KVKK İhlaliyle Karşılaşan Bir E-Ticaret Şirketi

KVKK İhlaliyle Karşılaşan Bir E-Ticaret Şirketi: Dersler ve Uyarılar

Dijitalleşen dünyada e-ticaret platformları, kullanıcı verilerini güvenli bir şekilde saklamak ve yönetmekle yükümlüdür. Ancak ne yazık ki, ihlaller her zaman öngörülemeyebilir. Türkiye’de yakın zamanda yaşanan bir örnek, KVKK kapsamında alınması gereken önlemlerin önemini bir kez daha gözler önüne serdi. Bu yazıda, bir e-ticaret şirketinde gerçekleşen kişisel veri ihlalini, etkilerini ve işletmelerin alması gereken dersleri detaylı olarak ele alacağız.

Kişisel Verileri Koruma

Kişisel veriler, bireylerin kimliklerini belirleyen kritik bilgilerdir. Bu veriler; ad-soyad, TCKN, e-posta, telefon numarası, kargo ve ödeme bilgileri gibi detayları içerir. E-ticaret platformları, bu bilgileri saklamak ve korumakla yükümlüdür.

Yakın zamanda bir e-ticaret platformunda yaşanan ihlal, veri sorumlusunun sistemlerinden değil, satıcıların başka platformlarda kullandıkları kullanıcı adı ve şifrelerin kötü niyetli kişilerce denenmesi sonucu meydana geldi. Bu durum, ihlalin teknik değil, operasyonel bir zaaf üzerinden gerçekleştiğini gösteriyor.

İhlale Konu Veriler

Satıcılar için: Kimlik, iletişim ve finansal bilgiler (ad, soyad, TCKN, IBAN, fatura, e-posta, telefon numarası)

Müşteriler için: Kimlik, iletişim, müşteri işlem ve finansal bilgiler (ad, soyad, TCKN, telefon, kargo adresi, satın alma geçmişi, teslim alacak kişi bilgileri, fatura)

Bu verilerin korunamaması, hem satıcılar hem de müşteriler açısından ciddi riskler doğurur. Özellikle finansal bilgiler ve IBAN gibi hassas verilerin ele geçirilmesi, doğrudan ekonomik zarara yol açabilir.

 

Online İşletmelerin Dikkat Etmesi Gerekenler

E-ticaret şirketleri, kişisel veri ihlallerinden korunmak için sadece teknik önlemler değil, idari ve operasyonel tedbirler de almalıdır. İşte kritik önlemler:

• Çift Faktörlü Kimlik Doğrulama (2FA): Kullanıcıların portal girişlerinde ek doğrulama aşaması, kötü niyetli erişimlere karşı önemli bir bariyer oluşturur.
• Bot Trafiğini Önleme Sistemleri: Platformlarda kullanılan bot engelleyici uygulamalar, siber saldırganların çoklu denemelerini sınırlayabilir. Ancak uygulamanın zafiyetleri ihlali önleyebilir.
• Şifre Güvenliği ve Farklı Platformlarda Kullanımın Kontrolü: Satıcıların şifrelerini başka platformlarla aynı kullanmaları, saldırganların işini kolaylaştırır. Eğitim ve bilgilendirme bu konuda kritik rol oynar.
• Hızlı İhlal Tespiti: Anomali tespit sistemleri ve müşteri bildirimlerinin hızlı değerlendirilmesi, ihlalin etkilerini azaltır.

Aşağıdaki tablo, ihlale ilişkin temel bilgileri özetliyor:

Kategori	Etkilenen Sayı	İhlal Türü	Örnek Riskler
Satıcılar	673	Hesap erişimi	IBAN değişikliği, ürün fiyat manipülasyonu
Müşteriler	7.202	Kişisel veri sızması	Şüpheli siparişler, kimlik ve iletişim verileri ele geçmesi
Teknik Açık	Bot engelleme yetersizliği	Sistem zafiyeti	Çoklu giriş denemeleri ile hedefli saldırı
İhlal Tarihi	02.02.2024-06.02.2024	–	–

 

KVKK İhlali ve Hukuki Sonuçlar

KVKK (6698 sayılı Kişisel Verilerin Korunması Kanunu), veri sorumlularının kişisel verileri korumasını zorunlu kılar. Kanunun 12. maddesi, veri sorumlusunun kişisel verilerin hukuka aykırı olarak işlenmesini önlemek ve güvenliği sağlamak için gerekli teknik ve idari tedbirleri almasını şart koşar.

