2007 yılında başarılı iş insanı ve hayatını eğitime adamış Hüsnü M. Özyeğin‘ a ait vakıf tarafından kurulan T.C. Özyeğin Üniversitesi, web sitesi üzerinde bulunan bir form üzerinden SQL injection saldırısına maruz kaldığı ve bazılarının yabancı uyruklu olduğu toplamda 1665 kişi verilerinin etkilendiğini bildirildi.
• KVKK Nedir? Kişisel Verilerimizi Nasıl Koruyabiliriz? Cezaları Nelerdir?
KVKK tarafından yayınlanan bildirimi aşağıda bulabilirsiniz.
Bilindiği üzere, 6698 sayılı Kişisel Verilerin Korunması Kanununun “Veri güvenliğine ilişkin yükümlülükler” başlıklı 12 nci maddesinin (5) numaralı fıkrası “İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.” hükmünü amirdir.
Veri sorumlusu sıfatını haiz olan T.C. Özyeğin Üniversitesi tarafından Kuruma gönderilen kişisel veri ihlali bildiriminde özetle;
- Üniversitenin kurumsal internet sitesi olan www.ozyegin.edu.tr üzerindeki bir form alanından girilen bilgilerin tutulduğu bir tabloya saldırı yapıldığı, olayın oluş şeklinden bir SQL injection atağı yaşanmış olabileceğinin değerlendirildiği,
- İhlalden, 28.12.2020 Pazartesi günü saat 16.10’da USOM’da görevli operatörün telefon ile bildirimi sonucu haberdar olunduğu,
- Uzman şirket ve danışman vasıtasıyla adli bilişim ve bilgi güvenliği incelemelerinin başlatıldığı,
- Yapılan ilk inceleme neticesinde ihlalden etkilenen veri kategorilerinin www.ozyegin.edu.tr internet sitesindeki form alanından veri giren ilgili kişilere ait ad-soyad,telefon, T.C. kimlik numarası, mezun olunan lise ve doğum tarihi bilgileri olduğunun tespit edildiği,
- İhlalden 1665 kişinin etkilendiği, ilgili kişilerin bir kısmının yabancı uyruklu olduğu uyruk bakımından sayıların kesinleştirilmeye çalışıldığı
ifade edilmiştir.
Konuya ilişkin inceleme devam etmekle birlikte, Kişisel Verileri Koruma Kurulunun 05.01.2021 tarih ve 2021/18 sayılı Kararı ile söz konusu veri ihlali bildiriminin Kurumun internet sayfasında ilan edilmesine karar verilmiştir.
Kamuoyuna saygıyla duyurulur.
SQL Injection nedir?
SQL Injection, uygulama üzerinde bulunan açıkları kullanarak veri tabanına yetkisiz müdahele tekniğidir. Saldırgan ileri seviye SQL dili kullanarak uygulama üzerinden erişim yaparak veri ihlali yapabilir veya sisteme kalıcı zarar verebilir.