NSW Yeniden Yapılanma Kurumu yüklenicisinin sel mağdurlarına ait verileri ChatGPT’ye yüklemesiyle bir veri ihlali yaşandığı bildirildi

Avustralya’nın Yeni Güney Galler (NSW) eyaletindeki Yeniden Yapılanma Kurumu (RA), 12-15 Mart 2025 tarihleri arasında eski bir dış yüklenicinin, kurumsal onay almadan hassas verileri ChatGPT platformuna yüklediğini duyurdu. Olay, 2022 yılındaki büyük sel felaketinden etkilenenlere yönelik yürütülen "Resilient Homes Program" (RHP) kapsamındaki başvuru sahiplerine ait bilgileri içeriyor.

Söz konusu veri setinin 10 sütun ve 12.000’den fazla satırdan oluşan bir Microsoft Excel dosyası olduğu; yapılan ilk incelemelere göre yaklaşık 3.000 kişinin isim, adres, e-posta ve telefon numarası gibi iletişim bilgilerinin yanı sıra bazı kişisel sağlık verilerinin de platforma aktarıldığı bildirildi. Kurum, olayın bir siber saldırı veya dışarıdan sızma girişimi olmadığını, verilerin yetkisiz bir yapay zekâ aracına manuel olarak yüklenmesi sonucu gerçekleşen bir veri ihlali olduğunu vurguladı.

NSW Yeniden Yapılanma Kurumu, olayla ilgili adli bilişim analizlerinin sürdüğünü ve Cyber Security NSW ile iş birliği içinde internet ile karanlık webin (dark web) izlendiğini açıkladı. Mevcut aşamada, yüklenen verilerin üçüncü taraflarca erişildiğine veya kötüye kullanıldığına dair somut bir kanıt bulunmadığı, riskin düşük değerlendirildiği ancak bu ihtimalin bütünüyle dışlanamadığı ifade edildi. Kurum, etkilenen kişilere yönelik bilgilendirme sürecinin başladığını ve kimlik belgelerinin yenilenmesi gerekirse makul masrafların karşılanacağını duyurdu.

Olayın ardından kurum içi güvenlik protokollerinin gözden geçirildiği, ChatGPT ve benzeri onaylanmamış yapay zekâ platformlarına veri yüklenmesini engelleyecek teknik kısıtlamaların devreye alındığı bildirildi. Ayrıca, NSW Gizlilik Komiserliği’ne konuyla ilgili resmi bildirim yapıldığı ve sürecin yönetimine ilişkin bağımsız bir inceleme başlatıldığı kaydedildi.