektedir.
Güvenlik eksikliği ile geç bildirimin ayrı kalemler olarak cezalandırılması, bu iki yükümlülüğün birbirinden bağımsız olarak değerlendirildiğini teyit etmektedir.
Şirketler nelere dikkat etmeli?
- Gönderen adresi doğrulama mekanizmalarının kurumsal e-posta sistemlerinde aktif olduğundan emin olunması önerilmektedir.
- Finans ve muhasebe ekiplerinin, üst yönetim kimliğine bürünen sahte talepler konusunda düzenli olarak bilgilendirilmesi önerilmektedir.
- İhlal bildirim sürecinin, 72 saatlik yasal süreye uyulmasını sağlayacak şekilde önceden tanımlanmış ve tatbik edilmiş olması gerekmektedir.
Vircon Legal değerlendirmesi
Güvenlik eksikliği için 750.000 TL, geç bildirim için ayrıca 250.000 TL olmak üzere toplam 1.000.000 TL (kanuni üst sınır) idari para cezası uygulanmıştır. 72 saatlik bildirim süresinin somut biçimde uygulandığı bu karar, ihlal müdahale planlarının yasal süreyi merkeze alacak şekilde tasarlanması gerektiğini göstermektedir.
Kurul, Çok Faktörlü Kimlik Doğrulama Eksikliğini BEC Saldırısının Nedeni Saydı
Karar no: 2022/714 · Karar tarihi: 21.07.2022 · Sonuç: 200.000 TL
Karara konu olay
İncelemeye konu olayda, bir tarımsal emtia ticareti şirketinde üst düzey bir yöneticinin e-posta hesabı, oltalama içerikli bir e-postaya tıklanması ve akabinde bilgisayara bulaşan bir tuş kaydedici yazılımı yoluyla ele geçirilmiştir. Saldırganlar, ele geçirdikleri bu hesabı kullanarak yaklaşık 1.000 kişiye, gerçek bir borç ilişkisi varmış izlenimi veren sahte borç bildirimi içerikli e-postalar göndermiştir. Bu saldırı türü, uygulamada “iş e-postası ele geçirme” veya “CEO dolandırıcılığı” olarak adlandırılmaktadır ve genellikle alıcıları ödeme yapmaya veya hassas bilgi paylaşmaya yönlendirmeyi amaçlamaktadır.
Şirket saldırıyı fark ettikten sonra durumu Kurula bildirmiş; yapılan incelemede saldırının tek bir yönetici hesabının ele geçirilmesiyle başladığı ve bu hesap üzerinden geniş bir alıcı kitlesine ulaşıldığı ortaya konmuştur.
Kurul ne dedi?
Kurul, çok faktörlü kimlik doğrulamanın (MFA) bulunmaması, parola politikasında aynı parolanın başka platformlarda kullanılmaması yönünde bir uyarı bulunmaması ve erişim/log kayıtlarının düzenli olarak takip edilmemesi gibi eksiklikleri güvenlik ihlalinin temel nedenleri olarak tespit etmiştir.
Bu karar neden önemli?
Karar, CEO dolandırıcılığı türü saldırılarda Kurulun MFA’yı ve parola hijyenini asgari beklenti haline getirdiğini göstermektedir. Bu saldırı türü tek bir çalışanın hesabı üzerinden geniş bir kişi kitlesine ulaşabildiğinden, önleyici tedbirlerin önemi özellikle vurgulanmaktadır.
Şirketler nelere dikkat etmeli?
- Özellikle finans ve üst yönetim e-posta hesaplarında çok faktörlü kimlik doğrulamanın zorunlu kılınması önerilmektedir.
- Parola politikalarının, aynı parolanın farklı platformlarda tekrar kullanılmaması yönünde açık bir uyarı içermesi gerekmektedir.
- Erişim ve oturum açma kayıtlarının düzenli olarak izlenmesi, anormal girişlerin erken tespiti açısından önerilmektedir.
Vircon Legal değerlendirmesi
200.000 TL idari para cezası uygulanmıştır. Kararın, BEC saldırılarına karşı alınması beklenen asgari teknik tedbirleri somutlaştırması bakımından finans ve muhasebe süreçleri e-posta üzerinden yürütülen tüm şirketler için değerli olduğu değerlendirilmektedir.
