Matkailualalla on viime kuukausina paljastunut useita tietomurtoja, joissa asiakastietoja on joutunut ulkopuolisten käsiin. Tapauksia yhdistää usein riippuvuus ulkopuolisista järjestelmätoimittajista ja alihankkijoista. Tekoälyn hyödyntäminen saattaa olla tietomurtojen taustalla, mutta alan suurin haavoittuvuus voi löytyä sen omista rakenteista.
Matkailualan teknologiayhtiö Amadeukseen kohdistunut tietovuoto on tuorein esimerkki toimialan tietoturvaongelmista. Tietovuodon piirissä on useiden lentoyhtiöiden matkustajatietoja, mukaan lukien noin 116 000 Finnairin varausta.
Tapaus on vain yksi viimeaikaisista matkailualan tietoturvaloukkauksista. Erityisesti syksyllä 2026 Suomessa on tullut julkisuuteen useita hotellialaan liittyviä tietomurtoja.
Lokakuussa hotellivarausjärjestelmiä toimittavan Vitec Hotellinxin rajapintaan kohdistunut tietomurto vaaransi asiakastietoja useissa suomalaisissa majoitusliikkeissä. Syyskuussa puolestaan Strawberry-hotelliketjuun kohdistunut tietomurto vaaransi noin 11 700 henkilön tietoja.
Porvoolaisessa Runo-hotellissa ulkopuoliseen järjestelmään kohdistunut tietomurto johti satojen asiakkaiden tietojen mahdolliseen paljastumiseen. Tietoja käytettiin nopeasti hyväksi muun muassa WhatsAppin kautta tehdyissä tietojenkalasteluyrityksissä.
Myös laivayhtiöt ovat joutuneet vastaavien ongelmien kohteeksi. Lokakuun lopulla sekä Viking Line että Eckerö Line kertoivat alihankkijoidensa järjestelmiin kohdistuneista tietomurroista. Viking Linen tapauksessa vaarantui satojen hotellivarausten tietoja ja Eckerö Linen tapauksessa noin 200 asiakkaan varaustietoja. Viking Line oli jo keväällä joutunut tiedottamaan toisesta alihankkijansa tietomurrosta, joka koski tuhansien asiakkaiden tax free -ennakkotilauksia.
Yhteistä monille tapauksille on se, ettei tietomurto ole tapahtunut matkailuyrityksen omassa järjestelmässä, vaan sen käyttämän ulkopuolisen teknologiatoimittajan tai alihankkijan palvelussa.
Verkostoituminen on matkailualan vahvuus ja haavoittuvuus
Matkailuala oli kansainvälisen sähköisen kaupankäynnin edelläkävijä kauan ennen internetin ja nykyisen alustatalouden syntyä. Lentoyhtiöiden globaalit jakelujärjestelmät mahdollistivat matkatoimistojen pääsyn eri lentoyhtiöiden tarjontaan jo vuosikymmeniä sitten. Sittemmin sama toimintamalli on laajentunut hotelleihin, autonvuokraukseen, risteilyihin ja muihin matkailupalveluihin.
Nykyisin matkailupalvelujen myynti ja tuottaminen perustuvat laajaan järjestelmien väliseen tiedonvaihtoon. Yksittäinen lentovaraus voi kulkea matkatoimiston varausjärjestelmästä globaalin jakelujärjestelmän kautta lentoyhtiön omiin järjestelmiin ja edelleen esimerkiksi lähtöselvityksen, maksuliikenteen ja asiakasviestinnän palveluihin.
Jokaisessa vaiheessa matkustajan tietoja voidaan siirtää, käsitellä ja tallentaa eri toimijoiden järjestelmiin.
Verkostoituminen on mahdollistanut matkailualan valtavan tehokkuuden kasvun. Asiakas voi vertailla ja ostaa eri palveluntarjoajien tuotteita yhdestä paikasta, ja matkailuyritykset voivat hyödyntää kansainvälisiä jakelukanavia ilman omien järjestelmien rakentamista jokaista yhteistyökumppania varten.
Samalla on kuitenkin syntynyt tietoturvan kannalta ongelmallinen rakenne.
Kuinka moneen järjestelmään matkustajan tiedot päätyvät?
Matkustajan henkilötiedot eivät välttämättä jää siihen järjestelmään, johon ne alun perin syötettiin. Tietoja kopioidaan palveluprosessin eri vaiheissa toimiville yrityksille ja niitä siirretään jatkuvasti järjestelmien välisten rajapintojen kautta.