Yakın örnekte; veri sorumlusu, ihlali 06.02.2024 tarihinde tespit edebildi. Ancak saldırganlar, platformun bot engelleme sistemini aşarak 02-03 Şubat tarihlerinde toplam 400’ün üzerinde kullanıcı girişi gerçekleştirmişti. Bu gecikme, veri sorumlusunun sorumluluklarını yerine getirmediğinin kanıtıdır.

KVK Kurulu, yapılan inceleme sonucu veri sorumlusuna 3.250.000 TL idari para cezası uyguladı. Bu ceza, hem haksızlık içeriği hem de veri sorumlusunun kusuru ve ekonomik durumu göz önünde bulundurularak belirlenmiştir.

 

Kişisel Veri İhlali Sonrası Tazminat Süreçleri

Kişisel veri ihlali sonrasında hem satıcılar hem de müşteriler hukuki yollara başvurabilir. Bu süreç, sistematik ve aşamalı yürütülmelidir:

1. Veri Sorumlusuna Başvuru: İhlale uğrayan kişi, veri sorumlusuna yazılı başvuru yapar. Kurum, başvuruya 30 gün içinde cevap vermekle yükümlüdür. Bu adım, dava veya KVKK Kurulu şikayeti öncesinde zorunludur.
2. KVK Kurulu’na Şikayet: Başvuruya verilen cevap yetersiz veya geçersizse, ilgili kişi 60 gün içinde Kurul’a şikayette bulunabilir. Kurul, ihlali tespit ettiğinde yüksek meblağlı idari para cezalarına hükmedebilir.
3. Maddi ve Manevi Tazminat Davası:
   • Maddi Tazminat: Banka dolandırıcılığı veya hesap hareketleri nedeniyle oluşan somut ekonomik kayıpları kapsar.
   • Manevi Tazminat: Kişisel verilerin ifşası sonucu yaşanan itibar kaybı, huzursuzluk ve psikolojik zararlar nedeniyle talep edilir.
4. İspat Yükü: Veri sorumlusu, verilerin hukuka uygun işlendiğini ve teknik/idari tedbirlerin alındığını ispat etmekle yükümlüdür. Firewalls, şifreleme, eğitimler ve diğer önlemler bu ispat sürecinde önem kazanır.

 

E-Ticaret Platformları için Dersler ve Uyarılar

Yaşanan ihlal, tüm online işletmelere önemli dersler sunuyor:

• Proaktif güvenlik tedbirleri alın: İhlal sonrası tedbirler yetersizdir; ihlal öncesi 2FA, bot engelleme ve şifre politikaları uygulanmalıdır.
• Eğitim ve farkındalık artırın: Satıcıların şifrelerini başka platformlarda kullanmamaları, saldırganların işini zorlaştırır.
• Hızlı yanıt mekanizmaları oluşturun: Anormallik tespit sistemleri ve müşteri şikayetleri ihlal tespitinde kritik rol oynar.
• Şeffaflık ve bildirim: Veri ihlali tespit edildiğinde, etkilenen kişilere hızlı ve açık bildirim yapılmalıdır.

 

Teknik ve İdari Tedbirler Tablosu

Tedbir Türü	Açıklama	Önerilen Uygulama
Çift Faktörlü Kimlik Doğrulama	Hesaplara ek güvenlik	SMS, e-posta veya mobil uygulama ile doğrulama
Bot Engelleme Sistemleri	Çoklu giriş denemelerini önler	CAPTCHA, IP sınırlama, anormallik tespiti
Şifre Politikaları	Güçlü ve benzersiz şifre zorunluluğu	Minimum 12 karakter, özel karakter, değişim periyodu
Hızlı İhlal Bildirimi	72 saat içinde Kurul ve etkilenen kişilere bildirim	Otomatik raporlama ve e-posta uyarıları
Eğitim ve Farkındalık	Satıcı ve çalışan bilinçlendirme	Online eğitim modülleri, uyarı e-postaları

Sosyal Medya Hesabımızı Takip Edebilirsiniz: Linkedin

Sık Sorulan Sorular (SSS)