Cathay Pasific’in yolcu bilgilerini içeren bilgi sistemlerine 13 Mart 2018’de siber taarruz sonucu yetkisiz erişim gerçekleşti. Bu durum şirket tarafından 7 Mayıs 2018’de tespit edildi.
İnceleme sonucunda ulaşılan yolcu bilgileri ortasında isim, uyruk, telefon numarası, doğum tarihi, elektronik posta adresi üzere bilgilerin bulunduğu belirlendi. Türkiye’de 1286 kişinin data ihlalinden etkilendiği, 155 kişinin pasaport numarasına erişildiği anlaşıldı.
Kişisel Dataları Müdafaa Konseyi, Cathay Pasific’in data ihlal bildirimi üzerine inceleme başlattı.
Kurul, 13 Mart 2018’de gerçekleşen ihlale ait, kuşkulu hareketlerden Cathay Pasific’in 2018’in Mart ayında haberdar olduğu, buna karşın ihlalin yaklaşık 2 ay sonra, 7 Mayıs 2018’de tespit edildiği sonucuna vardı.
Bu durumun bir güvenlik açığı olduğunu, şirket tarafından gerekli kontrollerin ve denetimlerin yapılmadığını belirleyen Heyet, Şahsî Bilgilerin Korunması Kanunu’nun 12. hususunda yer alan data güvenliğine ait kararların ihlal edildiğine karar verdi.
Kurul, yaşanan bilgi ihlalinin oluşmaması için kanunda öngörülen gerekli idari ve teknik önlemlerin alınmadığını tespit ederek, bilgi güvenliğine ait yükümlülüklerin yerine getirilmediği gerekçesiyle Cathay Pasific’i 450 bin lira idari para cezasına çarptırdı.
Cathay Pasific’in, siber atağa ait Ferdî Bilgileri Muhafaza Konseyi ve ihlalden etkilenenlere 25 Ekim 2018’de bildirim yapmaya başlamasının kanunda belirtilen “en kısa müddette bildirimde bulunma yükümlülüğü”ne terslik teşkil ettiğine karar veren Şura, bu nedenle de 100 bin lira idari para cezasına hükmetti.
AA
