İsveçli yazılım sağlayıcısı Miljödata, düzenleyicilerin yetersiz güvenliğin yaklaşık 2,2 milyon kişiyi etkileyen büyük bir veri ihlaline katkıda bulunduğu sonucuna varmasının ardından yaklaşık 183.000 dolar (1,8 milyon SEK) para cezası aldı.
İsveç’in gizlilik otoritesi, Ağustos 2025’te tespit edilen bir siber saldırının ardından şirketi araştırdı. Saldırganlar, Miljödata’nın BT ortamına erişim sağladı ve İsveç genelinde belediyeler, bölgesel otoriteler, devlet kurumları ve özel kuruluşlar tarafından kullanılan sistemlerde saklanan büyük miktarda kişisel bilgi elde etti.
Ele geçirilen bilgiler arasında kişisel kimlik numaraları ve iletişim bilgileri ile daha hassas kayıtlar bulunuyordu. Etkilenen bazı sistemler hastalık devamsızlığı ve rehabilitasyon hakkında bilgiler içerken, diğerleri okullarda öğrencilerle ilgili olaylarla ilgili detayları içeriyordu.
Çalınan bilgiler daha sonra karanlık ağda yayımlandı. Olayın ölçeği özellikle önemliydi çünkü Miljödata, İsveç’in kamu sektörünün büyük bir kısmına işyeri ve insan kaynakları yazılımı sağlamaktadır.
Gizlilik soruşturması, Miljödata’nın işlediği bilgileri korumak için uygun teknik ve organizasyonel önlemler alıp almadığına odaklandı. Düzenleyiciler, korumalarının sistemlerindeki kişisel verilerin hassasiyeti ve hacmiyle uyumlu olmadığı sonucuna vardı.
Bir sorun, müdahaleden kısa bir süre önce kurulan yazılımla ilgiliydi. Miljödata, düzenleyicilere saldırganların başka bir şirket tarafından sağlanan bir güvenlik duvarı bileşeninden girdiğini söyledi. Ürün saldırıdan yaklaşık bir hafta önce kurulmuştu, ancak konuşlandırılan versiyon eski ve bilinen güvenlik açıkları içeriyordu.
Bu açıklıklarla ilgili bilgiler tedarikçiden kamuya açık şekilde sunuluyordu. Miljödata, ürünün tanınmış bir tedarikçiden geldiği ve önemli bir yatırım teşkil ettiği için ürünü sorgulamak için bir sebep olmadığını savundu, ancak düzenleyiciler, şirketin sistemlerinin yeterli koruma sağladığını doğrulamaktan sorumlu olduğunu sonucuna vardı.
Araştırmacılar ayrıca Miljödata’nın müdahaleleri ve şüpheli faaliyetleri tespit edebilen otomatik gerçek zamanlı izlemeye sahip olmadığını buldu. Yazılım kurulumu sırasında yetersiz kontrollerle birleşince, bu zayıflıklar GDPR’nin 32(1) maddesinin ihlali olarak değerlendirildi; bu madde, kuruluşların kişisel verilerle ilgili risklere uygun güvenlik önlemleri almasını zorunlu kılıyor.
Düzenleyici, ihlalın büyüklüğü ve hassas bilgiler göz önüne alındığında güvenlik eksikliklerini ciddi olarak tanımladı. Miljödata daha sonra müşteriler ve etkilenen bireyler üzerindeki etkisinden derin pişmanlık duyduğunu belirtti ve soruşturma sırasında tespit edilen bazı zayıflıkları ele aldı.
Düzenleyici sonuçlar Miljödata ile bitmeyebilir. İsveç yetkilileri, şirketin hizmetlerini kullanan iki belediye ve bir bölgeyi ayrı ayrı soruşturarak, kişisel bilgileri koruma sorumluluklarını da yerine getirip getirmediklerini belirlemektedir.