Canva'da veri ihlali: Türkiye'deki 424 şirketin kurumsal belgeleri sızdı

17 saat önce

2 dakikada okunur

KVKK, Canva'daki veri ihlaline ilişkin açıklama yaptı. İhlalde çalışanların isim, iş e-postası, konum ve telefon bilgilerinin yanı sıra bazı kurumsal belgelerin de sızdığı belirtildi.

Online grafik tasarım platformu Canva’da büyük bir veri sızıntısı yaşandı. Kişisel Verileri Koruma Kurumu (KVKK) web sitesinde yayımlanan duyuruya göre Türkiye’de 474 şirketin verileri sızdı.

Üçüncü taraf bir araç üzerinden gerçekleştirilen yetkisiz erişim sonucunda bazı kişisel veriler dışarıya aktarıldı. İsim soy isim, telefon numarası gibi bilgilerin yanında Canva’ya yüklenen sözleşmeler, faturalar ve kurumsal belgeler sızdı. Ayrıca müşteri sipariş formları, veri koruma anlaşmaları, ana hizmet sözleşmeleri ve diğer rutin iş yazışmaları da sızan veriler arasında. Bu veriler şirketler için kritik önem taşıyor.

Veri ihlali bildiriminde Türkiye’de yer alan 424 organizasyon/kuruluş ile ilişkili verilerin ihlalden etkilendiği ancak ihlalden etkilenen gerçek kişi sayısının henüz tespit edilemediği belirtildi.

KVKK, ilgili kişilerin veri ihlaline ilişkin daha fazla bilgi almak için Canva ile iletişime geçebileceğini belirtti. Kullanıcılar Canva'nın yardım merkezi üzerinden veya privacy@canva.com e-posta adresinden şirkete ulaşabilecek.

Veri sorumlusu sıfatını haiz Canva Pty Ltd tarafından KVKK'ya iletilen veri ihlali bildiriminde özetle;

Veri sorumlusunun kullandığı üçüncü taraf bir araçta yaşanan yetkisiz erişim neticesinde ihlalin meydana geldiği; tehdit aktörünün, veri işleyen ile olan bağlantı aracılıyla bazı kişisel verileri dışarı aktardığının (sızdırdığının) değerlendirildiği,
Türkiye’de yer alan 424 organizasyon/kuruluş ile ilişkili verilerin ihlalden etkilendiği ancak ihlalden etkilenen gerçek kişi sayısının henüz tespit edilemediği,
İhlalden etkilenen kişisel veriler arasında veri sorumlusu müşterilerinin çalışanlarına ait isim, iş e-posta adresi, iş yeri konumu, iş amaçlı kullanılan telefon numaraları bilgilerinin bulunduğu; (veri sorumlusu ile paylaşıldığı ölçüde) müşteri sipariş formları, sözleşmeler, faturalar, veri koruma anlaşmaları, ana hizmet sözleşmeleri ve diğer rutin iş yazışmalarının ihlale konu olduğu,
İlgili kişilerin, kullanıcı yardım merkezi (https://www.canva.com/en_au/help/contact-us/) ve e-posta adresi (privacy@canva.com) aracılığıyla veri sorumlusundan ihlal hakkında bilgi alabilecekleri bilgilerine yer verilmiştir.

Bu tip saldırılardan korunmak için almamız gereken tedbirlerin bazıları;

Üçüncü taraf uygulama ve entegrasyonlara verilen erişim yetkileri sınırlandırılmalıdır.
Kurumsal hesaplarda MFA kullanılmalıdır.
Hassas kurumsal belgeler yalnızca yetkili ve güvenilir platformlarda saklanmalıdır.
Kullanıcı ve uygulamalarda minimum yetki prensibi uygulanmalıdır.
Üçüncü taraf servislerin güvenlik ve veri işleme süreçleri düzenli olarak denetlenmelidir.
Şüpheli oturum ve veri erişimleri loglanmalı ve izlenmelidir.
Veri sızıntısı durumları için olay müdahale ve erişim iptal süreçleri hazır tutulmalıdır.