瑞典因影响 220 万人的数据泄露事件对 Miljödata 处以 18.3 万美元罚款

瑞典数据隐私监管机构 IMY 对 IT 系统提供商 Miljödata 处以 18.3 万美元（180 万瑞典克朗）的罚款，原因是其安全措施不足，导致 2025 年 8 月发生了一起影响 220 万人的数据泄露事件。

Miljödata 是一家瑞典软件公司，开发和提供工作环境与人力资源管理系统的系统，瑞典 80% 的市政系统都在使用。

去年 8 月 25 日，该公司遭受了一次网络攻击，导致 200 多个地区的 IT 服务中断，并泄露了居民的敏感数据。

威胁行为者索要 1.5 个比特币（当时价值 16.8 万美元）的赎金以阻止泄露被窃信息，但最终以 "Datacarry" 之名将其发布在暗网上。

这些信息包括个人身份号码、联系方式、病假、康复信息，甚至涉及未成年人的校园事件。

IMY 于 2025 年 11 月启动调查，以确定是否存在安全缺陷违反了该公司在欧盟《通用数据保护条例》(GDPR) 下的义务。

该机构现已确认，该公司未能充分检查新安装的软件，且缺乏用于检测入侵和可疑活动的自动化实时监控机制。

"IMY 的调查显示，考虑到该公司处理的数据类型，其未维持足够高的技术和组织安全水平，"公告写道。

"该公司在安装新软件时未进行充分检查，也没有对其系统进行自动化实时监控以检测入侵和可疑活动。"

这一疏忽构成对 GDPR 第 32(1) 条的违反，该机构据此处以 18.3 万美元的罚款。

威胁行为者有时会利用监管处罚的前景来迫使受害者付款，并可能将索要金额设定在低于他们认为事件最终会造成的成本之下，以激励受害者支付赎金。

IMY 指出，它还就针对 Miljödata 的攻击对两个市和一个地区启动了调查，这些调查仍在进行中，因此未来可能会施加额外处罚。