De Zweedse softwareleverancier Miljödata is beboet met SEK 1,8 miljoen, ongeveer $183.000, nadat toezichthouders concludeerden dat onvoldoende beveiliging heeft bijgedragen aan een groot datalek waarbij ongeveer 2,2 miljoen mensen werden getroffen.
De Zweedse privacyautoriteit onderzocht het bedrijf na een cyberaanval die in augustus 2025 werd ontdekt. Aanvallers kregen toegang tot de IT-omgeving van Miljödata en verkregen grote hoeveelheden persoonlijke informatie die waren opgeslagen in systemen die worden gebruikt door gemeenten, regionale autoriteiten, overheidsinstanties en particuliere organisaties in heel Zweden.
De gecompromitteerde informatie omvatte persoonlijke identiteitsnummers en contactgegevens, naast gevoeligere gegevens. Sommige getroffen systemen bevatten informatie over ziekteverzuim en revalidatie, terwijl andere details bevatten over incidenten met leerlingen op scholen.
Gestolen informatie werd vervolgens gepubliceerd op het dark web. De omvang van het incident was bijzonder belangrijk omdat Miljödata werkplek- en personeelssoftware levert aan een groot deel van de Zweedse publieke sector.
Het privacyonderzoek richtte zich op de vraag of Miljödata passende technische en organisatorische maatregelen had genomen om de informatie die het verwerkte te beschermen. Toezichthouders concludeerden dat de bescherming niet overeenkwam met de gevoeligheid en het volume van persoonsgegevens in hun systemen.
Een probleem betrof software die kort voor de inbraak was geïnstalleerd. Miljödata vertelde aan toezichthouders dat aanvallers via een firewallcomponent van een ander bedrijf binnenkwamen. Het product was ongeveer een week voor de aanval geïnstalleerd, maar de geïmplementeerde versie was verouderd en bevatte bekende kwetsbaarheden.
Informatie over deze kwetsbaarheden was openbaar beschikbaar van de leverancier. Miljödata stelde dat het geen reden had om het product in twijfel te trekken omdat het afkomstig was van een bekende leverancier en een aanzienlijke investering vormde, maar toezichthouders concludeerden dat het bedrijf verantwoordelijk bleef voor het verifiëren of zijn systemen voldoende bescherming boden.
Onderzoekers ontdekten ook dat Miljödata geen geautomatiseerde realtime monitoring had die indringers en verdachte activiteiten kon identificeren. In combinatie met onvoldoende controles tijdens software-installatie werden de zwaktes beschouwd als een schending van artikel 32(1) van de AVG, dat organisaties verplicht beveiligingsmaatregelen te implementeren die passen bij de risico’s rondom persoonsgegevens.
De toezichthouder omschreef de beveiligingstekortkomingen als ernstig gezien de omvang van het datalek en de gevoelige informatie die ermee te maken heeft. Miljödata heeft sindsdien uitgesproken dat het de impact op klanten en getroffen personen diep betreurt en heeft verschillende tijdens het onderzoek vastgestelde zwakke plekken aangepakt.
De regelgeving hoeft niet te eindigen bij Miljödata. De Zweedse autoriteiten onderzoeken afzonderlijk twee gemeenten en één regio die gebruikmaakten van de diensten van het bedrijf om te bepalen of zij ook aan hun verantwoordelijkheden voor het beschermen van persoonlijke informatie voldeden.