Sveriges integritetsskyddsmyndighet har bötfällt programvaruleverantören Miljödata med 1,8 miljoner kronor, cirka 183 000 dollar, efter en cyberattack i augusti 2025. Enligt företaget drabbade Miljödata-dataintrånget 2,2 miljoner människor.
Myndigheten, IMY, konstaterade att Miljödata inte hade tillhandahållit tillräcklig säkerhet för de känsliga personuppgifterna i sina system.
Attacken exponerade hälso- och identitetsuppgifter
Miljödata tillhandahåller arbetsplats- och HR-programvara till organisationer i hela Sverige. Bland kunderna finns kommuner, regioner, statliga myndigheter och privata företag.
Under attacken i augusti 2025 fick en hotaktör tillgång till en stor mängd personuppgifter. De stulna uppgifterna dök senare upp på dark web under namnet ”Datacarry”.
Uppgifterna omfattade personnummer och kontaktuppgifter. De innehöll även information om sjukfrånvaro, rehabilitering och incidenter som involverade skolelever.
Angriparen krävde 1,5 Bitcoin för att inte publicera uppgifterna. Trots kravet dök informationen upp på nätet. Intrånget störde också tjänster som användes av många svenska kommuner och andra organisationer.
Myndigheten identifierar säkerhetsbrister
IMY inledde en utredning i november 2025 för att granska Miljödatas säkerhetsrutiner. Granskningen identifierade två betydande brister.
För det första genomförde företaget inte tillräckliga kontroller vid installation av ny programvara. För det andra saknade det automatiserad övervakning i realtid för att upptäcka intrång och misstänkt aktivitet.
IMY ansåg att dessa åtgärder var otillräckliga med tanke på mängden och känsligheten hos de uppgifter som Miljödata hanterade. Myndigheten drog slutsatsen att företaget hade agerat oaktsamt och brutit mot artikel 32.1 i EU:s allmänna dataskyddsförordning.
Som ett resultat utfärdade IMY en sanktionsavgift på 1,8 miljoner kronor. Beslutet gäller Miljödatas säkerhetsskyldigheter och fastställer inte ansvaret för själva attacken.
Granskningar av kunder inom offentlig sektor fortsätter
Miljödata-dataintrånget drabbade kunder i hela Sverige. IMY uppger att de flesta svenska kommuner fanns bland de drabbade organisationerna, tillsammans med flera regioner, statliga myndigheter och privata företag.
Myndigheten har också inlett separata utredningar av två kommuner och en region med koppling till incidenten. Dessa granskningar pågår fortfarande och IMY har inte meddelat resultaten.
Fallet visar hur en attack mot en enda programvaruleverantör kan exponera information som hanteras för många kunder. Det belyser också vikten av att kontrollera programvaruändringar och snabbt upptäcka misstänkt aktivitet vid hantering av känsliga uppgifter.
0 svar till ”Sverige bötfäller Miljödata efter dataintrång som drabbade 2,2 miljoner människor”