Sikkerhetsfeil i Hudd-applikasjon rammet utsatte og sårbare

Sårbare medlemmer ble eksponert

Situasjonen er alvorlig fordi medlemmer i sårbare grupper ble vist med navn og poststed. For å nevne noen gjelder det grupper om tro, om sykdom, om rus, om legning. Også en niende klasse er blant gruppene som S&P har dokumentert. Dokumentasjonen S&P har samlet blir oversendt til Datatilsynet.

Hudd har drøyt 220 000 brukere og 18 000 grupper, dette ifølge egen nettside, det gir grunn til å tro at mange er rammet.

Hudd bekrefter feilen, men beklager ikke

I e-post til S&P i dag, kl: 12:35, har Hudd bekreftet at feilen ble rettet sent i går kveld, men opplyser ikke hvor lenge medlemslistene lå offentlig i applikasjonen før S&P hadde meldt feilen fire timer tidligere. Videre sier Hudd at feilen kun gjaldt enkelte lukkede grupper, men dette samsvarer ikke med det S&P erfarer.

Det fremstår ikke som Hudd har varslet de det gjelder etter hendelsen, det heter i e-posten; «Vi følger våre ordinære rutiner for håndtering av personvernshendelser og vil naturligvis oppfylle våre forpliktelser overfor Datatilsynet og eventuelt berørte brukere dersom vilkårene for dette er oppfylt.»

I Personvernforordningen artikkel 34 står det beskrevet at behandlingsansvarlig (Hudd) skal varsle den enkelte uten ugrunnet opphold når et sikkerhetsbrudd sannsynligvis medfører høy risiko for vedkommendes rettigheter og friheter.

Hudd tilbyr ingen beklagelse til de som er rammet i den nevnte e-posten.

Sendte tredjeparts produktreklame

Dette er ikke første gang Hudd har sviktet i forhold til sine personvern-forpliktelser. Tidligere denne uken sendte selskapet ut problematisk tredjeparts reklame til sine brukere, uten å innhente samtykke på forhånd og uten å sikre at innholdet var innenfor markedsføringsloven. Forholdet ble påpekt av S&P tidligere denne uken, og det ble erkjent som en feil av Hudd. Les mer om den saken her.

Personvern-risiko

Når dette blir publisert har Hudd fortsatt ikke, på generelt grunnlag, meldt om sikkerhetsfeilen til de 220 000 brukerne i applikasjonen. Dermed er brukerne uopplyst om at selskapet har en sikkerhetsbrist, og blir dermed fratatt informasjon som er nødvendig for å vurdere personverns-risiko ved bruk av applikasjonen.

Selskapets håndtering av personvern-forpliktelsene virker lite betryggende.

Oppdatert 7. september 2026

Hudd har i en ny e-post til S&P informert om at saken gjaldt gruppetypen Offentlig og Lukket, og at det er tilsiktet at medlemslisten skal være offentlig. Imidlertid ble medlemslisten stengt fredag kveld og er fortsatt stengt når S&P undersøker. Dette betyr at medlemslistene i grupper med denne innstillingen, også utsatte og sårbare grupper, har vært offentlige i Hudd helt fram til fredag.

Sett i lys av at dette er en sensitiv sak, er S&P varsom med å dele dokumentasjonen på det nevnte offentlig. Som nevnt over, sendes dokumentasjonen til Datatilsynet som er rette instans.

HAR DU TIPS?
Har du tips i denne saken, eller andre saker om Hudd?
Alle tips blir behandlet konfidensielt
Send en e-post til post@samfunnogpolitikk.no