Kurul, Dijital Güvenlik Kadar Fiziksel Sunucu Erişiminin de Denetlenmesi Gerektiğini Vurguladı
Karar no: 2024/1523 · Karar tarihi: 10.09.2024 · Sonuç: 500.000 TL
Karara konu olay
İncelemeye konu olayda, bir otelcilik/turizm şirketinde bir personele ait bilgisayar, oltalama içerikli bir e-postanın açılması sonucunda saldırganların erişimine açılmıştır. Bu bilgisayar üzerinden 450 çalışana ait vardiya çizelgesi verisi etkilenmiştir.
Yapılan inceleme sonucunda, ihlalin ilgili personelin bilgisayarıyla sınırlı kaldığı; şirketin sunucu veya diğer otel sistemlerinde herhangi bir zafiyetin oluşmadığı ve internet trafiği incelendiğinde verilerin dışarıya çıkarılmadığı tespit edilmiştir. Bununla birlikte, şirket nezdinde yürütülen genel güvenlik denetiminde, bu olaydan bağımsız olarak başkaca teknik ve fiziksel eksiklikler de belirlenmiştir.
Kurul ne dedi?
Kurul, ihlalin kendisinin tek bir bilgisayarla sınırlı kalmış olmasına rağmen, şirket nezdinde yapılan genel değerlendirmede güncel olmayan sanal sunucu ve veritabanı sistemleri, zayıf parola kullanımı ve spam korumasının önemli ölçüde zafiyetli olması gibi eksiklikleri tespit etmiştir. Kararda ayrıca nadiren görülen bir tespite yer verilmiştir: sunucu odasına fiziksel erişimin kimlik doğrulaması veya erişim kontrolü olmaksızın mümkün olması.
Bu karar neden önemli?
Kararın öğretici yönü, dijital güvenlik tedbirlerinin yanı sıra fiziksel erişim güvenliğinin de Kurulun değerlendirme kapsamında olduğunu göstermesidir. Kendi sunucu altyapısını fiziksel olarak barındıran şirketler için bu tespit, güvenlik denetimlerinin yalnızca yazılımsal değil fiziksel katmanı da kapsaması gerektiğine işaret etmektedir.
Şirketler nelere dikkat etmeli?
- Sunucu ve veritabanı sistemlerinin güncel sürümlerde tutulması ve düzenli yama yönetiminin uygulanması gerekmektedir.
- Fiziksel sunucu odalarına erişimin, kimlik doğrulama veya erişim kartı gibi bir kontrol mekanizmasıyla sınırlandırılması önerilmektedir.
- Spam ve oltalama koruma sistemlerinin etkinliğinin düzenli olarak test edilmesi önerilmektedir.
Vircon Legal değerlendirmesi
500.000 TL idari para cezası uygulanmıştır. Kararın, fiziksel altyapı barındıran (kendi veri merkezi veya sunucu odası bulunan) şirketler için dijital tedbirlerin ötesinde bir kontrol listesi sunduğu değerlendirilmektedir.
Kurul, İhlalin Altı Ay Sonra Fark Edilmesini Ayrı Bir Eksiklik Olarak Değerlendirdi
Karar no: 2023/412 · Karar tarihi: 21.03.2023 · Sonuç: 350.000 TL
Karara konu olay
İncelemeye konu olayda, bir hosting firmasının müşterilerine sunduğu üçüncü taraf bir yönetim panelinde bulunan bir güvenlik açığı üzerinden veri sızıntısı gerçekleşmiştir. Saldırganlar bu açığı kullanarak sisteme erişim sağlamış; 31.179 kişinin kimlik, iletişim, müşteri işlem, finansal ve kredi kartı bilgisi ile şirket belgelerini ele geçirerek dark web üzerinde yayınlamıştır.
İhlal, şirketin kendi güvenlik izleme sistemleri tarafından değil, etkilenen bir müşterinin verilerinin karanlık ağda satışa sunulduğunu fark ederek şirketi bilgilendirmesi üzerine ve olaydan yaklaşık altı ay sonra tespit edilebilmiştir.
Kurul ne dedi?
