Finlandiya Veri Koruma Otoritesi, Sambla Group adlı kredi karşılaştırma hizmeti sağlayıcısına, yetersiz veri güvenliği önlemleri nedeniyle 950.000 Euro tutarında bir idari para cezası vermiştir. Yapılan incelemelerde, şirketin iki farklı kredi karşılaştırma platformunda ciddi güvenlik açıklarının bulunduğu tespit edilmiştir. Bu açıklar nedeniyle, müşteri başvurularına ait bilgilerin yetkisiz üçüncü şahıslar tarafından erişilebilir olduğu belirlenmiştir.

Yapılan teknik incelemeye göre, Sambla Group’un lainaparkki.fi ve rahoitu.fi sitelerinde müşteri başvurularına özel olarak oluşturulan bağlantıların güvenlik açısından yeterli olmadığı görülmüştür. Söz konusu bağlantılara sahip olan herhangi bir kişi, teknik bilgiye sahip olması durumunda müşteri verilerine doğrudan erişebilmiştir. Bu durum, müşteri bilgilerini hedef alan siber saldırılar açısından büyük bir risk teşkil etmiştir.

Finlandiya Veri Koruma Otoritesi, güvenlik ihlallerinin ciddiyetinin fark edilmesi üzerine Sambla Group’un elektronik hizmetler üzerinden kredi başvurularına ilişkin kişisel verileri işlemesini derhal durdurmasını talep etmiştir. Aynı zamanda, şirketin güvenlik açıklarına sahip bağlantıları kullanmayı bıraktığı ve veri güvenliği önlemlerini güçlendirdiği duyurulmuştur.

Bu olayın ardından, yetkililer Sambla Group’un etkilenen müşterilere bildirim yapmasını zorunlu kılmıştır. Şirket, kişisel bilgileri üçüncü tarafların erişimine açılmış olabilecek müşterileri bilgilendirmekle yükümlü kılınmıştır.

Söz konusu güvenlik açığı nedeniyle üçüncü tarafların erişimine açılan verilerin, kredi başvurusu yapan kişilere ait iletişim bilgileri, gelir durumu, konut giderleri, medeni hali ve çocuk sahibi olup olmadığı gibi hassas bilgileri içerdiği belirtilmiştir. Finlandiya Veri Koruma Otoritesi yetkilisi, bu tür bilgilerin siber suçlular için büyük değer taşıdığını ve dolandırıcılık, kimlik hırsızlığı veya şantaj gibi risklere yol açabileceğini ifade etmiştir.

Etkilenen kişilere, olağan dışı iletişim girişimlerine karşı tetikte olmaları gerektiği belirtilmiştir. Bilinmeyen kişilerden gelen aramalara veya mesajlara yanıt verilmemesi, kişisel bilgilerin şüpheli talepler doğrultusunda paylaşılmaması gerektiği vurgulanmıştır.
Veri Koruma Otoritesi tarafından verilen karar, henüz nihai bir karar niteliğinde olmayıp şirketin mahkemeye itiraz hakkı bulunmaktadır.