سازمان نظارت بر حریم خصوصی داده‌ها در سوئد (IMY)، شرکت Miljödata را که ارائه‌دهنده سیستم‌های IT است، به دلیل اتخاذ تدابیر امنیتی ناکافی که منجر به نشت داده‌های ۲.۲ میلیون نفر در اوت ۲۰۲۵ شد، به مبلغ ۱۸۳ هزار دلار (۱.۸ میلیون کرون سوئد) جریمه کرد.
تأثیر گسترده بر زیرساخت‌های شهری
شرکت Miljödata یک توسعه‌دهنده نرم‌افزاری سوئدی است که سیستم‌های مدیریت منابع انسانی (HR) و محیط کار را ارائه می‌دهد. نکته حائز اهمیت این است که حدود ۸۰ درصد از سیستم‌های شهرداری‌های سوئد از خدمات این شرکت استفاده می‌کنند.
در تاریخ ۲۵ اوت سال گذشته، این شرکت مورد حمله سایبری قرار گرفت که منجر به اختلال در خدمات IT در بیش از ۲۰۰ منطقه شد و داده‌های حساس شهروندان را به خطر انداخت.
باج‌افزار و افشای داده‌ها در دارک‌وب
عامل تهدید (Threat Actor) برای جلوگیری از انتشار اطلاعات سرقتی، مبلغ ۱.۵ بیت‌کوین (معادل ۱۶۸ هزار دلار در زمان حادثه) درخواست کرد. با این حال، پس از عدم پرداخت، اطلاعات سرقتی تحت نام «Datacarry» در دارک‌وب (Dark Web) منتشر شد.
داده‌های لو رفته شامل موارد زیر بود:
- شماره‌های شناسایی شخصی و اطلاعات تماس
- سوابق غیبت‌های استعلاجی و توان‌بخشی
- گزارش‌های مربوط به حوادث مدرسه برای افراد زیر سن قانونی
نقض قوانین GDPR و قصور امنیتی
بررسی‌های IMY که از نوامبر ۲۰۲۵ آغاز شده بود، نشان داد که Miljödata در رعایت تعهدات خود طبق مقررات عمومی حفاظت از داده‌های اتحادیه اروپا (GDPR) شکست خورده است. این سازمان تأیید کرد که شرکت مذکور در دو مورد کلیدی دچار قصور شده است:
- عدم بررسی کافی نرم‌افزارهای جدید: شرکت در هنگام نصب نرم‌افزارهای جدید، تست‌های امنیتی لازم را انجام نداده بود.
- فقدان مانیتورینگ بلادرنگ: نبود مکانیزم‌های نظارتی خودکار (Automated Monitoring) برای شناسایی نفوذ و فعالیت‌های مشکوک در لحظه.
این سهل‌انگاری به عنوان نقض ماده ۳۲(۱) از GDPR تلقی شده و منجر به جریمه مالی مذکور گردید. همچنین IMY اعلام کرده است که تحقیقات خود را درباره دو شهرداری و یک منطقه در ارتباط با این حمله ادامه می‌دهد و احتمال جریمه‌های تکمیلی برای آن‌ها وجود دارد.
