Läckta bokningsuppgifter från hotell och bokningssajter används i avancerade bedrägerier mot svenska resenärer. Med namn, telefonnummer och resmål får bluffmeddelanden ett sken av att vara äkta.
Per-Åke Lindestad fick ett sådant meddelande – men hann reagera i tid.
Efter DN:s artikel om Johan Bergelin, som bara var ett klick ifrån att gå på ett avancerat nätbedrägeri, har över 30 personer med liknande erfarenheter hört av sig till redaktionen.
Det gäller hotellbokningar i både små och stora städer i Europa: Teneriffa, Stockholm, Köpenhamn, Oslo, Krakow, Frankfurt, Zürich, Aten och Uppsala.
Bluffmeddelandena har skickats via Whatsapp och mejl under 2025 och i år.
En av dem som fick ett sådant meddelande är Per-Åke Lindestad. I början av året ringde han Stockholmshotellet Best Western Karlaplan för att boka rum för en brittisk gästföreläsare, specialiserad på Egyptens ikoniska drottningar.
Några veckor före besöket, i mitten av mars, fick han ett meddelande om att bokningen behövde bekräftas med kreditkort – annars skulle bokningen förfalla.
Alla uppgifter stämde. Men överenskommelsen med hotellet var att betalningen skulle ske vid utcheckning.
Skumt, tyckte han.
Ett telefonsamtal till hotellet bekräftade hans misstanke: det var ett bluffmeddelande, med målet att få tag på hans kreditkortsuppgifter.
– Man ska vara kritisk om det inte stämmer med den överenskommelsen och höra av sig till den första kontakten.
Exakt hur bedragarna har fått tag på bokningsuppgifterna går inte att säkerställa. Men eftersom Per-Åke Lindestad gjorde bokningen per telefon direkt med hotellet misstänker han att läckan kommer därifrån.
I andra fall som DN har tagit del av verkar bedrägerierna ha skickats ut till kunder som bokat via Booking.com. Det finns flera fall där samma kund fått bedrägerimeddelanden för olika bokningar.
Gemensamt för Best Western och Booking.com är att båda meddelat att de drabbats av dataintrång i år.
Frukostserveringen är på upphällning när hotellmanagern Tim Sundblad tar emot på Best Westerns hotell vid Karlaplan.
Här har de sofistikerade bokningsbedrägerierna varit ett problem det senaste halvåret.
– I stort sett dagligen under kortare perioder men det går i vågor, säger Tim Sundblad.
Han känner sig trygg med att just hans hotell är säkert när det kommer till it-säkerhet eftersom det varit en prioriterad fråga för honom. Hotellet, som ingår i hotellkedjan med 190 hotell i Norden, har en egen it-avdelning som ansvarar för att bokningsdatan är säker. Personalen utbildas, uppmanas att aldrig klicka på länkar och att kolla avsändaren bakom varje meddelande noga.
Hittills har han inte fått kännedom om att någon har lurats av bedragarna. Men han har full förståelse för om det skulle hända eftersom Whatsappmeddelandena är bland det mest avancerade han sett.
Han bävar för den dagen.
– Man ska inte vara naiv för hur stort det kan påverka. Du kan ha en familj som sparat ihop i ett år för att åka på hotellsemester och blir bedragen, säger Tim Sundblad.
Att bolag i resebranschen drabbas av dataintrång är inte ovanligt. Företagen har stora mängder personuppgifter om folk från hela världen, vilket gör dem attraktiva för bluffmakare. Till synes harmlösa uppgifter som namn och telefonnummer kan användas för att skräddarsy personliga bedrägerimeddelanden med hög trovärdighetsfaktor, säger Fredrika Evans.
Men det är viktigt att de agerar snabbt för att minska skadeeffekterna, säger Fredrika Evans, dataskyddsjurist på Integritetsskyddsmyndigheten IMY.
Enligt GDPR (EU:s gemensamma dataskyddsförordning red. anm.) har bolagen 72 timmar på sig att anmäla ett intrång till IMY eller motsvarande dataskyddsmyndighet, om intrånget kan drabba berörda personer negativt. Annars riskerar bolaget böter, säger Fredrika Evans.
Just det hände Booking.com år 2021 när det Amsterdam-baserade företaget missade tidsfristen med 22 dagar och fick böter på 475 000 euro i Nederländerna.
Bedragarna utnyttjar ofta tidspress. När man är på väg på en resa kan man vara lite stressad för att missa sin hotellbokning, säger Fredrika Evans.
Så är det också i bedrägerimeddelanden som DN tagit del av. I flera meddelanden som skickats till DN-läsare är deadlinen för att bekräfta bokningen 11 timmar och 13 minuter. Annars löper bokningen ut.
Fredrika Evans uppmanar till is i magen.
– Det är väldigt få saker som är så akuta att man inte hinner ringa ett officiellt telefonnummer på en hemsida.
Är det bättre att boka via ett stort bokningsbolag eller direkt med hotellet ur integritetssynpunkt?
– Jag tror inte man kan förenkla så mycket. Oavsett om det är en stor aktör eller hotellet handlar det om att vara vaksam själv.
Tips.Gör så här om du får ett meddelande
Den som får ett bedrägerimeddelande ska agera, även om bedragarna inte lyckas lura dig, säger Evans.
Byt ut lösenord, framför allt om du använder samma lösenord på flera tjänster.