18 Mart'ta kimliği veri sorumlusunca belirlenemeyen şahıs ya da şahıslarca Yemek Sepeti'ne ait bir web uygulama sunucusuna erişildi.
Yemek Sepeti'nden Kişisel Verilerin Korunması Kanununun ilgili maddeleri gereğince KVKK'ya veri ihlal bildirimi yapıldı.
Yetkisiz bir erişim olduğunda uyarı veren araç üzerinde sorun kaydı oluştu ancak bir aksaklık nedeniyle yetkisiz erişim o an fark edilemedi. 25 Mart'ta gelen alarmlar incelendiğinde şüpheli davranış belirlendi.
Bildirime göre, Yemek Sepeti'ne ait bir web uygulama sunucusu üzerinde açıklık bulundu. Bu açıklıktan yararlanılarak, uygulama kuruldu ve komut çalıştırılmak suretiyle sunucuya erişilebildi.
Saldırıyı yapanlar tarafından sunucu üzerinde kullanıcı oluşturularak veri toplanmaya çalışıldı ve uzaktaki sunuculara trafik gönderildi. İhlalden 21 milyon 504 bin 83 kişi etkilendi.
İhlalden etkilenen kişisel verilerin, kullanıcı adı, adres, telefon, elektronik posta, şifre, IP bilgileri olduğu açıklandı.
Kredi kartı verileri etkilenmedi
Bildirimde, kredi kartı ya da finansal verilerin etkilenmediği, kredi kartı saklama hizmetinin veri sorumlusundan bağımsız Mastercard tarafından sağlandığı açıklandı.
İlgili kişiler, ihlalle ilgili "info@yemeksepeti.com" elektronik posta adresi üzerinden bilgi alabilecek.
Kişisel Verileri Koruma Kurulu ise konuyu gündem toplantısında görüştü. Kurul, Yemek Sepeti hakkında veri ihlali nedeniyle inceleme başlattı.