Miljödata om attacken: Uppgifter har läckt – alla drabbade är informerade

Cyberattacken mot systemleverantören Miljödata den 23 augusti drabbade en mängd svenska aktörer, däribland en stor del av Sveriges kommuner och regioner. Därutöver påverkades exempelvis Skatteverket, CSN och Linköpings universitet, samt företag som Scania, Axfood och Volvo. Drygt 500 anmälningar har inkommit till Integritetsskyddsmyndigheten efter attacken. 

Miljödata har nu publicerat en uppdatering om incidenten på sin webbplats. Där skriver leverantören att arbetet med att återställa tjänsterna nu är helt klart. Merparten av bolagets kunder är åter i drift, och arbetet fortsätter med de övriga. 

Vidare skriver bolaget att den forensiska utredningen är i sin slutfas. Miljödata har hittat bevis för att hotaktören tillskansat sig och tagit del av viss information ur de drabbade systemen. Detta gäller dock endast ett begränsat antal av Miljödatas kunder.

Berörda kunder har informerats

Informationen som omfattas av detta är uppgifter från persontabeller (bland annat personnummer, namn, adress och kontaktuppgifter). Miljödata poängterar att detaljer såsom läkarintyg, facktillhörighet, anteckningar från chefer eller orsak till rehabplaner inte ingår i den läckta informationen. 

Miljödata skriver också att det inte finns några bevis för att informationen har spridits. Alla kunder som berörts informerades via sina utpekade DPO:er 2 september. 

Vidtagna åtgärder 

I uppdateringen skriver Miljödata att man vidtagit ett antal olika åtgärder. Sårbarheten i it-stödsystemet som möjliggjorde angreppet har stängts och alla spår av hotaktören har tagits bort. Därutöver har man begränsat miljöns internetexponering, säkerställt samtliga identiteters suveränitet (både för servrar, tjänster och användare) och klientmiljön har återställts med lösenordsrotation på samtliga konton. 

Leverantören arbetar vidare för att få full insikt i vad som hänt och har delat underlag med polisen för fortsatt utredning. Avslutningsvis skriver Miljödata att man kommer att informera DPO eller motsvarande när incidentrapporten är klar via “Slutgiltig information till personuppgiftsansvariga”.