19. mars fikk hackere tilgang til 5.000 av Ikeas brukerkontoer i utviklingssystemet GitHub ved å utnytte en sårbarhet hos en tredjepart.
Det kommer fram i en avviksmelding Ikea har sendt til Datatilsynet, som NTB har fått innsyn i.
Ikea har norsk hovedkontor på Slependen i Asker.
Hackerne klarte å laste ned opplysninger om inntil 3.261 ansatte, og navn og adresse til 42.370 kunder. Ikea presiserer i meldingen at det er flere like oppføringer og noen fiktive opplysninger i datasettet. Det reelle antallet berørte er altså trolig lavere.
– Rotårsaken til datainnbruddet skyldes en sikkerhetssårbarhet i en tredjeparts åpen kildekode-programvare som brukes av databehandleren, Ikea IT AB, heter det i avviksmeldingen.
Les også
Forsynte seg med varer fra Ikea – nå må mannen møte i retten
Kan deles
Angrepet skal ha pågått i flere dager, der hackeren klonet flere datasett i GitHub Actions-miljøet til møbelgiganten. Ikea vet ikke hvem som står bak innbruddet.
– Den ukjente hackeren lastet ned personlige data om medarbeidere og kunder som tidligere beskrevet, og har nå tilgang til dataen, skriver de.
– Vi kan ikke anslå hvem eller hvor mange hackeren vil dele dataen med.
De skriver at mulige konsekvenser for de involverte er at de mister kontroll over egne personopplysninger, noe som øker faren for misbruk.
Ingen av opplysningene som er lekket, skal være sensitive personopplysninger.
Det er iverksatt flere tiltak for å hindre lignende hendelser senere, blant annet ved bedre opplæring. Flere av tiltakene som Ikea oppgir, har Datatilsynet unntatt offentlighet.
Les også
Pornoskuespiller i Ikea-lansering
Varslet Datatilsynet
Ikea i Norge ble varslet av det internasjonale konsernet 15. april, som har meldt inn saken til Datatilsynet i Nederland og Sverige.
– Ettersom Norge er et EØS-land, valgte vi å rapportere det direkte til det norske Datatilsynet kun på vegne av Ikea Norge i tillegg, så alle detaljene i den rapporten gjelder kun Norge, sier pressevakt Alexandra Backström i Ikea Norge til NTB.
Datatilsynet opplyser at de tar meldingen til etterretning, men at det er datatilsynet i Sverige som skal følge opp saken.
– Selv om hendelsen berørte også norske personer, har Ikea sin hovedvirksomhet i Sverige. GDPR regulerer oppfølging av slike såkalte grenseoverskridende saker slik at Datatilsynet i det landet hvor virksomheten har sin hovedvirksomhet, får ansvaret for saken, i dette tilfellet Sverige, sier spesialrådgiver Eirik Gulbrandsen i Datatilsynet til NTB.
(©NTB)
Les også
Gigantkjeden varsler. Du kan ha enorme summer i boden uten å vite: – Kommer tilbake
Innholdskarusell med 20 artikler.