Yemek Sepeti’nden Kişisel Verilerin Korunması Kanunu’nun ilgili maddeleri gereğince KVKK’ye yapılan ve kurulun internet sitesinde yayınlanan veri ihlal bildiriminde, 18 Mart’ta kimliği veri sorumlusunca belirlenemeyen şahıs ya da şahıslarca ‘Yemek Sepetine’ ait bir web uygulama sunucusuna erişildiği belirtildi.
Yetkisiz bir erişim olduğunda uyarı veren araç üzerinde sorun kaydı oluştuğu ancak bir aksaklık nedeniyle yetkisiz erişimin o an fark edilemediği vurgulanan bildirimde, 25 Mart’ta gelen alarmlar incelendiğinde şüpheli davranışın belirlendiği aktarıldı.
Bildirimde, Yemek Sepetine ait bir web uygulama sunucusu üzerinde açıklık bulunduğu, bu açıklıktan yararlanılarak, uygulama kurulduğu ve komut çalıştırılmak suretiyle sunucuya erişilebildiği kaydedildi.
21 milyon 504 bin 83 kişi etkilendi
Saldırıyı yapanlar tarafından sunucu üzerinde kullanıcı oluşturularak veri toplanmaya çalışıldığı ve uzaktaki sunuculara trafik gönderildiği ifade edilen bildirimde, ihlalden 21 milyon 504 bin 83 kişinin etkilendiği belirtildi.
İhlalden etkilenen kişisel verilerin, kullanıcı adı, adres, telefon, elektronik posta, şifre, IP bilgileri olduğu açıklanan bildirimde, kredi kartı ya da finansal verilerin etkilenmediği, kredi kartı saklama hizmetinin veri sorumlusundan bağımsız Mastercard tarafından sağlandığı vurgulandı.
Veri ihlal bildiriminde, ilgili kişilerin ihlalle ilgili “[email protected]” elektronik posta adresi üzerinden bilgi alabileceği ifade edildi.
Kişisel Verileri Koruma Kurulu ise konuyu gündem toplantısında görüştü. Kurul, Yemek Sepeti hakkında veri ihlali nedeniyle inceleme başlattı.
Yemeksepeti, iki gün önce kullanıcı veri tabanının kimliği tespit edilemeyen korsanlar tarafından saldırıya uğradığını ve kullanıcılarının hesap bilgilerinin bir kısmının korsanlar tarafından ele geçirildiğini duyurmuştu.
