Sammanfattning
Liseberg och Skansen varnar besökare efter ett dataintrång hos biljett- och bokningsleverantören Visit, som upptäcktes och offentliggjordes den 27 oktober 2026. Enligt Skansen har obehöriga kommit åt uppgifter om besökare som bokade biljetter mellan den 23 och 26 oktober: namn, adress, telefonnummer, e-postadress och information om biljettköpet. Liseberg uppger att namn, e-postadress, telefonnummer, adress, företagsnamn och besöksdatum kan ha röjts genom en läcka från parkens bokningssystem. Enligt båda parkerna har inga betalnigs- och kortuppgifter läckt . Båda varnar för nätfiske. Det är inte känt hur många personer som berörs eller hur angriparna tog sig in i systemen.
Dataintrånget hos Visit och parkernas uppgifter
Skansen, friluftsmuseet på Djurgården i Stockholm, pekar ut Visit som den drabbade leverantören. Enligt musset gäller incidenten bokningar som gjordes mellan den 23 till 26 oktober.
Liseberg nämner i sina egna meddelanden bara ”systemleverantören”. Att även Liseberg använder Visit framgår av publicerade uppgifter, men har inte bekräftats av parken själv. Strax före klockan 17 den 27 oktober fick Liseberg beskedet om intrånget från leverantören, enligt kommunikationschefen Clara Rosendahl. Samma kväll kontaktade parken de gäster som kan ha drabbats. På sin sida om bedrägeri och säkerhet skriver Liseberg att parkens onlinebokning har haft en driftstörning. Där står också att det inte finns några uppgifter om att de exponerade uppgifterna har använts i bedrägeri syfte.
Uppgifterna som Liseberg och Skansen uppger skiljer sig något åt. Liseberg nämner företagsnamn och besöksdatum medan Skansen nämner uppgifter om själva biljettköpet.
Leverantören har inte redogjort för händelseförloppet
Leverantören har vidtagit åtgärder, uppger Liseberg. Hur intrånget gick till är dock okänt. Ingen av parkerna har lämnat en siffra på antalet drabbade kunder eller sagt om fler av Visits kunder berörs. Det är också oklart om incidenterna vid de två parkerna har något samband utöver att båda berör samma leverantör.
Sex dagar tidigare gick CERT-SE ut med ett säkerhetsmeddelande om två kritiska sårbarheter i PHP, CVE-2026-109618 och CVE-2026-109619, som kan ge oautentiserad kodkörning. Det finns inga uppgifter om att intrånget hos Visit har kopplats
Lisebergs egen plan för kontroll av leverantörerskontroller
Liseberg ägs av Göteborgs Stad och publicerar sina dataskyddsrapporter bland stadens bolagshandlingar. I rapporten Dataskyddsfrågor Liseberg år 2022-2023 finns en handlingsplan för perioden 2023-2024. Kontrollpunkt tre gällde att ta fram en rutin för regelbundna efterlevnadskontroller av anlitade personuppgiftsbiträden, alltså leverantörer som hanterar personuppgifter för bolagets räkning. Samma punkt omfattade en rutin för att bedöma ansvarsfördelningen enligt GDPR när leverantörer anlitas. Målet var andra kvartalet 2024 och planen angav att en anställd som arbetar dedikerat med dataskydd var en förutsättning.
I rapporten för 2025 nämns inte denna kontrollpunkten. Där står att Liseberg drabbades av två större personuppgiftsincidenter under 2024. Båda anmäldes till Integritetsskyddsmyndigheten (IMY) och till Göteborgs Stads CISO. Dataskyddsarbetet fick enligt rapporten delvis stå tillbaka efter branden på Oceana den 12 februari 2024.
Dokumenten säger ingenting om intrånget mot Liseberg och Skansen.
Tidsfristen för anmälan till IMY löper ut den 30 oktober
Enligt artikel 33 i GDPR ska den personuppgiftsansvarige anmäla en personuppgiftsincident till IMY inom 72 timmar efter att ha fått kännedom om den, såvida det inte är osannolikt att incidenten medför risk för de registrerades rättigheter och friheter. Räknat från den tidpunkt Liseberg själv angett går fristen ut omkring klockan 17 den 30 oktober 2026. Intrånget skedde hos en leverantör, precis den typ av relation som bolagets egen plan skulle kontrollera regelbundet från 2024. Liseberg har inte sagt om rutinen infördes.
Referenser
- Bedrägeri och säkerhet
- Dataskyddsfrågor Liseberg år 2022-2023
- Dataskyddsfrågor Liseberg år 2025
- BM26-003 Kritiska sårbarheter i PHP
This post is also available in:
English
