Vaka: Yemeksepeti

Neler oldu?

27 Mart'ta çevrim içi yemek siparişi uygulaması Yemeksepeti, kullanıcılarına "Veri Güvenliğiniz Hakkında Önemli Bilgilendirme" başlıklı bir e-posta gönderdi. E-postada, Yemeksepeti kullanıcı veri tabanının 25 Mart'ta kimliği tespit edilemeyen siber korsan ya da korsanlar tarafından bir saldırıya uğradığı ve Yemeksepeti kullanıcılarının hesap bilgilerinin bir kısmının korsanlar tarafından ele geçirildiği yazılıydı. Aynı saatlerde şirketin sosyal medya hesaplarından da siber saldırıya dair resmî açıklama yapıldı. Söz konusu sızıntı kapsamında ad-soyad, doğum tarihi, telefon numaraları, e-posta adresleri ve açık olarak görülemeyen SHA-256 algoritması ile maskelenmiş giriş şifrelerinin çalındığı belirtiliyor.

Neden Önemli?

Yaşanan siber saldırının ardından şirket, Kişisel Verileri Koruma Kurulu (KVKK), Ulusal Siber Olaylara Müdahale Merkezi (USOM) ve İstanbul Cumhuriyet Başsavcılığına bilgi verdi. Bunun üzerine KVVK ve BTK, kişisel verilerin ele geçirilmesinde Yemeksepeti'nin bir ihmali olup olmadığını belirlemek için bir inceleme başlattı. Saldırıyı gerçekleştirenlerin kimlikleri henüz tespit edilemezken yapılan araştırmalar sonucu toplam 21 milyon 504 bin 83 kullanıcının ihlalden etkilendiği tespit edildi. Şirketten yapılan açıklamada kredi kartı bilgilerinin MasterCard altyapısında korumalı olarak saklandığının ve Yemeksepeti giriş şifrelerinin de şirketin veri tabanlarında SHA-256 kriptografik algoritmasi ile maskelenmiş olarak tutulduğu belirtiliyor. Fakat uzmanlar, SHA-256 ile şifrelenmiş parolaları çözmenin zor ama imkansız olmadığını söylüyor. Dark web’de SHA-256 algoritmasındaki şifreleri kırmak için kaba kuvvet olarak adlandırılan deneme yanılma yöntemlerinde kullanılmak üzere milyarlarca şifrenin olduğu bir arşiv bulunuyor. Bu arşivler sayesinde birçok güçsüz parolaya ve e-posta adresi şifresine erişim mümkün. Öte yandan, hâlihazırda ele geçirilen verilerin hedefli oltalama saldırılarında kullanılması durumunda kullanıcıların çeşitli dolandırıcılık faaliyetlerine maruz kalması kaçınılmaz görünüyor.

Neler Olacak?

Hâlihazırda KVKK ve BTK tarafından başlatılan inceleme çok yönlü olarak devam ediyor; ancak ilk bulgular Yemeksepeti'ne ait bir web uygulamasına ilk olarak 18 Mart'ta erişildiğini, kamuoyunun ise dokuz gün sonunda haberdar edildiğini gösteriyor. Her ne kadar çalınan veriler arasında finansal bilgilerin olmadığı belirtilse de kullanıcıların mağduriyetlerinin önüne geçmek adına kredi kartlarıyla ilgili şüpheli bir durum olup olmadığı da araştırılıyor. Sabah gazetesinin iddialarına göre, Yemeksepeti'ne mevzuattaki en üst limitte bir ceza kesilecek. Dolayısıyla Yemeksepeti, KVKK’nın veri güvenliğine ilişkin yükümlülüğüne aykırılıktan 2 milyon lira, BTK’nın şart koştuğu siber güvenlikle ilgili tedbirleri almaması nedeniyle ise 1 milyon lira cezaya çarptırılacak.