Kişisel Verileri Koruma Kurulu Tarafından Birçok Büyük Şirketin Etkilendiği Veri İhlali Bildirimi Duyurusu Yayımlandı

Kişisel Verileri Koruma Kurulu (“KVK Kurulu” tarafından 10.08.2023 tarihinde , Vodatech Bilişim Proje Danışmanlık Sanayi ve Dış Ticaret AŞ (Vodatech) sunucularına yapılan siber saldırı sonucu depolama aygıtlarında bulunan verilerin şifrelenmek suretiyle erişilemez duruma gelmesiyle bu şirketten hizme alması nedeniyle etkilenen  Gulf Sigorta A.Ş., YOYO Bilgi Teknolojileri ve Turizm Ticaret A.Ş., Oto Plan Operasyonel Taşıt Kiralama Ticaret A.Ş., Derimod Deri Konfeksiyon Pazarlama Sanayi ve Ticaret A.Ş., AgeSA Hayat ve Emeklilik A.Ş., UPS Hızlı Kargo Taşımacılığı A.Ş., hakkında  ve harici olarak Diler Holding A.Ş. ve Grup Şirketleri veri ihlali bildirimine ilişkin kamuoyu duyurusu yayımladı.

1.Gulf Sigorta A.Ş.

Veri sorumlusu sıfatını haiz Gulf Sigorta A.Ş. tarafından Kurula iletilen veri ihlal bildiriminde özetle;

  • İhlalin Vodatech Bilişim Proje Danışmanlık Sanayi ve Dış Ticaret AŞ (Vodatech) sunucularına yapılan siber saldırı sonucu depolama aygıtlarında bulunan verilerin şifrelenmek suretiyle erişilemez duruma gelmesiyle gerçekleştiği,
  • İhlalin 31.07.2023 tarihinde meydana geldiği ve aynı tarihte tespit edildiği,
  • İhlalden etkilenen ilgili kişi grubunun çalışanlar ve müşteriler olduğu,
  • İhlalden etkilenen verilerin; kimlik (ad soyad), iletişim (e-mail, telefon numarası), görsel ve işitsel kayıt (ses, e-mail yazışmaları) verileri olduğu,
  • İhlalden 295.288 kişinin etkilendiği

bilgilerine yer verilmiştir.

Konuya ilişkin inceleme devam etmekle birlikte, Kişisel Verileri Koruma Kurulunun 03.08.2023 tarih ve 2023/1384 sayılı Kararı ile söz konusu veri ihlal bildiriminin Kurumun internet sitesinde ilan edilmesine karar verilmiştir.

2.YOYO Bilgi Teknolojileri ve Turizm Ticaret A.Ş.

Veri sorumlusu sıfatını haiz YOYO Bilgi Teknolojileri ve Turizm Ticaret A.Ş. tarafından Kurula iletilen veri ihlal bildiriminde özetle;

  • İhlalin Vodatech Bilişim Proje Danışmanlık Sanayi ve Dış Ticaret A.Ş. (Vodatech) sunucularına yapılan siber saldırı sonucu depolama aygıtlarında bulunan verilerin şifrelenmek suretiyle erişilemez duruma gelmesiyle gerçekleştiği,
  • İhlalin 03.08.2023 tarihinde meydana geldiği ve 03.08.2023 tarihinde tespit edildiği,
  • İhlalden etkilenen ilgili kişi grubunun müşteriler olduğu,
  • İhlalden 5.464 kişinin etkilendiği,
  • İhlalden etkilenen kişisel verilerin; kimlik (ad soyad), iletişim (telefon numarası), müşteri işlem, görsel ve işitsel kayıtlar olduğu,
  • İlgili kişilerin veri ihlali ile ilgili olarak veri sorumlusunun merhaba@driveyoyo.com adresinden ve www.driveyoyo.com internet sitesinden bilgi sağlayabilecekleri

bilgilerine yer verilmiştir.

Konuya ilişkin inceleme devam etmekle birlikte, Kişisel Verileri Koruma Kurulunun 10.08.2023 tarih ve 2023/1386 sayılı Kararı ile söz konusu veri ihlal bildiriminin Kurumun internet sitesinde ilan edilmesine karar verilmiştir.

