Svensk systemleverandør får 1,8 millioner svenske kroner i gebyr etter lekkasje av sykefraværsdata

Det svenske personverntilsynet Integritetsskyddsmyndigheten (IMY) ga 22. september 2026 selskapet Miljödata i Karlskrona et gebyr på 1,8 millioner svenske kroner etter datainnbruddet selskapet ble utsatt for i august 2025. Innbruddet startet 20. august 2025, og vedtaket beskriver et løsepengeangrep der angriperen hadde begynt å kryptere tjenere før overvåkingssystemet til Miljödata varslet. IMY mener at angriperen fikk tilgang til mer informasjon nettopp fordi overvåkingen ikke varslet om innbruddet i tid. Ifølge selskapets egne opplysninger var rundt 2,2 millioner personer registrert i tjenestene og ble rammet av hendelsen, mens IMY skriver at manglene gjorde det mulig for uvedkommende å få tilgang til opplysninger om over to millioner personer. Selskapet bestrider vurderingen og mener at det ikke på noe punkt har behandlet personopplysninger i strid med forordningen.

Opplysningene omfattet personnummer, kontaktopplysninger, ansettelses- og organisasjonsdata og sensitive opplysninger om sykefravær, rehabilitering og hendelser som gjelder elever i skolen. Miljödata leverer webbaserte tjenester for personal- og arbeidsmiljøarbeid til over 300 kunder i Sverige, og en stor del av dem er kommuner, regioner og andre offentlige virksomheter. Omtrent en uke før innbruddet installerte selskapet en støttekomponent til en brannmurløsning på en tjener som var eksponert mot internett, og versjonen leverandøren hadde sendt, var utdatert og inneholdt en kjent kritisk sårbarhet som hadde vært omtalt på leverandørens eget nettsted i mer enn ett år. Miljödata kontrollerte ikke om versjonen var den siste, og forklarer det i vedtaket med at produktet var kostbart og kom fra en velkjent leverandør. IMY mener at to grunnleggende sikkerhetstiltak manglet: kontroll av at riktig versjon ble installert, og automatisk sanntidsovervåking, ettersom overvåkingen selskapet hadde først og fremst fulgte ytelse og tilgjengelighet. Angriperen utnyttet sårbarheten gjennom en SQL-injeksjon, tildelte seg høye rettigheter på tjeneren komponenten var installert på, kom forbi både virusdeteksjon, sikkerhetsovervåking og flerfaktorautentisering, og beveget seg mellom tjenere i tre døgn.

Natt til 23. august 2025 startet krypteringen av flere tjenere, og informasjonen ble hentet ut etter det. Tekniske varsler om feil i tjenesten gikk på ettermiddagen samme dag, selskapet isolerte alle tjenerne, indikasjonene på at data var hentet ut, kom først 2. september, og 14. september 2025 publiserte angriperen deler av opplysningene på Darknet. Miljödata er databehandler for opplysningene i tjenestene og behandlingsansvarlig bare i begrenset omfang, og fordi plikten i artikkel 32.1 gjelder begge rollene, tok IMY ikke stilling til rollefordelingen for hver enkelt behandling. Selskapet omsatte for 58,5 millioner svenske kroner i 2025, og to prosent av det er nær 1,17 millioner svenske kroner, men fordi rammen er den høyeste av to prosent av årsomsetningen og 10 millioner euro, gjaldt beløpet på 10 millioner euro i denne saken. IMY vurderte overtredelsen til høy alvorlighetsgrad og selskapet som uaktsomt, men la i noen grad vekt i formildende retning på informasjonsarbeidet selskapet gjorde rett etter hendelsen, blant annet møter med flere hundre berørte kunder. Etter angrepet har IMY også åpnet gransking av to kommuner og en region, og de sakene pågår fortsatt, mens vedtaket mot Miljödata kan påklages innen tre uker, med Förvaltningsrätten i Stockholm som instans.

Hva det betyr for deg som kjøper fagsystemer

Når du kjøper et fagsystem, kjøper du også leverandørens rutiner for å installere ny programvare. Miljödata hadde en prosess med behovsanalyse og vurdering av drift og sikkerhet, men ingen kontrollerte hvilken versjon som faktisk lå i pakken fra leverandøren. Vår lesning av vedtaket er at et kjent leverandørnavn ikke er en kontroll. Spørsmålet du kan stille dine egne leverandører, er hvem som verifiserer versjon og kjente sårbarheter før en komponent installeres på en tjener som er eksponert mot internett, og hvor det svaret er skrevet ned.

Legg også merke til at tofaktorpålogging var slått på internt, og at angriperen likevel kom seg videre etter å ha skaffet seg rettigheter på den ene tjeneren. Ansvaret ditt forsvinner ikke fordi driften ligger hos noen andre. Gebyret traff databehandleren, to kommuner og en region er nå under tilsyn i samme sak, og som behandlingsansvarlig er det du som må kunne vise hvordan leverandøren ble valgt og fulgt opp. Det krever konkrete krav i avtalen om versjonsstyring, overvåking og varslingsfrister, og en dokumentert kontroll av at kravene etterleves. Vi ser ofte databehandleravtaler som er signert én gang og aldri lest igjen. Da er avtalen et papir, ikke et tiltak.

Berigo anbefaler

• Krev at leverandøren dokumenterer hvilke versjoner som kjører av komponenter som er eksponert mot internett, og hvordan versjonene kontrolleres mot kjente sårbarheter.
• Be om å få se hva overvåkingen faktisk varsler på. Varsler som bare dekker ytelse og tilgjengelighet, fanger ikke en angriper som beveger seg mellom tjenere.
• Skriv inn i avtalen når leverandøren skal varsle deg om en hendelse, og be om en test som viser at varselet kommer fram.
• Gå gjennom hvilke særlige kategorier av personopplysninger leverandøren behandler for deg, og vurder om sikkerhetsnivået står i forhold til dem.
• Øv på en hendelse som starter hos leverandøren, slik at du vet hvem som melder til Datatilsynet og hvem som informerer de ansatte.