Dataintrång drabbar tusentals besökare på Liseberg och Skansen

Personuppgifter från omkring 15 000 besökare på Liseberg har blivit tillgängliga för en obehörig aktör efter ett intrång hos bokningsleverantören Visit. Även Skansen och Svenska Turistföreningen har drabbats av säkerhetsincidenten. Intrånget har skett i leverantörens system och inte direkt hos nöjesparken.

Bland de uppgifter som obehöriga har kunnat komma åt finns namn, kontaktinformation och uppgifter om bokningar under ett begränsat antal dagar. Liseberg har även informerat om att företagsnamn och besöksdatum kan omfattas. Enligt både Liseberg och Visit har inga kortuppgifter eller andra betalningsuppgifter läckt ut.

Lisebergs kommunikationschef Clara Rosendahl uppgav att nöjesparken informerades om intrånget av leverantören strax före klockan 17 tisdagen den 27 oktober 2026. Därefter började Liseberg kontakta de besökare som kunde ha fått sina personuppgifter exponerade.

Nöjesparken har anmält händelsen till Integritetsskyddsmyndigheten och skickat information till berörda gäster via e-post. Liseberg har framhållit att organisationen ser allvarligt på incidenten. I informationen till besökarna uppgav nöjesparken också att det inte fanns någon kännedom om att de läckta uppgifterna hade använts för bedrägerier.

Lisebergs IT-chef Peter Grimbeck uppgav att Visit hade åtgärdat den säkerhetsbrist som gjorde intrånget möjligt och blockerat åtkomsten till uppgifterna. Enligt Peter Grimbeck fortsatte leverantören samtidigt att undersöka händelsen med hjälp av såväl interna som externa säkerhetsexperter.

I samband med den misstänkta personuppgiftsläckan drabbades även Lisebergs digitala bokningstjänst av en driftstörning. Nöjesparken informerade om störningen på sin webbplats.

Dataintrånget har också berört Skansens biljettbokningar. Omkring 4 800 personer har drabbats, enligt uppgifter som redovisats av SVT Nyheter. Skansen har meddelat att det i första hand handlar om bokningar som genomfördes mellan den 23 och 26 oktober 2026.

Skansen kontaktade samtliga berörda gäster via e-post under kvällen den 27 oktober. Verksamheten uppgav att personnummer inte omfattades eftersom sådana uppgifter inte sparas i det aktuella bokningssystemet. Skansen bekräftade även att säkerhetsbristen hos Visit hade rättats till, men att utredningen ännu inte var avslutad. Enligt SVT Nyheter planerade Skansen att göra en polisanmälan.

Även Svenska Turistföreningen, STF, har rapporterat att bokningar på föreningens webbplats påverkats av en säkerhetsincident hos en extern bokningsleverantör. Den 28 oktober meddelade föreningen att cirka 759 bokningar omfattades, huvudsakligen från perioden 23–26 oktober.

Svenska Turistföreningen uppgav att det fortfarande var oklart exakt vilka uppgifter som hade hämtats ut. Föreningen meddelade samtidigt att de berörda gästerna skulle kontaktas.

Visit:s operativa chef James Dixon uppgav att ett mycket begränsat antal av leverantörens kunder i Norden hade påverkats. Enligt James Dixon finns de drabbade verksamheterna framför allt inom turism och resor.

James Dixon uppmanade berörda personer att vara särskilt uppmärksamma på e-postmeddelanden och sms som hänvisar till tidigare bokningar. Han varnade för meddelanden där mottagaren ombeds öppna länkar, lämna personliga uppgifter eller genomföra betalningar. Vid osäkerhet rekommenderade han att gästerna kontaktar det företag där bokningen ursprungligen gjordes.

Integritetsskyddsmyndigheten anger att organisationer som ansvarar för personuppgifter måste dokumentera inträffade personuppgiftsincidenter och bedöma vilka risker de kan innebära för enskilda personer.

Enligt Integritetsskyddsmyndighetens regler ska en incident normalt anmälas inom 72 timmar efter att den upptäckts, om det inte är osannolikt att händelsen medför risker för enskildas rättigheter och friheter. Om alla uppgifter ännu inte finns tillgängliga kan anmälan kompletteras i efterhand.

Integritetsskyddsmyndigheten anger dessutom att de personer vars uppgifter berörs som utgångspunkt ska informeras utan onödigt dröjsmål om incidenten sannolikt medför en hög risk för deras rättigheter och friheter.