Översikt
Intrånget, personuppgifterna och IMY:s beslut
SportAdmin levererar digitala tjänster för idrottsföreningar och andra organisationer. Tjänsterna hanterar bland annat medlemsregister, fakturering, föreningswebbplatser och kommunikation mellan ledare, medlemmar och målsmän.
SportAdmins efterhandsanalys visade upprepade intrångsförsök från den 14 januari 2025. Den 16 januari slutade en server svara. Serverstoppet utlöste ett larm från driftövervakningen. SportAdmin upptäckte det pågående intrånget genom en manuell granskning.
SportAdmins utredning pekade ut en SQL-injektion via en programvariabel som den sannolika vägen in. SQL är ett språk för att hämta och ändra uppgifter i databaser. Vid en SQL-injektion får angriparen databasen att tolka inmatad text som ett kommando. Databas- och Windowskontona hade omfattande behörigheter. Behörigheterna gav angriparen åtkomst till servern, där externa programfiler och PowerShell-skript kunde köras.
En stor del av de berörda var barn. Personuppgifterna omfattade namn, kontaktuppgifter, personnummer, familjerelationer och föreningstillhörighet samt, för vissa personer, allergier, funktionsnedsättningar och skyddade personuppgifter.
Lime beskrev nedstängningen som proaktiv. SportAdmins redovisning visar att servern först slutade svara, vilket utlöste ett driftlarm. SportAdmin upptäckte intrånget genom en manuell granskning. Den fullständiga nedstängningen följde cirka en timme senare. Lime beskrev därmed en reaktiv åtgärd som proaktiv. Formuleringen gav en missvisande bild av händelseförloppet.
Den 18 januari skrev Limes kommunikationschef att Lime ansåg språkbruket i IMY:s riskinformation vara ”väl alarmistiskt”. Hon bad myndigheten beskriva användning av läckta uppgifter som en möjlighet. I samma mejl uppgav hon att Limes säkerhetsexperter bedömde en läcka som sannolik.
Den 26 januari 2026 slog IMY fast att SportAdmin hade överträtt säkerhetskraven i artikel 32.1 i dataskyddsförordningen. Myndigheten beslutade om en administrativ sanktionsavgift på 6 miljoner kronor.
HuvudkällaIMY:s beslut i ärende IMY-2025-7801, den 26 januari 2026