Sveriges databeskyttelsesmyndighed har givet softwareleverandøren Miljödata en bøde på 1,8 millioner SEK, cirka 183.000 dollar, efter et cyberangreb i august 2025. Ifølge virksomheden ramte Miljödata-databruddet 2,2 millioner mennesker.
Tilsynsmyndigheden, kendt som IMY, konkluderede, at Miljödata ikke havde sørget for tilstrækkelig sikkerhed for de følsomme personoplysninger i sine systemer.
Angrebet eksponerede helbreds- og identitetsoplysninger
Miljödata leverer software til arbejdspladser og HR til organisationer i hele Sverige. Kunderne omfatter kommuner, regionale myndigheder, statslige myndigheder og private virksomheder.
Under angrebet i august 2025 fik en trusselsaktør adgang til en stor mængde personoplysninger. De stjålne data dukkede senere op på dark web under navnet “Datacarry”.
Oplysningerne omfattede personnumre og kontaktoplysninger. De indeholdt også oplysninger om sygefravær, rehabilitering og hændelser, der involverede skoleelever.
Angriberen krævede 1,5 Bitcoin for at forhindre offentliggørelse af dataene. Trods dette krav blev oplysningerne offentliggjort online. Databruddet forstyrrede også tjenester, som blev brugt af adskillige svenske kommuner og andre organisationer.
Tilsynsmyndigheden identificerer sikkerhedsbrister
IMY indledte en undersøgelse i november 2025 for at vurdere Miljödatas sikkerhedspraksis. Gennemgangen identificerede to væsentlige mangler.
For det første gennemførte virksomheden ikke tilstrækkelige kontroller ved installation af ny software. For det andet manglede den automatiseret overvågning i realtid til at opdage indbrud og mistænkelig aktivitet.
IMY vurderede, at disse foranstaltninger var utilstrækkelige i betragtning af mængden og følsomheden af de data, Miljödata håndterede. Tilsynsmyndigheden konkluderede, at virksomheden havde handlet uagtsomt og overtrådt artikel 32, stk. 1, i EU’s generelle forordning om databeskyttelse.
Som følge heraf pålagde IMY virksomheden en bøde på 1,8 millioner SEK. Afgørelsen vedrører Miljödatas sikkerhedsforpligtelser og placerer ikke ansvaret for selve angrebet.
Undersøgelser af kunder i den offentlige sektor fortsætter
Miljödata-databruddet ramte kunder i hele Sverige. IMY oplyser, at de fleste svenske kommuner var blandt de berørte organisationer sammen med flere regioner, statslige myndigheder og private virksomheder.
Tilsynsmyndigheden har også indledt separate undersøgelser af to kommuner og én region med forbindelse til hændelsen. Disse undersøgelser er stadig i gang, og IMY har ikke offentliggjort resultaterne.
Sagen viser, hvordan et angreb på én softwareleverandør kan eksponere oplysninger, der opbevares for mange kunder. Den understreger også vigtigheden af at kontrollere softwareændringer og hurtigt opdage mistænkelig aktivitet ved håndtering af følsomme oplysninger.
0 svar til “Sverige giver Miljödata bøde efter databrud, der ramte 2,2 millioner mennesker”