Gangnam'da hasta fotoğraflarıyla şantaj: 1 milyon won değerinde kripto talebi

Seul'ün Gangnam semtindeki büyük bir estetik kliniğinde ameliyat olan hastanın fotoğrafları ve danışma formu, tehdit mesajına eklenerek erkek arkadaşına gönderildi. Mesajı gönderen kişi, bunları yayımlamamak karşılığında 1 milyon won değerinde kripto varlık istedi.

30'lu yaşlarında bir ofis çalışanı olan A., eylülde klinikte ameliyat oldu. KBS, olayı 30 Ekim'de özel haber olarak yayımladı.

Mesajı gönderen kişi, yüzünün ve vücudunun üst kısmının göründüğü fotoğrafları; adı ve adresinin yazılı olduğu danışma formuyla birlikte gönderdi. Bunların klinikten sızdırılan kişisel verilerin bir bölümü olduğunu öne sürdü ve fotoğrafları altı gün sonra sosyal medyada yayımlamakla tehdit etti.

A., KBS'ye “Birden soğuk terler dökmeye başladım” dedi. Fotoğrafların tanıdıklarına yayılmış olabileceğinden korktuğunu belirten A.'ya değil, fotoğraflardaki kişinin erkek arkadaşına önce mesaj gönderildi.

Erkek arkadaşı mesajı aldıktan yaklaşık 10 dakika sonra klinikle iletişime geçti. Klinik, iç sunucusuna kötü amaçlı yazılım yerleştirildiğine ve kişisel verilerin sızmış olabileceğine dair bulgular bulunduğunu belirterek özür mesajı gönderdi.

Kötü amaçlı yazılımın yerleştirildiğine dair bulgular 11 Ekim'de ortaya çıktı; klinik, ertesi gün siber saldırı şüphesini fark etti. A. ise sızıntıyı ancak yaklaşık iki hafta sonra gelen şantaj mesajının ardından öğrendi.

Klinik, etkilenen kişi sayısı ve sızdırılan veri türlerinin henüz kesinleşmediğini, ilgili kurumlara bildirimde bulunup soruşturmaya destek verdiğini açıkladı. A., klinik yetkililerinden “Biz de mağdur değil miyiz?” sözünü duyduğunu aktardı.

KBS'nin araştırmasına göre klinik, mayıs ve ağustos aylarında da kişisel veri ihlallerini ilgili kurumlara bildirmişti. Bu olayda sızıntının nasıl gerçekleştiğinin yanı sıra hastalara ne zaman ve hangi yolla bilgi verildiği de tartışma konusu oldu.

Değiştirilen Kişisel Verilerin Korunması Kanunu 11 Eylül 2026'da yürürlüğe girdi. Önceki düzenlemede veri sahiplerine bildirim yükümlülüğü, kişisel verilerin gerçekten sızdığının doğrulanmasına bağlıydı. Yeni düzenleme ise belirli koşullarda sızıntı olasılığını da bildirim kapsamına aldı.

Güney Kore Kişisel Bilgileri Koruma Komisyonu'nun yayımladığı uygulama belgelerine göre, kişisel veri işleme sistemine yasa dışı erişim gerçekleşmiş ve sızıntıdan şüphelenilmişse, mağdurların kimliğini belirlemek zor olsa bile sızıntı olasılığı bildirilmelidir.

Bildirim, bu durumun öğrenilmesinden itibaren 72 saat içinde yazılı veya benzeri bir yolla yapılmalıdır. Sızdırılan verilerin tümü henüz tespit edilememişse önce doğrulanan bilgiler bildirilmeli, sonradan belirlenen ayrıntılar için ek bildirim yapılmalıdır.

Kişisel Verilerin Korunması Kanunu'nun uygulama yönetmeliği, iletişim bilgisinin bilinmemesi gibi haklı bir neden varsa bireysel bildirim yerine internet sitesinde en az 30 gün ilan yayımlanmasına izin veriyor.

Kliniğin internet sitesindeki duyurusunun bireysel bildirimin yerine geçmesi için gereken koşulları karşılayıp karşılamadığına ilgili kurumlar karar verecek. Klinik, özür mesajının internet sitesinde yayımlandığını söyledi; ancak etkilenen kişi sayısı ve sızdırılan veri türlerinin kesinleşmediğini de belirtti.

BlockTempo'nun aktardığına göre, 2017'de Litvanya'daki estetik cerrahi zinciri Grožio Chirurgija'yı hedef alan saldırgan, kurumdan 300 Bitcoin (BTC) istedi. Talep reddedilince hastalardan 2 bin euroya kadar para talep etti. 2018'de Güney Kore'deki bir estetik kliniğinin internet sitesinin hacklenmesinin ardından da hastalar, fotoğraflarının yayımlanacağı tehdidiyle karşılaştı ve kendilerinden 0,02 Bitcoin istendi.

BlockTempo, 2020'de Finlandiya'daki psikoterapi kurumu Vastaamo'ya düzenlenen saldırıda bilgisayar korsanının yaklaşık 33 bin danışanın verisini ele geçirdiğini bildirdi. Saldırgan önce kurumdan 40 Bitcoin istedi; kurumun reddetmesi üzerine danışanlardan 200 ila 500 euro talep etti.

BlockTempo'ya göre mahkeme bu olayda 20 binden fazla şantaja teşebbüs ve 20 tamamlanmış şantaj suçunu kabul etti. Güvenlik şirketi Malwarebytes, saldırganın sonunda verileri yayımladığını bildirdi. Revolut müşterilerinin bilgilerinin sızdırıldığı iddiasında ise bilgisayar korsanlarından oluşan bir grup, şirketten açıkça 6 bin Monero (XMR) talep etmişti; TokenPost bu olayı haberleştirdi.