İsveçli yazılım sağlayıcısı Miljödata, düzenleyicilerin yetersiz güvenliğin yaklaşık 2,2 milyon kişiyi etkileyen büyük bir veri ihlaline katkıda bulunduğu sonucuna varmasının ardından 1,8 milyon SEK para cezası aldı.
Siber saldırı Ağustos 2025’te gerçekleşti ve İsveç genelindeki kuruluşlar için bilgi işleme için kullanılan sistemlerin tehlikeye girmesine neden oldu. Miljödata, çok sayıda belediyeye, bölgesel otorite, devlet kurumlarına ve özel şirketlere işyeri ve İK ile ilgili yazılımlar sağlayarak olayın alışılmadık derecede geniş bir erişimi sağlıyor.
İsveç’in gizlilik düzenleyicisine göre, ortaya çıkan bilgiler arasında kişisel kimlik numaraları, iletişim bilgileri ve hastalık izni ile iş yeri rehabilitasyonu ile ilgili hassas kayıtlar bulunuyordu. Okullarda öğrencilerle ilgili olaylarla ilgili veriler de etkilendi. Saldırı sırasında elde edilen bilgiler daha sonra karanlık ağda yayımlandı.
İsveç Gizlilik Koruma Otoritesi, Miljödata’nın işlediği bilgilerin hassasiyeti ve ölçeğine uygun teknik ve organizasyonel önlemler uygulamadığını tespit etti.
Düzenleyicinin temel bulgularından biri, saldırıdan kısa bir süre önce kurulan yazılımla ilgiliydi. Miljödata, başka bir şirket tarafından sağlanan bir güvenlik duvarı bileşeninin müdahaleden yaklaşık bir hafta önce kurulduğunu söyledi. Ancak bileşen, bilinen güvenlik açıkları içeren eski bir versiyondu.
Bu güvenlik zayıflıklarıyla ilgili bilgiler tedarikçiden zaten kamuya açık şekilde erişilmişti. Miljödata, tanınmış bir satıcıdan pahalı bir ürüne güvendiğini savundu, ancak düzenleyici, şirketin teknolojinin yeterli koruma sağladığını doğrulamaktan sorumlu olduğunu tespit etti.
Soruşturmacılar, Miljödata’nın saldırıyı tespit etme yeteneğinde başka bir zayıflık tespit etti. Şirket, sistemlerindeki müdahaleleri ve şüpheli faaliyetleri tespit edebilen otomatik gerçek zamanlı izlemeye sahip değildi.
Düzenleyici, bu başarısızlıkların kişisel bilgilerin ihmalkar şekilde ele alınması anlamına geldiğini ve GDPR’nin 32(1) maddesini ihlal ettiğini tespit etti; bu madde, kuruluşların işledikleri verilerle ilgili risklere uygun güvenlik önlemleri almasını zorunlu kılmaktadır.
Miljödata kararı ciddiye aldığını ancak düzenleyicinin vardığı her sonuca katılmadığını söylüyor. Şirket, soruşturma sırasında tespit edilen eksikliklerin zaten ele alındığını ve güvenliğini güçlendirmek için dış uzmanların göreve getirildiğini söylüyor.