Il fornitore svedese di software Miljödata è stato multato di 1,8 milioni di SEK, circa 183.000 dollari, dopo che i regolatori hanno concluso che una sicurezza inadeguata ha contribuito a una grave violazione dei dati che ha colpito circa 2,2 milioni di persone.
L’autorità svedese per la privacy ha indagato sull’azienda a seguito di un attacco informatico scoperto nell’agosto 2025. Gli aggressori hanno ottenuto accesso all’ambiente IT di Miljödata e hanno ottenuto grandi quantità di informazioni personali conservate in sistemi utilizzati da comuni, autorità regionali, enti governativi e organizzazioni private in tutta la Svezia.
Le informazioni compromesse includevano numeri d’identità personali e dati di contatto insieme a documenti più sensibili. Alcuni sistemi interessati contenevano informazioni su assenza per malattia e riabilitazione, mentre altri contenevano dettagli su incidenti che coinvolgevano studenti nelle scuole.
Informazioni rubate sono state successivamente pubblicate sul dark web. La portata dell’incidente è stata particolarmente significativa perché Miljödata fornisce software per il mondo del lavoro e le risorse umane a una larga parte del settore pubblico svedese.
L’indagine sulla privacy si è concentrata sul fatto che Miljödata avesse adottato misure tecniche e organizzative appropriate per proteggere le informazioni trattate. I regolatori hanno concluso che le sue protezioni non corrispondevano alla sensibilità e al volume dei dati personali contenuti nei suoi sistemi.
Un problema riguardava il software installato poco prima dell’intrusione. Miljödata ha detto ai regolatori che gli attaccanti sono entrati tramite un componente firewall fornito da un’altra azienda. Il prodotto era stato installato circa una settimana prima dell’attacco, ma la versione distribuita era obsoleta e conteneva vulnerabilità note.
Le informazioni su tali vulnerabilità erano pubblicamente disponibili dal fornitore. Miljödata sosteneva di non avere motivo di mettere in discussione il prodotto perché proveniva da un fornitore noto e rappresentava un investimento significativo, ma i regolatori conclusero che l’azienda rimaneva responsabile di verificare che i suoi sistemi fornissero una protezione adeguata.
Gli investigatori hanno inoltre riscontrato che Miljödata mancava di un monitoraggio in tempo reale automatizzato in grado di identificare intrusioni e attività sospette. Unite a controlli insufficienti durante l’installazione del software, le debolezze sono state considerate una violazione dell’articolo 32(1) del GDPR, che richiede alle organizzazioni di implementare misure di sicurezza appropriate ai rischi che circondano i dati personali.
L’ente regolatore ha descritto le carenze di sicurezza come gravi, data la portata della violazione e le informazioni sensibili coinvolte. Miljödata ha poi dichiarato di rammaricaresi profondamente l’impatto su clienti e individui interessati e ha affrontato diverse debolezze emerse durante l’indagine.
Le conseguenze regolatorie potrebbero non terminare con Miljödata. Le autorità svedesi stanno indagando separatamente su due comuni e una regione che hanno utilizzato i servizi dell’azienda per determinare se anche loro hanno adempiuto alle loro responsabilità di protezione delle informazioni personali.