Johan Bergelin bokar alltid sina resor i god tid. Så var det också i vintras när kompisgänget började planera sommarens bilsemester i Europa som går till Tjeckien, Slovenien, Italien, San Marino, Liechtenstein, Österrike och Tyskland. Sammanlagt bokade de övernattningar på över tio hotell via den välkända bokningssajten Booking.com.
Några veckor innan avfärden fick Bergelin ett meddelande på Whatsapp från ett av de italienska hotellen han bokat. Det artigt formulerade messet från ett företagskonto uppmanade honom att bekräfta bokningen inom elva timmar.
Att kommunicera direkt med boendet är han van vid, det gör han ofta när han bokat ett hus i stället för hotell. Den informationsväxlingen brukar oftast gå via bokningssajtens app. Men eftersom meddelandet innehöll hans namn, det bokade hotellet, de korrekta bokningsdatumen och hans telefonnummer slog han undan tanken.
Johan Bergelin brukar inte klicka på länkar han får skickade till sig. Men eftersom alla uppgifter var korrekta tänkte han att det var legitimt, för ingen annan än Booking.com eller hotellet kan ha all information.
Han slussas vidare till en sajt som såg trovärdig ut.
– Men så såg jag att jag skulle mata in mina betaluppgifter igen. Då stängde jag ner och tyckte att det kändes väldigt skumt.
Varningsklockorna ringde så pass högt att han mejlade hotellet direkt för att kolla om personalen verkligen bett om hans kreditkortsuppgifter en gång till.
Svaret kom direkt: Nej.
– Det var precis på gränsen att jag gick på det. Som nätfiskeförsök är det väldigt välgjort.
Ytterligare en i samma resesällskap hade fått två liknande kontaktförsök. Exakt hur bedragarna har fått tag i uppgifterna är oklart, DN har sökt hotellet för att fråga om det utsatts för ett dataintrång, utan resultat. Samtliga bokningar är dock gjorda via Booking.com som i april i år rapporterades ha utsatts för en dataläcka.
Booking.com avböjer intervju men skriver i ett mejl till DN att man i april märkte ”viss misstänkt aktivitet där obehöriga tredje parter fått tillgång till bokningsinformation för några av våra gäster”. Hur många kunder som påverkats svarar de inte på.
De läckta uppgifterna kan innehålla namn, mejladress, telefonnummer, bokningsinformation om både tidigare och aktiva bokningar – samt all annan information som kunden delat med sitt boende.
Däremot ska inte finansiell information, kundernas hemadresser och lösenord ha exponerats, uppger bolaget.
Bokningssajten ska ha uppdaterat pinkoderna för de berörda bokningarna och informerat kunderna. Man ska också ha informerat relevanta dataskyddsmyndigheter, skriver bolaget i mejlet.
De läckta uppgifterna är guld värda eftersom det gör att bedragarna kan kontakta hotellgäster direkt, säger Jan Olsson, kriminalkommissarie på Polisens nationella it-brottscentrum.
– Trovärdigheten är jättehög om man får ett sådant meddelande eftersom man vet att man bokat och allt står där. Alla kan gå på det när man är lite stressad och inte tänker sig för, säger Jan Olsson och räknar upp tre anledningar:
● Vi har betydligt lägre misstänksamhet mot ett meddelande på Whatsapp än ett mejl, där vi i det senare fallet är vana vid nätfiske och spam.
● Vi har lärt oss att titta efter varifrån ett mejl kommer, men det går inte i Whatsapp i samma utsträckning.
● Det finns ytterst få företag som har ett filter mot det här på samma sätt som mot skräppost.
– Det här är bland det mest sofistikerade jag har sett, säger Jan Olsson.
Booking.com är långt ifrån ensamma om att drabbas. Också hotellkedjan Best Western utsattes för ett liknande dataintrång tidigare i år. Jan Olsson rekommenderar därför sund misstänksamhet. Blir man fundersam lönar det sig att ringa eller mejla hotellet.
Samtidigt finns det ingen som kan skydda sig till hundra procent. Om olyckan är framme borde företagen meddela alla kunder, säger Jan Olsson.
Johan Bergelin har själv jobbat mycket med datasäkerhetsfrågor och är därför extra medveten om hur lätt det är för företag att bli hackade. Därför tycker han det är konstigt att informationen om vem som bokar, telefon, mejladress, resedatum och övrig information som delats med hotellen inte verkar ha varit krypterad.
– Om hackarna hade tagit sig in i databasen hade de inte kunnat se något om allt är krypterat. Det är trianguleringen av informationen som gör att det blir så trovärdigt, säger han.
Med tanke på hur vanligt det är tycker Johan Bergelin att det är viktigt att bolagen som drabbas är öppna med vad som hänt och informerar sina kunder.
– Jag har inte fått någon pushnotis som säger att vi blivit hackade. Jag hade ingen aning om att det här hade hänt.
Läs mer:
Jätteläcka av lösenord – svenskar bland de drabbade
Statligt it-system läckt på darknet efter dataintrång
Expert: Skyddade personuppgifter läckta på darknet