Huijausviestit käyttävät oikeita majoitusvarauksia – Traficom varoittaa
Rikolliset murtautuvat varausjärjestelmiin ja lähettävät uhreille maksukehotuksia, jotka vaikuttavat aidoilta tunnetun varausnumeron ansiosta.
Tiivistelmä
Traficom ja Kyberturvallisuuskeskus varoittavat huijausviesteistä, joissa rikolliset esiintyvät majoituspalveluiden nimissä ja käyttävät vastaanottajan todellisia varaustietoja viestin uskottavuuden lisäämiseksi. Ilmiön laukaisi lokakuun alussa paljastunut tapaus, jossa Hotelli Peurungan asiakkaat saivat maksua vaativia WhatsApp-viestejä, ja varausjärjestelmätoimittaja epäilee tietomurron koskevan useita suomalaisia hotelleja.
Spa-hotelli Peurungan asiakkaat Laukaassa alkoivat lokakuun alussa saada WhatsApp-viestejä, jotka vaativat pikaista maksua englanniksi ja ohjasivat uhrin maksamaan linkin kautta. Viestit vaikuttivat aidoilta, koska niissä oli vastaanottajan oma, todellinen varausnumero, vaikka hotelli itse ei ollut niitä lähettänyt.
Apa Salmi, Hotelli Peurungan toimitusjohtaja, kertoi Ylelle useiden asiakkaiden ottaneen yhteyttä hotelliin saatuaan huijausviestin sen nimissä.
– Emme tiedä vielä, kuinka laajasta ilmiöstä on kyse, Salmi sanoi Ylelle 8.10.2026.
Varausjärjestelmätoimittaja epäilee, että kyse ei ole vain yhdestä hotellista. Antti Käppi, varausjärjestelmä Vitec Hotellinxin toimitusjohtaja, varoitti Ylelle epäillystä tietomurrosta, joka saattaa koskea useiden suomalaisten hotellien varaustietoja, puhelinnumerot mukaan lukien, vaikka yksittäisiä hotelleja Peurungan lisäksi ei toistaiseksi ole nimetty julkisesti.
Kahdeksan päivää Peurungan tapauksen julkitulon jälkeen Kyberturvallisuuskeskus vahvisti ilmiön kansallisesti laajemmaksi 16.10.2026 julkaistussa viikkokatsauksessaan 42/2026. Katsaus kattoi raportointijakson 9.–15.10.2026, ja sen osiossa "Majoitusvarauksen tiedoilla huijataan" kerrottiin useista samalla viikolla tehdyistä ilmoituksista. Niissä huijausviestejä oli lähetetty majoituspalveluiden nimissä, ja viesteissä oli hyödynnetty vastaanottajien aitoja, mahdollisesti varausjärjestelmästä tai majoituspalvelusta vuotaneita varaustietoja viestin uskottavuuden lisäämiseksi.
Traficom julkaisi asiasta oman tiedotteensa ePressin kautta samana aamuna klo 10.51. Antti Nikkinen, Kyberturvallisuuskeskuksen tietoturva-asiantuntija, muistuttaa, että oikea varaustieto viestissä ei ole todiste sen aitoudesta.
– Vaikka viestissä olisi oikeat varaustiedot, se ei välttämättä tarkoita, että viesti olisi aito, Nikkinen sanoo Traficomin tiedotteessa.
Vastaava huijaus voi koskea ketä tahansa, joka on tehnyt majoitusvarauksen verkossa, sillä rikollinen tarvitsee pääsyn vain varausjärjestelmään, ei suoraan uhrin omiin laitteisiin tai tileihin. Viestien tarkoituksena on saada vastaanottaja syöttämään maksukorttinsa tiedot linkin takana olevalle sivulle, kun häntä pyydetään "vahvistamaan" varauksensa.
Kyberturvallisuuskeskus ei ole kertonut viikon aikana kertyneiden ilmoitusten määrää tai menetettyjä euromääriä.
Näin rikollinen saa käsiinsä oikean varausnumeron
Rikollinen kalastelee ensin kirjautumistunnukset hotellin tai varausjärjestelmän järjestelmään. Niillä hän pääsee käsiksi oikeisiin asiakastietoihin ja lähettää aidot varaustiedot sisältävän viestin suoraan todelliselle asiakkaalle. Siksi oikea varausnumero viestissä ei todista viestin aitoutta.
Tunnistusmerkit
- Viesti vaatii toimimaan kiireellisesti, esimerkiksi vahvistamaan maksun välittömästi.
- Viestissä on linkki, jonka verkko-osoite ei täsmää majoituspalvelun oikeaan osoitteeseen.
- Viesti on saapunut WhatsAppiin tai muuhun viestisovellukseen eikä palvelun omaan sähköpostiin.
Mitä tehdä
Lue viesti rauhassa ja kriittisesti. Kiireellisyyden tunne on tavallisin huijauksen merkki. Tarkista linkin verkkotunnuksen kirjoitusasu ennen klikkaamista ja kirjoita majoituspalvelun tunnettu osoite itse selaimeen sen sijaan, että avaat linkin viestisovelluksesta. Vahvista varausta koskeva pyyntö aina ottamalla yhteyttä majoituspalveluun sen virallisten kanavien kautta, ei viestissä olevan linkin kautta. Jos olet jo syöttänyt kortti- tai verkkopankkitietoja, ota välittömästi yhteyttä pankkiin ja tee rikosilmoitus poliisi.fi-palvelussa. Epäilyttävästä viestistä kannattaa ilmoittaa myös Kyberturvallisuuskeskukselle osoitteessa ilmoita.kyberturvallisuuskeskus.fi, vaikka rahaa ei olisi menetetty.
Lähteet
- Kyberturvallisuuskeskuksen viikkokatsaus 42/2026 (16.10.2026)
- Traficom, ePressi-tiedote (16.10.2026)
- Yle: Traficom varoittaa majoituspalveluiden nimissä tehdyistä huijausviesteistä (16.10.2026)
- Yle: Huijausviestejä lähetetty hotelli Peurungan asiakkaille (08.10.2026)