3. Oto Plan Operasyonel Taşıt Kiralama Ticaret A.Ş. 

Veri sorumlusu sıfatını haiz Oto Plan Operasyonel Taşıt Kiralama Ticaret A.Ş. tarafından Kurula iletilen veri ihlal bildiriminde özetle;

  • İhlalin Vodatech Bilişim Proje Danışmanlık Sanayi ve Dış Ticaret A.Ş. (Vodatech) sunucularına yapılan siber saldırı sonucu depolama aygıtlarında bulunan verilerin şifrelenmek suretiyle erişilemez duruma gelmesiyle gerçekleştiği,
  • İhlalin 03.08.2023 tarihinde meydana geldiği ve 03.08.2023 tarihinde tespit edildiği,
  • İhlalden etkilenen ilgili kişi grubunun müşteriler olduğu,
  • İhlalden etkilenen kişi sayısının 1.236 olduğu,
  • İhlalden etkilenen verilerin; kimlik (ad soyad), iletişim (telefon numarası), müşteri işlem, görsel ve işitsel kayıt verileri olduğu,
  • İlgili kişilerin veri ihlali ile ilgili olarak veri sorumlusunun info@otoplan.com.tr adresinden ve www.otoplan.com.tr internet sitesinden bilgi sağlayabilecekleri

bilgilerine yer verilmiştir.

Konuya ilişkin inceleme devam etmekle birlikte, Kişisel Verileri Koruma Kurulunun 10.08.2023 tarih ve 2023/1385 sayılı Kararı ile söz konusu veri ihlal bildiriminin Kurumun internet sitesinde ilan edilmesine karar verilmiştir.

4. Derimod Deri Konfeksiyon Pazarlama Sanayi ve Ticaret A.Ş.

Veri sorumlusu sıfatını haiz Derimod Deri Konfeksiyon Pazarlama Sanayi ve Ticaret AŞ tarafından Kurula iletilen veri ihlal bildiriminde özetle;

  • İhlalin, Vodatech Bilişim Proje Danışmanlık Sanayi ve Dış Ticaret A.Ş. (Vodatech) sunucularına yapılan siber saldırı sonucu depolama aygıtlarında bulunan verilerin şifrelenmek suretiyle erişilemez duruma gelmesiyle gerçekleştiği,
  • İhlalin 25.07.2023 tarihinde meydana geldiği ve 31.07.2023 tarihinde tespit edildiği,
  • İhlalden etkilenen ilgili kişi grubunun müşteriler olduğu,
  • İhlalden etkilenen verilerin; kimlik, iletişim, müşteri işlem, görsel ve işitsel kayıt verileri olduğu,
  • İhlalden etkilenen kişi ve kayıt sayısının henüz belirlenemediği,
  • İlgili kişilerin veri ihlali ile ilgili olarak veri sorumlusunun kvkk@derimod.com.tr adresinden ve 0850 288 42 88 numaralı hattan bilgi sağlayabilecekleri

bilgilerine yer verilmiştir.

Konuya ilişkin inceleme devam etmekle birlikte, Kişisel Verileri Koruma Kurulunun 03.08.2023 tarih ve 2023/1383 sayılı Kararı ile söz konusu veri ihlal bildiriminin Kurumun internet sitesinde ilan edilmesine karar verilmiştir.

5. AgeSA Hayat ve Emeklilik A.Ş.

Veri sorumlusu sıfatını haiz AgeSA Hayat ve Emeklilik A.Ş. tarafından Kurula iletilen veri ihlal bildiriminde özetle;

  • İhlalin Vodatech Bilişim Proje Danışmanlık Sanayi ve Dış Ticaret A.Ş. (Vodatech) sunucularına yapılan siber saldırı sonucu depolama aygıtlarında bulunan verilerin şifrelenmek suretiyle erişilemez duruma gelmesiyle gerçekleştiği,
  • İhlalin 25.07.2023 tarihinde meydana geldiği ve 31.07.2023 tarihinde tespit edildiği,
  • İhlalden etkilenen ilgili kişi grubunun müşteriler olduğu,
  • İhlalden etkilenen kişi ve kayıt sayısının henüz belirlenemediği,
  • İhlalden etkilenen verilerin; kimlik, iletişim, müşteri işlem, görsel ve işitsel kayıt verileri olduğu

bilgilerine yer verilmiştir.

