AEPD’den 23andMe’ye veri güvenliği zafiyeti nedeniyle yaklaşık 3 milyon euro ceza

İspanya Veri Koruma Ajansı (AEPD), ABD merkezli genetik test ve soy ağacı platformu 23andMe şirketine, siber güvenlik süreçlerindeki yetersizlikler ve veri ihlali yönetimi eksiklikleri nedeniyle yaklaşık 3 milyon euro idari para cezası uygulandığını açıkladı.

Yürütülen incelemelerde, şirketin 2023 yılında gerçekleşen ve dünya genelinde milyonlarca kullanıcıyı etkileyen kimlik avı/şifre deneme (credential stuffing) saldırılarına karşı yeterli idari ve teknik güvenlik tedbirlerini almadığı belirlendi. AEPD, 23andMe'nin hassas genetik ve kişisel verileri koruma hususunda gerekli güvenlik protokollerini devreye sokmakta yetersiz kaldığını ve olası tehdit uyarılarına karşı müdahalede geciktiğini tespit etti.

Karar kapsamında, şirketin kişisel verilerin korunması mevzuatına uyumsuz hareket ettiği vurgulanırken, tespit edilen güvenlik açıklarının kapatılması ve veri koruma standartlarının güncellenmesi gerektiği hatırlatıldı.