Kurulun incelemesinde, ihlalin şirketin kendi güvenlik sistemleri tarafından değil, bir müşteri bildirimi üzerine ve olaydan altı ay sonra fark edildiği tespit edilmiştir. Saldırı tespit sisteminin bulunmaması, veri maskeleme uygulanmaması, veri minimizasyonu ilkesinin benimsenmemiş olması, iki adımlı kimlik doğrulamanın (2FA) kullanılmaması ve toplu veri indirmeyi engelleyecek bir kontrolün mevcut olmaması, kararın gerekçesinde ayrı ayrı sayılmıştır.
Bu karar neden önemli?
Kararın öne çıkan yönü, veri minimizasyonu ilkesinin (m.4 kapsamındaki genel ilkeler) güvenlik yükümlülüğü (m.12) ile birlikte değerlendirilmesidir; Kurul, gereğinden fazla veri tutulmasının güvenlik ihlalinin etkisini büyüttüğünü zımnen kabul etmiştir.
Ayrıca, bir ihlalin “kendiliğinden fark edilir” varsayımının test edilmesi gerektiğini göstermesi bakımından öğreticidir; saldırı tespit sistemi bulunmadığında ihlaller aylarca gözden kaçabilmektedir.
Şirketler nelere dikkat etmeli?
- Saldırı tespit ve izleme sistemlerinin kurulu ve aktif olduğundan emin olunması önerilmektedir.
- Kredi kartı bilgisi gibi hassas finansal verilerde maskeleme uygulamalarının hayata geçirilmesi gerekmektedir.
- Toplu veri indirme işlemlerini sınırlandıran veya uyaran teknik kontrollerin devreye alınması önerilmektedir.
- Tutulan veri kategorilerinin, işleme amacıyla orantılı olup olmadığının (veri minimizasyonu) periyodik olarak gözden geçirilmesi önerilmektedir.
Vircon Legal değerlendirmesi
350.000 TL idari para cezası uygulanmıştır. Kredi kartı verisi dahil çok sayıda veri kategorisinin etkilenmiş olması ve tespitin dışarıdan bir bildirimle gerçekleşmesi, kararı hem veri güvenliği hem de veri minimizasyonu açısından çok boyutlu bir örnek haline getirmektedir.
Serinin diğer bölümleri
- 1. bölüm — Fidye Yazılımı ve Yetkisiz Erişim: Kurul Hangi Teknik Tedbirleri Arıyor?
- 2. bölüm — Kimlik Doğrulama, E-posta ve Fiziksel Erişim: Beş Kararda Güvenlik Standardı (bu yazı)
- 3. bölüm — Hizmet Sağlayıcı Kaynaklı İhlaller: Sorumluluk Neden Veri Sorumlusunda Kalıyor?
- 4. bölüm — İhlal Bildirimi: 72 Saatlik Süre, Usul ve Şeffaflık Üzerine Beş Karar
- 5. bölüm — Açık Rıza Kararları: Pazarlama İzinleri, Onay Kutucukları ve Hizmet Şartı
- 6. bölüm — Açık Rıza Gerekmeyen Hâller ve Kanunun Kapsamı: Beş Karar
- 7. bölüm — İlgili Kişi Başvuruları ve Aydınlatma Yükümlülüğü: Beş Kararda Usul
- 8. bölüm — Ölçülülük Sınavı: Kamera, Ses, Biyometri, Çerez ve Maskeleme Kararları
- 9. bölüm — Kurul Ne Zaman İşlem Yapmıyor? Düşük Riskli Beş İhlal Kararı
- 10. bölüm — Kredi Kayıt Sektöründen İki Karar ve 47 Karar Özetinin Tam Dizini
Serinin çıkış noktası olan genel değerlendirme için: KVKK’nın yayımladığı 47 karar özeti — toplu değerlendirme. Bu yazının İngilizcesi: Authentication, Email and Physical Access: The Security Standard in Five Decisions.
Uyum programının bütünü için KVKK ve GDPR uyumu sayfamıza, yayımlandıkça işlediğimiz kararlar için KVKK Takip‘e göz atabilirsiniz.
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır ve hukuki görüş niteliği taşımaz. Somut bir olaya ilişkin değerlendirme için hukuki destek alınması önerilir.
Yazar
Bu konu masanızdaysa
Kurucu Akademisi'nde şablonlar ve kontrol listeleri ücretsiz; spesifik bir durum için 30 dakikalık ön görüşme planlayabilirsiniz.
Kurucu AkademisiGörüşme planlayın