Jokainen uusi tietoja käsittelevä järjestelmä muodostaa mahdollisen tietoturvariskin. Riskit eivät rajoitu pelkästään rajapintojen tekniseen turvallisuuteen, vaan myös tietojen tallentamiseen, käyttöoikeuksiin, säilytysaikoihin ja alihankkijoiden omiin toimintatapoihin.
Vaikka lentoyhtiö tai hotelliketju olisi huolehtinut omasta tietoturvastaan moitteettomasti, sen asiakkaiden tiedot voivat vaarantua aivan toisen yrityksen järjestelmässä.
Erityisen ongelmallista on tietojen monistuminen. Kun samaa asiakastietoa säilytetään useissa toisistaan riippumattomissa järjestelmissä, yksittäisen yrityksen mahdollisuudet valvoa tietojen käyttöä ja poistamista ovat rajalliset.
Amadeuksen tapauksessa valtaosa tietovuodon kohteena olleista varauksista koski Finnairin tiedotteen mukaan jo toteutuneita matkoja. Tämä herättää kysymyksen myös siitä, kuinka pitkään matkustajien henkilötietoja on tarpeen säilyttää eri järjestelmissä matkan päättymisen jälkeen.
Tekoäly voi kasvattaa uhkaa entisestään
Kyberrikollisuuden toimintatavat ovat samaan aikaan muuttumassa. Generatiivinen tekoäly tarjoaa uusia mahdollisuuksia hyökkäysten automatisointiin, järjestelmien haavoittuvuuksien etsimiseen ja varastettujen tietojen analysointiin.
Tekoäly voi myös helpottaa uskottavien huijausviestien laatimista ja kohdentamista. Matkustajan nimi, matkakohde, matkustuspäivä ja varausnumero voivat olla rikolliselle arvokkaita tietoja, vaikka maksukorttitiedot tai salasanat eivät olisi vaarantuneet.
Runo-hotellin tapaus osoittaa, kuinka nopeasti varastettuja asiakastietoja voidaan hyödyntää tietojenkalastelussa. Tekoälyn avulla vastaavia huijausyrityksiä voidaan toteuttaa entistä laajemmassa mittakaavassa ja uskottavammin.
Toistaiseksi ei kuitenkaan ole näyttöä siitä, että tekoäly olisi ollut Amadeuksen tai muiden edellä mainittujen tietomurtojen taustalla. Tekoälyn mahdollinen rooli onkin syytä erottaa matkailualan jo pitkään olemassa olleista rakenteellisista haavoittuvuuksista.
Tekoäly ei ole luonut näitä haavoittuvuuksia, mutta se voi tehdä niiden hyödyntämisestä entistä helpompaa ja tehokkaampaa.
Voiko verkostoituneen toimialan tietoturvariskejä hallita?
Matkailuala tuskin voisi toimia nykyisessä laajuudessaan ilman kansainvälisiä varausjärjestelmiä, rajapintoja ja palveluntarjoajien välistä tiedonvaihtoa. Verkostoituminen on tehnyt toimialasta tehokkaamman, mutta samalla myös riippuvaisemman järjestelmistä, joiden turvallisuutta yksittäinen yritys ei voi kokonaan hallita.
Täydellistä tietoturvaa ei voida saavuttaa, eikä kansainvälisen matkailualan toimintamallia voida rakentaa uudelleen pelkästään tietoturvariskien välttämiseksi. Riskejä voidaan kuitenkin vähentää esimerkiksi rajoittamalla tarpeetonta tietojen kopiointia, minimoimalla säilytettävien henkilötietojen määrää ja valvomalla alihankkijoiden tietoturvaa.
Mutta kuinka hyvin matkailualan yritykset todella tunnistavat ne riskit, joita asiakastietojen jakamiseen ja ulkopuolisiin teknologiatoimittajiin turvautumiseen liittyy? Ovatko riskit tietoisesti arvioituja ja hyväksyttyjä, vai onko riippuvuus monimutkaisista järjestelmä- ja alihankintaketjuista muodostunut vähitellen ilman kokonaiskuvaa niiden haavoittuvuuksista?
Ja kun tietomurto lopulta tapahtuu, kuka kantaa vastuun? Voiko lentoyhtiö, hotelliketju tai varustamo vedota siihen, että tietomurto tapahtui sen käyttämän teknologiatoimittajan järjestelmässä?
Tekninen ja oikeudellinen vastuu voidaan jakaa eri yritysten kesken. Asiakkaan näkökulmasta kysymys on kuitenkin yksinkertaisempi: hän on luovuttanut tietonsa matkailuyritykselle, jonka palvelun hän on ostanut.
Matkailuyritys voi ulkoistaa tietojensa käsittelyn, mutta voiko se ulkoistaa myös vastuun asiakkaidensa luottamuksesta?