Bilindiği üzere, 6698 sayılı Kişisel Verilerin Korunması Kanununun “Veri güvenliğine ilişkin yükümlülükler” başlıklı 12 nci maddesinin (5) numaralı fıkrası “İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.” hükmünü amirdir.
Veri sorumlusu sıfatını haiz olan İzmir Bakırçay Üniversitesi tarafından Kuruma gönderilen veri ihlali bildiriminde özetle;
- Veri sorumlusu kullanıcılarına ait e-posta hesaplarının şifrelerinin ele geçirilmesi amacıyla kaba kuvvet saldırısı (Brute-Force Attack) yapıldığı, bazı kullanıcıların ele geçirilen şifre bilgileri ile Üniversite Bilgi Yönetimi Sistemi (UBYS) yazılımına giriş yapıldığı ve şifresi ele geçirilen kullanıcıların üzerinden servis çağrıları yapılarak rapor çıktıları elde edilmeye çalışıldığı,
- Servis çağrılarından elde edilen rapor çıktılarının da bir forum sitesinde satışa çıkarıldığı,
- İhlalin bir sosyal medya sitesi üzerinden içerik metninde üniversite isminin geçmesinin fark edilmesiyle öğrenildiği,
- İhlalin 13.10.2021 tarihinde başladığı, 14.10.2021 tarihinde sona erdiği ve 20.10.2021 tarihinde tespit edildiği,
- İhlalden öğrencilere ait ad-soyad, Türkiye Cumhuriyeti kimlik numarası, kurumsal e-posta adresleri, kayıtlı bulundukları program, öğrenci kimlik ve telefon numaralarının etkilendiğinin tespit edildiği,
- Veri sorumlusu bünyesinde çalışan tüm akademik ve idari personelin ise ad-soyad, Türkiye Cumhuriyeti kimlik numarası, kurumsal e-posta adresleri ve telefon numaralarının ihlalden etkilendiğinin tahmin edildiği,
- İhlalden etkilenen kişi sayısının 5389 öğrenci ve 425 personel olmak üzere toplam 5814 kişi olduğu
ifade edilmiştir.
Konuya ilişkin inceleme devam etmekle birlikte, Kişisel Verileri Koruma Kurulunun 26.10.2021 tarih ve 2021/1099 sayılı Kararı ile söz konusu veri ihlali bildiriminin Kurumun internet sayfasında ilan edilmesine karar verilmiştir.
Kamuoyuna saygıyla duyurulur.
Kaynak: kvkk.gov.tr