Konuya ilişkin inceleme devam etmekle birlikte, Kişisel Verileri Koruma Kurulunun 10.08.2023 tarih ve 2023/1382 sayılı Kararı ile söz konusu veri ihlal bildiriminin Kurumun internet sitesinde ilan edilmesine karar verilmiştir.

6.UPS Hızlı Kargo Taşımacılığı A.Ş.

Veri sorumlusu sıfatını haiz UPS Hızlı Kargo Taşımacılığı A.Ş. tarafından Kurula iletilen veri ihlal bildiriminde özetle;

  • İhlalin, Vodatech Bilişim Proje Danışmanlık Sanayi ve Dış Ticaret A.Ş. (Vodatech) sunucularına yapılan siber saldırı sonucu depolama aygıtlarında bulunan verilerin şifrelenmek suretiyle erişilemez duruma gelmesiyle gerçekleştiği,
  • İhlalin 25.07.2023 tarihinde meydana geldiği ve 04.08.2023 tarihinde tespit edildiği,
  • İhlalden etkilenen ilgili kişi grubunun müşteriler olduğu,
  • İhlalden etkilenen kişi ve kayıt sayısının henüz belirlenemediği,
  • İhlalden etkilenen verilerin; kimlik, iletişim, müşteri işlem, görsel ve işitsel kayıtlar olduğu,
  • İlgili kişilerin veri ihlali ile ilgili olarak veri sorumlusunun destek@ups.com adresinden bilgi sağlayabilecekleri

bilgilerine yer verilmiştir.

Konuya ilişkin inceleme devam etmekle birlikte, Kişisel Verileri Koruma Kurulunun 10.08.2023 tarih ve 2023/1387 sayılı Kararı ile söz konusu veri ihlal bildiriminin Kurumun internet sitesinde ilan edilmesine karar verilmiştir.

7.Diler Holding A.Ş. ve Grup Şirketleri

Veri sorumlusu sıfatını haiz olan;

  • Diler Holding A.Ş.
  • Atlas Enerji Üretim A.Ş.
  • Bodova Turizm Yatçılık San. ve Tic. A.Ş.
  • Diler Demir Çelik Endüstri ve Ticaret Anonim Şirketi
  • Diler Denizcilik ve Tic. A.Ş.
  • Diler Elektrik Üretim A.Ş.
  • Diler Dış Ticaret A.Ş.
  • Esm Denizcilik ve Ticaret Anonim Şirketi
  • Eti Toprak Endüstrisi ve Ticaret A.Ş.
  • Renar Bitkisel Üretim Sanayi ve Ticaret A.Ş.
  • Resa Demir Sanayi ve Ticaret Anonim Şirketi
  • Yazıcı Demir Çelik San. ve Turizm Tic. A.Ş.

tarafından Kuruma gönderilen kişisel veri ihlali bildirimlerinde özetle;

  • Veri sorumlusu sistemlerine güvenlik duvarı açığından yararlanılarak sızıldığı ve parola saldırısı ile kullanıcı hesaplarının ele geçirildiği, ele geçirilen hesaplar ile fidye yazılımının yüklendiği,
  • İhlalin 06.08.2023 tarihinde başladığı ve aynı gün tespit edildiği,
  • İhlalin sanal sunuculara erişimin kesilmesi sonucu tespit edildiği,
  • İhlalden etkilenen ilgili kişi gruplarının çalışanlar ve kullanıcılar olduğu,
  • İhlalden etkilenen kişisel veri kategorilerinin kimlik, iletişim, özlük, hukuki işlem, müşteri işlem, fiziksel mekân güvenliği, işlem güvenliği, risk yönetimi, finans, mesleki deneyim, pazarlama ve görsel ve işitsel kayıtlar olduğu,
  • İhlalden etkilenen kişi sayısının 1200 olduğu

bilgilerine yer verilmiştir.

Konuya ilişkin inceleme devam etmekle birlikte, Kişisel Verileri Koruma Kurulunun 10.08.2023 tarih ve 2023/1393 – 1394 – 1395 – 1396 – 1397 – 1398 – 1399 – 1400 – 1401 – 1402 – 1403 – 1404 sayılı Kararları ile söz konusu veri ihlali bildirimlerinin Kurumun internet sitesinde ilan edilmesine karar verilmiştir.