Personuppgiftsincident i samband med nätfiskeattack

Norrtälje kommun har råkat ut för en så kallad nätfiskeattack. Det är inget ovanligt och det finns inget som tyder på att det riktar sig specifikt mot Norrtälje kommun. Våra analyser har dock visat att inloggningar gjorts från obehöriga användare och därför har en rad åtgärder vidtagits. En av dessa åtgärder är att vi nu informerar allmänheten om att personuppgifter kan ha exponerats för obehöriga.

Nätfiske är vanligt på internet. Dagligen drabbas kommuner, myndigheter och organisationer av nätfiskeförsök. I juni slog medarbetare på Norrtälje kommun larm om att de råkat ut för misstänkt e-post som såg ut att komma från en annan kommun. IT-avdelningen och dataskyddsombud började genast undersöka detta och kunde konstatera att flera medarbetare hade råkat klicka på en länk. Det ledde till att obehöriga angripare lyckades logga in. Flera åtgärder vidtogs snarast. Datorer rensades, misstänkta mejl togs bort från medarbetares inkorgar och alla uppmanades byta lösenord. Åtgärderna gav önskad effekt och felet ser ut att vara avhjälpt.

I och med att obehöriga har haft möjlighet att logga in i kommunens e-postkonton kan även invånares personuppgifter ha exponerats. Därför har anmälningar om personuppgiftsincident gjorts till Datainspektionen. Kommunen har en skyldighet att informera berörda enligt Dataskyddsförordningen GDPR, om det finns misstankar om att till exempel personnummer och känsliga personuppgifter har läckt ut och kan orsaka skada för de registrerade.

För att nå ut till så många som möjligt väljer vi att göra det brett med information till allmänheten via vår webbplats och till lokalmedia. På så sätt möjliggör vi för den som eventuellt har drabbats att vidta åtgärder. Genom att klicka på länken nedan kan man begära information om de egna personuppgifterna har läckt ut. Det gäller till exempel om man vet att man har skickat e-post med känsliga personuppgifter till Norrtälje kommun under våren 2020.

– Det finns inget som tyder på att syftet med attacken har varit att komma åt enskilda personuppgifter, men den som vill veta om deras personuppgifter exponerats för obehöriga kan begära information om förekomst via en e-tjänst som vi har tagit fram med anledning av den här incidenten, säger kommunens dataskyddsombud Rasmus Lundholm.

Det verkar dock som om endast ett fåtal mejl har spridits vidare till privatpersoner. Kommunen uppmanar nu alla invånare, på samma sätt som medarbetare tidigare uppmanats att inte klicka på länken ifall att man har fått ett liknande mejl.

– Om man får ett sådant mejl rekommenderar vi att man raderar det och sedan byter lösenord till sitt e-postkonto, säger kommunens dataskyddsombud Rasmus Lundholm.

E-tjänst: Begär information om personuppgifter i samband med incidenten

Kontakt

Rasmus Lundholm

Dataskyddsombud

E-post: dataskyddsombud@norrtalje.se

Telefon: 0176-28 41 68