Sompo Sigorta'nın OTP Doğrulama Mekanizması Atlatılıyor

Sompo Sigorta’nın internet sitesi üzerinden yapılan işlemlerde SMS ile gönderilen tek kullanımlık doğrulama kodu (OTP) mekanizmasında ciddi bir güvenlik zafiyeti olduğunu tespit etmiş bulunmaktayım. Son bir haftadır yaptığım kontrollerde, cep telefonuma OTP kodu gönderilmesine rağmen bu kodu sisteme hiç girmeden işlemlerin tamamlanabildiğini gördüm. Yani SMS doğrulaması fiilen atlanabiliyor.

Bu durum, kimlik doğrulama süreçlerinizde ve kişisel veri güvenliğinde ciddi bir zayıflığa işaret etmektedir. SMS OTP doğrulaması olmadan işlemlerin tamamlanabilmesi, üçüncü kişilerin de benzer yöntemlerle yetkisiz işlem gerçekleştirebilmesi ve kişisel verilere erişebilmesi riskini doğurmaktadır. 6698 sayılı Kişisel Verilerin Korunması Kanunu gereği veri sorumlusu olarak gerekli teknik ve idari tedbirleri alma yükümlülüğünüz bulunduğunu hatırlatmak isterim.

Bu güvenlik açığını kurumunuza daha önce iletmeme rağmen tarafıma herhangi bir geri dönüş yapılmamıştır. Bu nedenle, söz konusu güvenlik zafiyetinin ivedilikle araştırılmasını, OTP doğrulaması yapılmadan işlemlerin nasıl tamamlanabildiğinin teknik olarak incelenmesini, bu yöntemle kişisel verilere yetkisiz erişim sağlanıp sağlanamadığının kontrol edilmesini ve alınan veya alınacak teknik/idari tedbirler hakkında tarafıma yazılı bir bilgilendirme yapılmasını talep ediyorum.

KVKK kapsamında kişisel verilerimin güvenliği konusunda ciddi endişe duyduğumu, başvuruma makul süre içinde cevap verilmemesi veya yetersiz bir yanıt verilmesi halinde Kişisel Verileri Koruma Kurumu nezdinde şikayet ve diğer yasal haklarımı kullanmayı düşündüğümü bilgilerinize sunarım.