De Zweedse softwareleverancier Miljödata is beboet met SEK 1,8 miljoen nadat toezichthouders concludeerden dat onvoldoende beveiliging heeft bijgedragen aan een groot datalek waarbij ongeveer 2,2 miljoen mensen zijn getroffen.
De cyberaanval vond plaats in augustus 2025 en compromitteerde systemen die worden gebruikt om informatie voor organisaties in heel Zweden te verwerken. Miljödata levert werkplek- en HR-gerelateerde software aan een groot aantal gemeenten, regionale autoriteiten, overheidsinstanties en particuliere bedrijven, waardoor het incident een ongewoon brede reikwijdte heeft.
Volgens de Zweedse privacytoezichthouder omvatten de blootgelegde informatie persoonlijke identiteitsnummers, contactgegevens en gevoelige gegevens over ziekteverlof en werkplekrehabilitatie. Gegevens over incidenten met leerlingen op scholen werden ook beïnvloed. Informatie die tijdens de aanval was verkregen, werd later gepubliceerd op het dark web.
De Zweedse Autoriteit voor Privacybescherming stelde vast dat Miljödata geen technische en organisatorische waarborgen had geïmplementeerd die passend waren voor de gevoeligheid en omvang van de informatie die het behandelde.
Een van de centrale bevindingen van de toezichthouder betrof software die kort voor de aanval was geïnstalleerd. Miljödata meldde dat een firewallcomponent van een ander bedrijf ongeveer een week voor de inbraak was geïnstalleerd. Het onderdeel was echter een verouderde versie met bekende kwetsbaarheden.
Informatie over die beveiligingslekken was al openbaar beschikbaar van de leverancier. Miljödata stelde dat het had vertrouwd op een duur product van een bekende leverancier, maar de toezichthouder concludeerde dat het bedrijf verantwoordelijk bleef voor het verifiëren van de technologie of de technologie voldoende bescherming bood.
Onderzoekers identificeerden een andere zwakte in Miljödata’s vermogen om een aanval te detecteren. Het bedrijf beschikte niet over geautomatiseerde realtime monitoring die indringers en verdachte activiteiten binnen zijn systemen kon identificeren.
De toezichthouder concludeerde dat deze tekortkomingen neerkwamen op nalatige behandeling van persoonsgegevens en in strijd waren met artikel 32(1) van de AVG, dat organisaties verplicht beveiligingsmaatregelen te nemen die passen bij de risico’s rondom de gegevens die zij verwerken.
Miljödata zegt de beslissing serieus te nemen, maar het niet eens te zijn met elke conclusie van de toezichthouder. Het bedrijf zegt dat de tijdens het onderzoek vastgestelde tekortkomingen al zijn aangepakt en dat externe specialisten zijn ingeschakeld om de veiligheid te versterken.