En annons på Blocket utlovar tågresor till 40 procents rabatt. Den som vill handla tittar på SJ:s sajt och bestämmer sig för en avgång och mejlar säljaren uppgifter om sträcka, avgång, namn på resenär, om man vill resa i första eller andra klass och andra specifikationer. När SvD testar annonsen genom att beställa en resa mellan Stockholm och Göteborg får vi snabbt ett mejl med ett bokningsnummer. I SJ:s automat hämtar vi sen ut en biljett. Enligt instruktioner från säljaren betalar vi in 60 procent av priset till ett kontonummer: 239 kronor för en biljett som kostade 395 kronor hos SJ.

SvD har tidigare skrivit om hur personer köpte in en stor mängd biljetter på populära sträckor tre månader innan avgång då resorna är som billigast, och sedan sålde dem vidare närmare avgångsdatumet när SJ:s pris kan ha gått upp flera hundra procent. För att komma undan det problemet införde SJ för tre år sedan personliga biljetter, som har resenärens namn på, för att stoppa handeln.

Men handeln på Blocket fortsätter alltså, och till skillnad från tidigare får resenären nu sitt eget namn på biljetten. Kontokortsbedrägerier ligger bakom, enligt Karin Ljungberg, gruppchef på bedrägeriroteln city vid Stockholmspolisen.

Säkerhetsbrister i SJ:s system som gör det möjligt att köpa ombokningsbara resor via telefon med hjälp av stulna kontokortsuppgifter, säger Karin Ljungberg. Sedan kan bedragaren sälja biljetten, ombokad till en ny resa och resenär, på till exempel Blocket. Pengarna som används för att betala biljetterna dras från ett konto som tillhör personen vars kontokortsuppgifter stulits.

– Vi har ett sådant fall just nu, som vi ska börja utreda. För att undvika att tipsa andra vill jag inte gå in på exakt hur det går till, men SJ uppger att de förlorar flera miljoner om året på det här. De borde se över sina rutiner, säger Karin Ljungberg.

SJ:s presschef Dag Rosander bekräftar att företaget utsätts för den här typen av bedrägerier. Enligt honom är det banken som betalar tillbaka pengarna till kortägaren om bedragarens köp gjorts via internet. Om det gjorts via telefon blir det i slutändan SJ som får stå för kostnaden, men Dag Rosander vill inte svara på hur mycket pengar bolaget förlorar.

Enligt Kicki Westerståhl, chef på Konsumenternas Bank- och finansbyrå, är det företagen som måste stå för utgiften om de inte uppfyllt säkerhetskraven från betalkortsföretagen, eftersom företaget inte anses ha underlag för att ha gjort transaktionen.

– Det stämmer att det finns fler säkerhetssteg när köpen sker via internet än via telefon, men det är för att vi inte får fråga efter pin-kod via telefon. Det är därför det är vi som står för kostnaden när bedrägeriet skett via telefonförsäljning, säger Maricka Berggren på SJ:s presstjänst.

Dag Rosander menar att SJ inte är det enda företag som utsätts för bedrägeri.

– Det finns kryphål i nästan alla system. Men det är naturligtvis inte bra att det går att göra. Vi polisanmäler direkt alla misstänkta ärenden och har stenhård bevakning på Blocket för att hitta misstänkta fall.

I höst ska SJ införa ett nytt, säkrare, system för kortköp som ska vara bättre på att upptäcka till exempel om ett kort som används har spärrats. Tanken är att också telefonköpen ska bli säkrare. Det finns dock inga tankar på att sluta med telefonförsäljning eller ombokningsbara biljetter.

– Ombokningssystemet är en service mot kunden, så att man kan köpa en resa och om man sen inte kan åka då får man ha kvar pengarna till att boka en annan resa. Det är det som missbrukas, säger Maricka Berggren.

Karin Ljungberg säger att det inte är så svårt att komma över någons kontokortsuppgifter, det kan ske så fort någon lämnar ifrån sig ett kort till exempel på krogen. Samtidigt är det svårt att utreda bedrägerierna.

– Vi måste kunna identifiera vem som ligger bakom, och det är inte alltid så lätt.

LÄS OCKSÅ: SJ försämrar sin resegaranti