A provedora sueca de software Miljödata foi multada em 1,8 milhão de SEK, aproximadamente 183.000 dólares, após os reguladores concluírem que a segurança inadequada contribuiu para uma grande violação de dados que afetou cerca de 2,2 milhões de pessoas.
A autoridade de privacidade da Suécia investigou a empresa após um ataque cibernético descoberto em agosto de 2025. Os atacantes tiveram acesso ao ambiente de TI da Miljödata e obtiveram grandes quantidades de informações pessoais armazenadas em sistemas usados por municípios, autoridades regionais, órgãos governamentais e organizações privadas em toda a Suécia.
As informações comprometidas incluíam números de identidade pessoal e dados de contato, além de registros mais sensíveis. Alguns sistemas afetados continham informações sobre ausência por doença e reabilitação, enquanto outros continham detalhes sobre incidentes envolvendo estudantes em escolas.
Informações roubadas foram posteriormente publicadas na dark web. A escala do incidente foi particularmente significativa porque a Miljödata fornece softwares de recursos humanos e para o ambiente de trabalho e recursos humanos para uma grande parte do setor público da Suécia.
A investigação de privacidade concentrou-se em saber se a Miljödata havia tomado medidas técnicas e organizacionais apropriadas para proteger as informações processadas. Os reguladores concluíram que suas proteções não correspondiam à sensibilidade e ao volume de dados pessoais contidos em seus sistemas.
Um problema envolveu software instalado pouco antes da invasão. Miljödata informou aos reguladores que atacantes entraram por meio de um componente de firewall fornecido por outra empresa. O produto havia sido instalado cerca de uma semana antes do ataque, mas a versão implantada estava desatualizada e continha vulnerabilidades conhecidas.
Informações sobre essas vulnerabilidades estavam publicamente disponíveis pelo fornecedor. A Miljödata argumentou que não tinha motivo para questionar o produto porque ele vinha de um fornecedor conhecido e representava um investimento significativo, mas os reguladores concluíram que a empresa continuava responsável por verificar se seus sistemas ofereciam proteção adequada.
Os investigadores também descobriram que a Miljödata não possuía monitoramento automatizado em tempo real capaz de identificar intrusões e atividades suspeitas. Combinadas com verificações insuficientes durante a instalação do software, as fraquezas foram consideradas uma violação do Artigo 32(1) do GDPR, que exige que as organizações implementem medidas de segurança adequadas aos riscos que envolvem dados pessoais.
O regulador descreveu as falhas de segurança como graves, dada a dimensão da violação e as informações sensíveis envolvidas. A Miljödata declarou desde então lamentar profundamente o impacto sobre clientes e indivíduos afetados e abordou várias fraquezas identificadas durante a investigação.
As consequências regulatórias podem não terminar com a Miljödata. As autoridades suecas estão investigando separadamente dois municípios e uma região que usaram os serviços da empresa para determinar se também cumpriram suas responsabilidades de proteger informações pessoais.