Britská společnost South Staffordshire Plc a její dceřiná společnost, South Staffordshire Water Plc,
zabývající se poskytováním vodárenských služeb, dostaly pokutu blížící se 1 milionu liber poté, co
kybernetický útok na její technickou infrastrukturu zapříčinil únik dat více než 633 tisíc zákazníků.
Počátek útoku je trasován až do září roku 2020, ale k úniku většiny dat došlo až o dva roky později, mezi
květnem a červnem 2022. Útok počal rozesláním podvodných phishingových emailů, které obsahovaly
přílohu, jejíž otevření umožňovalo útočníkům nainstalovat do počítačů společností software umožňující
téměř kompletní přístup k jejich databázím a interním sítím. Tento software ovšem nebyl využit až do
roku 2022, kdy útočníci extrahovali data většiny dotčených subjektů údajů a následně data publikovaly
na dark webu. Objem publikovaných dat byl odhadnut na 4.1 terabajtů.
Únik se týkal osobních údajů jako jsou například jména, adresy, emailové adresy, datumy narození,
pohlaví, telefonní čísla, informace o bankovním účtu či dokonce informace o zdravotním postižení.
Únikem byly poznamenány i osobní údaje zaměstnanců, v jejich případě se jednalo především o osobní
údaje schraňované HR oddělením a o identifikační číslo užívané k evidenci odvodů na sociálním
zabezpečení a daních.
Britský dozorový orgán, ICO (Information Commissioner’s Office), konstatoval nedostatečnou
implementaci bezpečnostních opatření, především nedostatečná kontrolní opatření, která umožnila
útočníkům získat administrátorský přístup k datům, dále nedostatečné monitorování a logování dat,
používání zastaralého softwaru, který na mnoha zařízeních již nebyl podporován (např. Windows servery
z roku 2003) a nedostatečné interní bezpečností prověrky.
Vyšetřování celé kauzy počalo v prosinci 2025, kdy byl South Staffordshire informován o úmyslu ICO je
pokutovat. Společnosti od té doby přijaly nová bezpečností opatření, poskytly podporu dotčeným
subjektům údajů a plně s dozorovým orgánem spolupracovaly. Společnosti se s ICO nakonec dobrovolně
vyrovnaly a vzdaly se práva na odvolání, výměnou za což ICO snížil udělenou pokutu o 40 % na
konečných 963 900 liber.