2023'te 10 milyonu aşkın kişinin verileri çalındı

Kişisel Verilerin Korunması Kanunu gereğince 2023 yılında kurum/kuruluşlar tarafından Kişisel Verileri Koruma Kurumu'na (KVKK) 50 veri ihlali bildirimi yapıldı.

• Resmî veya özel kurumlar tarafından yurttaşların kişisel verilerinin çalınmasına yönelik 50 ihbarın yapıldığı bu bildirimlere göre geçen yıl en az 10 milyon 157 bin 921 kişinin verileri çalındı.

Üstelik bu sayıya yalnızca 38 kurumun yaptığı bildirimle ulaşıldı. Zira KVKK’ya bildirim yapan 50 kurumdan 12'si, veri sorumlusu olarak tuttukları verilerin çalındığını ancak kaç kişinin verisinin çalındığını tespit edemediklerini belirtti. Dolayısıyla 12 kurum herhangi bir sayı bildirmedi.

• Çalınanlar kimlik numarasından kan grubuna, banka hesap bilgilerinden ırk ve etnik köken bilgilerine, e-postadan plaka numarasına 24 farklı veri türünden oluştu.

Bununla birlikte çalınan veriler arasında bayi verileri, yönetici bilgileri ve depo verileri de yer aldı. Veri güvenliği ihlal edilen kişiler ise çalışanlar, müşteriler ve potansiyel müşteriler oldu.

En çok Boyner’den çalındı

Kayıtlı 3 milyon 55 bin 907 kişinin verisinin çalınmasıyla, Boyner 2023’te sayı itibarıyla en fazla kişinin verisinin çalındığı kuruluş oldu. Boyner, 11 Mayıs 2023’te KVKK’ya yaptığı bildirimde, şirketin SMS gönderim paneline sızıldığını ve müşterilerinin cep telefonu numaralarının çalındığını belirtti. Bildirimde, bu numaralara dolandırıcılık amaçlı kısa mesaj gönderildiği kaydedildi.

İkinci sırayı ise Özel Aktif Hastanesi (Reon Sağlık Hizmetleri) ile Özel Yalova Uzmanlar Hastanesi (Yalova Uzmanlar Sağlık Hizmetleri) paylaştı. Bu iki hastane de 5 Ocak’ta KVKK’ya yaptıkları bildirimde siber saldırıya uğradıklarını ve saldırganlar tarafından ikişer milyon (toplamda dört milyon) hastanın kişisel verilerinin “silindiğini” duyurdu.

İki hastane de ihlalden etkilenen kişilerin hastalar ve çalışanlar olduğunu belirtti. Çalışanların ad-soyad, kimlik numarası, adres, fotoğraf, mesleki bilgiler ve kan gruplarının; hastaların ise fatura bilgileri içerisindeki ad ve soyadlarının bu ihlalden etkilendiği kaydedildi.

Üçüncü sıradaysa 1 milyon 926 bin 889 müşterisinin cep telefonu numarası çalınan Hotiç Ayakkabı yer aldı. 

Hotiç Ayakkabı San. ve Tic. AŞ, 7 Eylül’de KVKK’ya yaptığı bildirimde, SMS ve e-posta gönderimleri için oluşturdukları izin yönetimi platformuna sızıldığını belirtti. Şirket, sızan saldırganların müşterilere dolandırıcılık amaçlı kısa mesaj gönderdiğini belirtti.

10 veri ihlalinden 9'u üç ayda yaşandı

2023 yılında verisi çalınan kişi sayısının aylara göre dağılımına baktığımızdaysa Ocak, Mayıs ve Eylül öne çıkıyor. Bu üç ayda verisi çalınan kişi sayısı toplamda 9 milyon 79 bin 667 oldu. Bu, toplam sayı olan 10 milyon 157 bin 921’in %89’una denk geliyor.

Çalınan veri sayısına bir yıllık zaman çizelgesinde baktığımızda, 5 Ocak, 11 Mayıs, 3 Ağustos, 7 Eylül, 28 Eylül, 12 Ekim, 30 Kasım ve 28 Aralık tarihlerinin öne çıktığını görüyoruz.

Her beş veri sızıntısından dördü siber saldırı ve sızma sonucu yaşandı

Kişisel verileri çaldıran 50 kurumun 29’unun verisi, siber saldırı yöntemiyle çalındı. Bu kurumlar, bildirimlerinde ilgili siber saldırının ayrıntılarına yer vermezken ikinci sırada 11 vaka ile sızma yer aldı. 

Bunu 4'er vaka ile oltalama ve fidye yazılım saldırıları izledi. Bir şirkette teknik bir hata sonucunda veri ihlali yaşanırken bir şirket ise verilerin nasıl çalındığını belirtmedi.

^{* Bu içerik Avrupa Birliği'nin maddi desteği ile hazırlanmıştır. İçerik tamamıyla Aposto’nun sorumluluğu altındadır ve Avrupa Birliği'nin görüşlerini yansıtmak zorunda değildir.}