Information om dataintrång i avvecklad tjänst
Den 16 oktober 2026 upptäcktes ett dataintrång som kan ha berört personuppgifter i Stockholm Business Regions avvecklade tjänst Starta Eget. Intrånget är åtgärdat. Vi beklagar det som har hänt och ser mycket allvarligt på att uppgifter som lämnats till oss har exponerats. Här förklarar vi vad som har hänt, vad det kan betyda för dig och vad du kan göra.
Vad har hänt?
Vår webbyrå upptäckte att två servrar hos en av deras underleverantörer hade utsatts för ett obehörigt intrång. På servrarna fanns bland annat en databas med personuppgifter från Starta Eget, en kostnadsfri rådgivningstjänst för dig som ville starta företag i Stockholm. Tjänsten stängdes för användare i slutet av 2022.
Angriparen hade tekniskt sett åtkomst till allt som fanns på servrarna, men vår bedömning är att personuppgifterna inte var målet. Syftet verkar i stället ha varit att använda servrarna för en överbelastningsattack mot andra webbplatser - en så kallad DDoS-attack.
Har uppgifterna lämnats ut?
Vi ser inga spår av att uppgifter har hämtats. Leverantören loggar dock inte trafiken ut från servrarna, så vi kan inte heller utesluta det. Vi hanterar därmed händelsen som en personuppgiftsincident och kontaktar alla som kan vara berörda.
Vad betyder det för dig som använde Starta Eget?
Databasen innehöll namn, adresser, kontaktuppgifter, affärsidéer och i vissa fall personnummer. De flesta uppgifterna är flera år gamla. Personnummer tillsammans med namn och adress kan i värsta fall användas för id-kapning eller riktat nätfiske. Vi bedömer inte risken som stor, men var gärna uppmärksam på ovanliga kontakter och kontohändelser den närmaste tiden.
Tjänsten sparade inga BankID-koder eller inloggningsuppgifter.
Vad gör vi?
Stockholm Business Region har anmält personuppgiftsincidenten till Integritetsskyddsmyndigheten (IMY) och polisanmält intrånget. Servrarna är utbytta och säkerhetsbristen som gjorde intrånget möjligt är åtgärdad. Alla lösenord, nycklar och certifikat har bytts. Databasen raderas när utredningen är klar och vi har skickat ut information till de berörda.
Vad kan du göra själv?
- Var extra uppmärksam på meddelanden som uppmanar dig att agera snabbt, klicka på länkar eller öppna bilagor. Kontrollera avsändarens adress. Bedragare utger sig ofta för att vara kända företag och myndigheter.
- Lämna aldrig ut kortuppgifter, koder eller lösenord, varken via e-post eller telefon.
- Håll ditt BankID för dig själv. Banker och myndigheter ber dig aldrig att logga in eller legitimera dig när de kontaktar dig.
- Byt lösenord om du använder samma lösenord på flera tjänster.
- Är du osäker på ett meddelande? Kontakta avsändaren via ett telefonnummer eller en webbplats som du själv har letat upp.
Fler råd för privatpersoner finns hos Polisen, Myndigheten för civilt försvar och Skatteverket.
Frågor och kontakt
Allmänna frågor om intrånget: sbr.webmaster@stockholm.se
Dataskyddsombudet, som är fristående i sin roll och kan kontaktas direkt: funktionsbrevlada.dso@stockholm.se
Stockholm Business Region AB