150 000 ATG-kunders uppgifter på darknet, och ett bolag som först sa att inget hänt

I april 2026 publicerades en datamängd på darknet med personuppgifter för fler än 150 000 kunder hos ATG, det statligt kontrollerade bolaget bakom svensk trav- och galoppvadhållning. Materialet omfattar omkring 6,5 gigabyte.

Vad som läckte

Enligt SVT:s och andra mediers granskning innehåller den publicerade datamängden namn, adresser och bostadsort för de drabbade kunderna. Drygt 5 000 personer förekommer med personnummer, och av dem har ett tiotal skyddad identitet. Flera diplomater finns i registret.

Utöver kunduppgifterna innehåller materialet interna ATG-dokument: mallar för kundkommunikation och tillfälliga lösenord för nya användare. Där finns också interna register över omkring 2 600 kunder med aktiva återbetalningskrav, sammanlagt värda tiotals miljoner kronor.

Det sista är känsligt på ett sätt som är lätt att missa. Ett återbetalningskrav mot ett spelbolag förutsätter i praktiken att kunden hävdat dokumenterade spelproblem: den utveckling vi beskrivit i bevakningen av återbetalningsmålen. En lista över 2 600 sådana personer är alltså i praktiken en lista över människor som uppgett att de har eller har haft ett spelmissbruk.

Det publicerade materialet beskrivs som ett delurval av det stulna. Att bara släppa en del är ett känt utpressningsmönster: det bevisar innehavet och håller kvar hotet. En grupp som kallar sig Coinbase Cartel, utan koppling till kryptobörsen med liknande namn, har tagit på sig ansvaret. Uppgifterna beskrivs som färska, och intrånget bedöms ha skett i slutet av 2025, medan delar av materialet sträcker sig tillbaka till åtminstone 2021.

Från "inga bevis" till bekräftat intrång

Det mest problematiska är inte intrånget i sig, utan hanteringen. ATG:s säkerhetschef Erik Täfvander uppgav i ett skriftligt svar att bolaget inte fått "några bevis på att en attack har lyckats": ett besked som kom efter att uppgifter om läckan redan börjat cirkulera.

Först sedan Dagens Nyheter och andra medier oberoende kunnat verifiera delar av materialet bekräftade ATG att intrånget ägt rum, och meddelade att händelsen skulle polisanmälas och rapporteras till Integritetsskyddsmyndigheten.

Bolagets egen kommunikation

Dagen efter att läckan blivit offentlig gick ATG ut på X med information om att inloggningsmöjligheterna begränsats som säkerhetsåtgärd:

ATG @ABtravochgalopp

"INFO: Med anledning av det dataintrång som kommunicerades igår är inloggningsmöjligheterna för närvarande begränsade. Det är just nu endast möjligt att logga in på ATG.se med BankID eller Freja eID."

Se inlägget på X →

Bolaget hänvisade kort därefter till en informationssida på atg.se för löpande uppdateringar. Det är rimlig krishantering i sig, men den kontrasterar mot att drabbade kunder vid samma tidpunkt ännu inte hade kontaktats individuellt om att just deras uppgifter fanns i materialet.

Namnen som fick spridningen

Att Sverigedemokraternas partiledare Jimmie Åkesson förekom i datamängden gav läckan en politisk dimension och blev det som fick störst genomslag i rapporteringen. Enligt SVT framgår inga hemliga adresser eller annan känslig information om partiledaren i det publicerade materialet.

Att ett känt namn driver uppmärksamheten är begripligt, men det flyttar fokus från det som gör händelsen allvarlig: de dryga 5 000 personnumren, de tio personerna med skyddad identitet, och de 2 600 med registrerade återbetalningskrav. För dem är risken konkret och kvarstår oavsett vem mer som råkar finnas i samma fil.

Det som fortfarande är okänt

• Hur angriparna tog sig in i systemen.
• Hur länge de hade tillgång innan intrånget upptäcktes.
• Hur stor den totala stulna datamängden är utöver det publicerade urvalet.
• Om något krav på lösensumma framställts, och om kontakt förekommit mellan angriparna och bolaget.
• Om Integritetsskyddsmyndigheten inlett någon sanktionsprövning.

En annan sorts sårbarhet än den vanliga debatten

Den svenska spelregleringsdebatten, Spelpaus, kanalisering, marknadsföringsregler, utgår från att ett licensierat, BankID-verifierat system per definition är det trygga alternativet jämfört med aktörer utanför svensk tillsyn. På de flesta punkter stämmer det, och vi säger själva samma sak i vår guide om licenskontroll.

ATG-läckan är en påminnelse om vad den tryggheten också vilar på: hur väl bolaget skyddar den data det samlar in i utbyte mot identitetskontrollen. Ett licensierat bolag måste veta vem du är: det följer av både spellagen och penningtvättsregelverket, som vi skrivit om i domen mot tre spelbolag. Kravet att veta mycket om sina kunder skapar databaser som blir värda att stjäla.

När åtgärden efter ett intrång blir att skärpa inloggningen till BankID eller Freja eID är ironin svår att undvika: samma infrastruktur för digital identitet som ska skydda spelare vilade här på en databas som var sämre skyddad än kunderna rimligen antog.

Publicerad 14 augusti 2026. Uppgifterna bygger på rapportering från SVT, Dagens Nyheter och branschbevakning under april 2026. Vi återger inga uppgifter ur det läckta materialet utöver vad etablerade medier redan publicerat, och länkar inte till materialet. Hittar du ett fel? Hör av dig via kontaktsidan.