Шведският регулатор за защита на личните данни (IMY) наложи глоба от $183 000 (1,8 милиона шведски крони) на доставчика на ИТ системи Miljödata за недостатъчни мерки за сигурност, довели до пробив през август 2025 г., засегнал 2,2 милиона души.

Miljödata е шведска софтуерна компания, която разработва и предоставя системи за управление на работната среда и човешките ресурси, използвани от 80% от общинските системи в Швеция.

Миналата година, на 25 август, компанията стана жертва на кибератака, която прекъсна ИТ услугите в над 200 региона и компрометира чувствителни данни на жителите.

Атакуващият поиска откуп от 1,5 биткойна (оценени на $168 000 по това време), за да предотврати изтичането на откраднатата информация, но я публикува в тъмната мрежа под името „Datacarry“.

Информацията включваше лични идентификационни номера, данни за контакт, отсъствия поради боледуване, рехабилитация и дори училищни инциденти с непълнолетни лица.

IMY започна разследване през ноември 2025 г., за да установи дали пропуските в сигурността нарушават задълженията на компанията съгласно Общия регламент относно защитата на данните (GDPR) на Европейския съюз.

Агенцията потвърди, че компанията не е направила адекватна проверка на новоинсталирания софтуер и е липсвал автоматизиран механизъм за мониторинг в реално време за откриване на пробиви и съмнителна активност.

„Разследването на IMY показва, че компанията не е поддържала достатъчно високо ниво на техническа и организационна сигурност, като се има предвид видът на обработваните лични данни“, се казва в съобщението.

„Компанията не е извършила достатъчно проверки при инсталиране на нов софтуер и не е разполагала с автоматизиран мониторинг в реално време на своите системи за откриване на пробиви и съмнителна активност.“

Невниманието представлява нарушение на член 32, параграф 1 от GDPR, за което агенцията наложи глоба в размер на $183 000.

Авторите на заплахи понякога използват перспективата за регулаторни глоби, за да принудят жертвите да платят, и могат да поставят искания под сумата, която смятат, че инцидентът би струвал в крайна сметка, за да подтикнат жертвите да платят откупа.

IMY отбеляза, че също така е започнала разследвания срещу две общини и един регион във връзка с атаката срещу Miljödata, които продължават, така че в бъдеще могат да бъдат наложени допълнителни санкции.