Jesper Bengtson
En ny sommarbluff använder äkta bokningsdata för att lura resenärer att lämna ifrån sig sina kortuppgifter.
Bedragarna vet vilket hotell du bokat, när du checkar in och vad du heter. Just därför är sms:et eller WhatsApp-meddelandet så svårt att avslöja, och just därför varnar Polismyndigheten mitt i högsäsong.
Bakom vågen ligger en av årets största dataläckor inom resebranschen. I april 2026 bekräftade Booking.com att obehöriga tredje parter fått åtkomst till gästdata via ett partnersystem. Namn, e-postadresser, adresser, telefonnummer och bokningsdetaljer läckte ut, och sedan dess har information dykt upp i riktade phishing-kampanjer mot resenärer.
Så går bluffen till
Bedragaren hör av sig via sms eller WhatsApp och utger sig för att komma från hotellet eller bokningssajten. Meddelandet innehåller korrekta uppgifter, rätt hotellnamn, rätt datum, rätt namn, och ber dig ”verifiera” bokningen genom att klicka på en länk och lägga in kortuppgifter.
Enligt kommissarie Jan Olsson vid polisens nationella operativa avdelning bygger scammet på att offret ska tro att kontakten är äkta. ”De ska verifiera sin bokning så att det här hotellrummet om 2-3 månader verkligen finns där. Sedan gör man det genom att verifiera sig med sitt bankkort”, säger han till SVT.
Bakom kampanjerna ligger enligt Microsoft en kriminell grupp som spåras som Storm-1865. Angreppen börjar inte hos resenären utan hos hotellet: personalen luras att köra ett kommando som installerar informationsstjälande skadeprogram, varefter bedragarna får åtkomst till gästlistan via legitima kanaler. ”Tillägget av ClickFix till hotaktörens taktik, tekniker och rutiner visar hur Storm-1865 utvecklar sina attackkedjor”, skriver Microsoft.
Tre tecken som avslöjar bluffen
Även när uppgifterna stämmer finns tydliga varningssignaler:
1. Meddelandet flyttar dig från den vanliga kanalen. Om ett företag plötsligt vill sköta kommunikationen via sms, WhatsApp eller Telegram i stället för via bokningsappen är det ett tecken på bedrägeri. En äkta bokningsbekräftelse behöver aldrig kompletteras via en messenger-tjänst.
2. Du uppmanas att ”verifiera” med bankkortet. Varken hotell eller bokningssajter ber dig legitimera dig med kortuppgifter efter att bokningen är betald. Bitdefenders säkerhetsforskare har kartlagt sommarens kampanjer och pekar ut just verifieringsmeddelanden med bokningsdata som ett av 2026 års mest utbredda mönster.
3. Det är bråttom. Bedragarna trycker på tid, bokningen ska ”bekräftas inom 24 timmar” eller rummet ”avbokas”. Verkliga bokningssajter arbetar aldrig med den typen av deadlines mot betalande gäster.
Vad du gör om du redan klickat
Har du fyllt i kortuppgifter på en länk från ett sådant meddelande gäller det att agera snabbt. Polismyndigheten rekommenderar att du direkt kontaktar din bank för att om möjligt stoppa transaktioner, gör en polisanmälan via 114 14 och sparar skriftlig bevisning i form av sms, mejl och bankuppdrag.
Misstänkta sms kan även vidarebefordras till kortnumret 7726 hos operatören, som samlar in dem för blockering.
Oron delas av en stor del av resenärerna. I Bitdefenders undersökning uppger 34 procent av resenärerna att de sett fler resebedrägerier på sociala medier under året, och 70 procent litar inte längre på reklammejl med semestererbjudanden. Att bedragarna nu även har tillgång till äkta bokningsdata gör bilden mörkare, men grundregeln står fast: klicka aldrig på en länk du inte bett om, utan gå själv till hotellets app eller webbplats och kontrollera bokningen där.
