Il fornitore svedese di software Miljödata è stato multato di 1,8 milioni di SEK dopo che i regolatori hanno concluso che una sicurezza inadeguata ha contribuito a una grave violazione dei dati che ha colpito circa 2,2 milioni di persone.
L’attacco informatico è avvenuto nell’agosto 2025 e ha compromesso i sistemi utilizzati per elaborare le informazioni per organizzazioni in tutta la Svezia. Miljödata fornisce software per il luogo di lavoro e le risorse umane a un gran numero di comuni, autorità regionali, enti governativi e aziende private, conferendo all’incidente una portata insolitamente ampia.
Secondo l’ente regolatore svedese sulla privacy, le informazioni esposte includevano numeri di identità personali, dati di contatto e documenti sensibili relativi a congedi per malattia e riabilitazione sul posto di lavoro. Anche i dati relativi agli incidenti che coinvolgevano studenti nelle scuole sono stati influenzati. Le informazioni ottenute durante l’attacco sono state successivamente pubblicate sul dark web.
L’Autorità Svedese per la Protezione della Privacy ha rilevato che Miljödata non aveva implementato salvaguardie tecniche e organizzative adeguate alla sensibilità e alla portata delle informazioni gestite.
Una delle principali conclusioni del regolatore riguardava il software installato poco prima dell’attacco. Miljödata ha dichiarato che un componente firewall fornito da un’altra azienda era stato installato circa una settimana prima dell’intrusione. Tuttavia, il componente era una versione obsoleta contenente vulnerabilità note.
Le informazioni su tali debolezze di sicurezza erano già disponibili pubblicamente dal fornitore. Miljödata ha sostenuto di aver fatto affidamento su un prodotto costoso di un fornitore noto, ma l’autorità ha concluso che l’azienda rimaneva responsabile di verificare che la tecnologia fornisse una protezione adeguata.
Gli investigatori hanno individuato un’altra debolezza nella capacità di Miljödata di rilevare un attacco. L’azienda mancava di un monitoraggio automatico in tempo reale in grado di identificare intrusioni e attività sospette nei suoi sistemi.
Il regolatore ha concluso che tali mancanze costituivano una gestione negligente delle informazioni personali e violavano l’articolo 32(1) del GDPR, che richiede alle organizzazioni di adottare misure di sicurezza appropriate ai rischi che circondano i dati che trattano.
Miljödata afferma di prendere la decisione sul serio ma non concorda con tutte le conclusioni giunte dall’ente regolatore. L’azienda afferma che le carenze identificate durante l’indagine sono già state affrontate e che sono stati coinvolti specialisti esterni per rafforzarne la sicurezza.