En befintlig variabel börjar användas på en webbsida
Vid en kodändring började SportAdmin använda en befintlig programvariabel på en webbsida. Variabeln användes direkt i kommunikationen med databasen. SportAdmins utredning pekade ut en SQL-injektion via variabeln som den sannolika vägen in. Vid en SQL-injektion får angriparen databasen att tolka inmatad text som kommandon.
Intrångsförsöken börjar
SportAdmins efterhandsanalys visade upprepade försök att utnyttja sårbarheten från morgonen den 14 januari.
Ett driftlarm leder till upptäckten
En server slutade svara, vilket utlöste ett larm från driftövervakningen. SportAdmin upptäckte det pågående intrånget genom en manuell granskning. Den fullständiga nedstängningen följde cirka en timme efter upptäckten. Lime publicerade sitt första börsmeddelande klockan 15.18.
Lime nämner personuppgifter
Lime skrev i ett nytt börsmeddelande att angriparen kunde ha fått tillgång till personuppgifter.
Limes kommunikationschef skriver till IMY
Jennie Everhed skrev att Lime ansåg språkbruket i IMY:s riskinformation vara ”väl alarmistiskt” och bad myndigheten beskriva användning av läckta uppgifter som en möjlighet. I samma mejl uppgav hon att Limes säkerhetsexperter bedömde en läcka som sannolik.
SportAdmin uppger att personuppgifterna publicerades
IMY:s beslut återger SportAdmins uppgift att de personuppgifter som angriparen hade hämtat ut publicerades den 14 mars 2025 på darknet, en samlingsbeteckning för webbtjänster som nås med särskild programvara.
IMY inleder tillsyn
Myndigheten började granska hur SportAdmin hade skyddat personuppgifterna med tekniska system och organisatoriska rutiner enligt artikel 32 i dataskyddsförordningen.
IMY fattar beslut
IMY slog fast en överträdelse av artikel 32.1 och beslutade om en administrativ sanktionsavgift på 6 miljoner kronor.
Källdokument
Integritetsskyddsmyndigheten, Beslut efter tillsyn enligt dataskyddsförordningen – Sportadmin i Skandinavien AB, .
Lime Technologies AB (publ), Information security incident in the SportAdmin platform, .
Lime Technologies AB (publ), Work on the information security incident in the SportAdmin platform is moving forward, .
Integritetsskyddsmyndigheten, handling IMY-2025-698-5, Limes mejl till IMY den 18 januari 2025, .