Så avslöjade Per-Åke den avancerade hotellbluffen

Efter att Dagens Nyheter publicerade en artikel om Johan Bergelin, som nästan blev offer för ett avancerat nätbedrägeri kopplat till en hotellbokning, har över 30 personer med liknande erfarenheter hört av sig till redaktionen. Fallen spänner över både stora och små europeiska städer, från Teneriffa och Stockholm till Köpenhamn, Oslo, Krakow, Frankfurt, Zürich, Aten och Uppsala.

Bluffmeddelandena, som skickats via både Whatsapp och mejl, har cirkulerat under 2024 och fortsätter in i 2025. Mönstret är påfallande likt i de flesta fall: kunder som bokat hotellrum får meddelanden där de uppmanas att bekräfta sin bokning med kreditkortsuppgifter, annars riskerar bokningen att förfalla.

## Riktade bedrägerier med korrekta uppgifter

En av de drabbade är Per-Åke Lindestad, som i början av året ringde Best Western Karlaplan i Stockholm för att boka rum åt en brittisk gästföreläsare specialiserad på Egyptens ikoniska drottningar. Några veckor före besöket, i mitten av mars, fick han ett meddelande om att bokningen behövde bekräftas med kreditkort.

Alla uppgifter i meddelandet stämde perfekt. Men eftersom överenskommelsen med hotellet var att betalningen skulle ske vid utcheckning, reagerade Lindestad. Ett telefonsamtal till hotellet bekräftade hans misstanke – det var ett bluffmeddelande vars syfte var att få tag på kreditkortsuppgifter.

”Man ska vara kritisk om det inte stämmer med den överenskommelsen och höra av sig till den första kontakten”, säger Lindestad, som nu funderar på om han borde ha polisanmält bedrägeriförsöket.

## Oklart ursprung till dataintrången

Hur bedragarna fått tillgång till bokningsuppgifterna går inte att säkerställa med absolut säkerhet. Men eftersom Lindestad gjorde sin bokning direkt med hotellet per telefon, misstänker han att läckan kommer därifrån.

I andra fall som DN tagit del av verkar bedrägerierna ha riktats mot kunder som bokat via Booking.com. Det finns flera exempel där samma kund fått bedrägerimeddelanden för olika bokningar, vilket tyder på systematiska dataintrång.

Gemensamt för både Best Western och Booking.com är att båda företagen meddelat att de drabbats av dataintrång under innevarande år. För Booking.coms del är detta inte första gången – 2021 fick det Amsterdam-baserade bolaget böter på 475 000 euro i Nederländerna efter att ha misslyckats med att rapportera ett dataintrång i tid till myndigheterna.

## Hotell kämpar med vågor av bedrägerier

När frukostserveringen på Best Western Karlaplan håller på att avslutas tar hotellmanagern Tim Sundblad emot för att berätta om sina erfarenheter. För hans hotell har de sofistikerade bokningsbedrägerierna varit ett återkommande problem under det senaste halvåret.

”I stort sett dagligen under kortare perioder men det går i vågor”, konstaterar Sundblad. Under våren var försöken många, men den senaste tiden har det varit lugnare.

Sundblad känner sig trygg med att just hans hotell prioriterar IT-säkerhet. Hotellet, som ingår i hotellkedjan med 190 hotell i Norden, har en egen IT-avdelning som ansvarar för att bokningsdata hålls säker. Personalen utbildas regelbundet, uppmanas att aldrig klicka på länkar och att noggrant kontrollera avsändaren bakom varje meddelande.

Hittills har han inte fått kännedom om att någon av hotellets kunder blivit lurad av bedragarna. Men han har full förståelse för om det skulle hända, eftersom Whatsapp-meddelandena är bland det mest avancerade han sett.

”Man ska inte vara naiv för hur stort det kan påverka. Du kan ha en familj som sparat ihop i ett år för att åka på hotellsemester och blir bedragen”, säger Sundblad.

## Resebranschen ett attraktivt mål

Att bolag i resebranschen drabbas av dataintrång är inte ovanligt. Företagen hanterar stora mängder personuppgifter om människor från hela världen, vilket gör dem särskilt attraktiva för bluffmakare. Till synes harmlösa uppgifter som namn och telefonnummer kan användas för att skräddarsy personliga bedrägerimeddelanden med hög trovärdighetsfaktor, förklarar Fredrika Evans, dataskyddsjurist på Integritetsskyddsmyndigheten IMY.

Men det är avgörande att företagen agerar snabbt för att minimera skadeeffekterna. Enligt GDPR, EU:s gemensamma dataskyddsförordning, har bolag 72 timmar på sig att anmäla ett intrång till IMY eller motsvarande dataskyddsmyndighet, om intrånget kan påverka berörda personer negativt. Annars riskerar bolaget betydande böter.

## Tidspressen som psykologiskt vapen

Bedragarna utnyttjar ofta tidspress i sin strategi. När människor är på väg på en resa kan de vara stressade över att missa sin hotellbokning, vilket gör dem mer mottagliga för manipulativa meddelanden, förklarar Evans.

Detta mönster syns tydligt i de bedrägerimeddelanden som DN tagit del av. I flera fall som skickats till DN-läsare är deadlinen för att bekräfta bokningen 11 timmar och 13 minuter. Annars löper bokningen ut, enligt hotet i meddelandet.

Evans uppmanar till lugn och besinning: ”Det är väldigt få saker som är så akuta att man inte hinner ringa ett officiellt telefonnummer på en hemsida.”

När det gäller frågan om det är säkrare att boka via ett stort bokningsbolag eller direkt med hotellet ur integritetssynpunkt, är Evans tydlig: ”Jag tror inte man kan förenkla så mycket. Oavsett om det är en stor aktör eller hotellet handlar det om att vara vaksam själv.”

## Viktiga åtgärder vid misstänkt bedrägeri

Integritetsskyddsmyndigheten rekommenderar att den som får ett bedrägerimeddelande agerar omedelbart, även om bedragarna inte lyckas lura dig. Byt ut lösenord, särskilt om du använder samma lösenord på flera tjänster. Kontakta hotellet eller bokningssajten direkt via officiella kanaler. Överväg att byta mejladress om du haft samma under lång tid.

Fenomenet illustrerar den växande utmaningen med cyberbrottslighet riktad mot resebranschen, där sofistikerade bedragare kombinerar stulna personuppgifter med psykologisk manipulation för att lura både privatpersoner och företag.