18 Mart'ta kimliği veri sorumlusunca belirlenemeyen şahıs ya da şahıslarca Yemek Sepeti'ne ait bir web uygulama sunucusuna erişildi.

Yemek Sepeti'nden Kişisel Verilerin Korunması Kanununun ilgili maddeleri gereğince KVKK'ya veri ihlal bildirimi yapıldı.

Yetkisiz bir erişim olduğunda uyarı veren araç üzerinde sorun kaydı oluştu ancak bir aksaklık nedeniyle yetkisiz erişim o an fark edilemedi. 25 Mart'ta gelen alarmlar incelendiğinde şüpheli davranış belirlendi.

Kullanıcı adı, adres, telefon, şifre...

Bildirime göre, Yemek Sepeti'ne ait bir web uygulama sunucusu üzerinde açıklık bulundu. Bu açıklıktan yararlanılarak, uygulama kuruldu ve komut çalıştırılmak suretiyle sunucuya erişilebildi.

Saldırıyı yapanlar tarafından sunucu üzerinde kullanıcı oluşturularak veri toplanmaya çalışıldı ve uzaktaki sunuculara trafik gönderildi. İhlalden 21 milyon 504 bin 83 kişi etkilendi.

İhlalden etkilenen kişisel verilerin, kullanıcı adı, adres, telefon, elektronik posta, şifre, IP bilgileri olduğu açıklandı.

Kredi kartı verileri etkilenmedi

Bildirimde, kredi kartı ya da finansal verilerin etkilenmediği, kredi kartı saklama hizmetinin veri sorumlusundan bağımsız Mastercard tarafından sağlandığı açıklandı.

İlgili kişiler, ihlalle ilgili "[email protected]" elektronik posta adresi üzerinden bilgi alabilecek.

Kişisel Verileri Koruma Kurulu ise konuyu gündem toplantısında görüştü. Kurul, Yemek Sepeti hakkında veri ihlali nedeniyle inceleme başlattı.