4 Lästid Information Commissioner’s Office bötfällde South Staffordshire Water med 963 900 pund på måndagen efter att ransomwaregruppen Cl0p hade funnits kvar i företagets nätverk i nästan två år och exponerat personuppgifter för 633 887 kunder och anställda. Angreppet började med ett enda phishingmejl i september 2020, men företaget upptäckte inte intrånget förrän prestandaproblem utlöste en intern utredning i juli 2022.
Böterna kommer samtidigt som brittiska vattenförsörjare möter ett rekordhögt antal cyberangrepp. Drinking Water Inspectorate tog emot fem rapporter om cybersäkerhetsincidenter mellan januari 2024 och oktober 2025, enligt uppgifter som Recorded Future News fått ut genom offentlighetslagstiftning. Det är fler än under tidigare registrerad tvåårsperiod.
Tjugo månader med oupptäckt åtkomst
Enligt ICO:s sanktionsbeslut öppnade en anställd en skadlig mejlbilaga i september 2020, vilket installerade programvara som gav angriparen ett fotfäste i företagsnätverket. Angriparen låg därefter dold till maj 2022, då denne började röra sig lateralt genom systemet med hjälp av ett domänadministratörkonto- den högsta behörighetsnivån i miljön.
South Staffordshire identifierade inte intrånget förrän problem med IT-prestandan ledde till en intern utredning den 15 juli 2022. Två veckor senare upptäckte företaget en lönesummeanteckning som angriparen misslyckats med att distribuera till vissa anställda. Mellan augusti och november 2022 upptäckte företaget att över 4,1 terabyte data publicerats på dark web.
ICO identifierade flera systematiska säkerhetsbrister i South Staffordshires miljö. Endast omkring fem procent av organisationens IT-infrastruktur övervakades aktivt, enligt tillsynsmyndigheten. Företaget använde dessutom föråldrad programvara utan support, inklusive Windows Server 2003, och hade bristfälliga rutiner för sårbarhetshantering som lämnade kritiska system utan säkerhetsuppdateringar.
Vattensektorn under press
Böterna mot South Staffordshire speglar den bredare press som brittisk vatteninfrastruktur står inför. Enligt nuvarande NIS-regler måste vattenförsörjare endast rapportera cyberincidenter som orsakar faktiska störningar i leveranserna. De fem senaste angreppen som rapporterades till Drinking Water Inspectorate anmäldes frivilligt, vilket tyder på att det verkliga antalet incidenter i sektorn kan vara betydligt högre.
ICO:s tillförordnade vd Ian Hulme använde fallet för att varna andra samhällsviktiga verksamgeter.
– Kunder har inget val när det gäller vilket vattenbolag som försörjer dem. De måste dela sina personuppgifter och sätta sin tillit till leverantören. Därför är det avgörande att vattenbolagen tar sitt ansvar för dataskydd på största allvar, sade Hulme.
Regeringens kommande Cyber Security and Resilience Bill, som väntas läggas fram i parlamentet senare i år, ska utöka de obligatoriska rapporteringskrav och skärpa säkerhetsstandarderna för operatörer av kritisk infrastruktur. Lagstiftningen kan knappast komma för tidigt – National Cyber Security Centre har redan hanterat på 50 procent fler nationellt betydelsefulla incidenter under 2024 jämfört med föregående år.
40 procent rabatt för samarbete
South Staffordshire fick 40 procent rabatt på böterna efter att tidigt ha erkänt ansvar och gått med på att inte överklaga beslutet. Företaget presenterade också bevis på säkerhetsförbättringar som genomförts efter incidenten samt på sitt samarbete med både ICO och National Cyber Security Centre.
Den ursprungliga bötern skulle ha överstigit 1,6 miljoner pund utan rabatten. ICO informerade företaget i december 2025 om sin avsikt att utfärda sanktionen, vilket gav South Staffordshire tid att förbereda sitt svar. Den frivilliga förlikningen gjorde att båda parter kunde undvika en långdragen överklagandeprocess.
Angreppet komprometterade inte säkerheten för dricksvattenförsörjningen, även om det störde företagets IT-system. Den skillnaden är viktig enligt dagens regelverk, men kanske inte kommer att ge samma skydd när den nya Cyber Security and Resilience Bill träder i kraft.
Referenser
- UK water company allowed hackers to lurk undetected for nearly two years, regulator finds
- Fine of nearly £1m issued against South Staffordshire Plc and South Staffordshire Water Plc
- Hackers are attacking Britain’s drinking water suppliers
- Poor security left hackers inside water company network for nearly two years
This post is also available in:
English
maj 22, 2026 
