4 Lästid Eurail B.V. bekräftade att angripare bröt sig in i företagets nätverk den 26 december 2025 och stal passnummer och personuppgifter från 308 777 resenärer. Det holländska företaget, som driver Europas tågpassystem för interrailpass, avslöjade intrånget tre månader senare efter att ha upptäckt att den stulna datan såldes på dark web och att exempeldata hade dykt upp på Telegram.
Den stulna datan omfattar namn, passnummer med utgångsdatum, e-postadresser, telefonnummer och information om medresenärer. För deltagare i Europeiska kommissionens DiscoverEU-program, som erbjuder gratis tågpass till unga européer, är exponeringen allvarligare. Europeiska kommissionen har bekräftat att DiscoverEU-deltagare kan ha förlorat passkopior, bankkontouppgifter (IBAN) och hälsoinformation, eftersom programmet kräver mer omfattande datainsamling än standardbokningar.
Eurail driver Europas största integrerade tågbiljettsystem och säljer pass som täcker 33 nationella järnvägar i över 30 länder. Företaget behandlar miljontals bokningar årligen och lagrar kunddata i AWS S3-, Zendesk- och GitLab-system, som enligt uppgifter ska ha komprometterades i angreppet. Det rapporteras att angriparna hävdade att de hade exfiltrerat 1,3 terabyte data.
Tidslinjen visar tre månaders fördröjning
Eurails svarstidslinje väcker frågor kring företagets detekteringsförmågan. Företaget uppger att filer överfördes den 26 december 2025, men slutförde den slutliga analysen av den komprometterade datan den 25 februari 2026. Kundmeddelanden började skickas en månad senare, den 27 mars 2026, nästan tre månader efter det ursprungliga intrånget.
Under februari publicerade hotaktörer exempeldata på Telegram och började annonsera hela datasetet på dark web-marknadsplatser. The Record bekräftade att hackare påstod att de stulna arkiven inkluderade källkod, databasbackuper och Zendesk-supportärenden tillsammans med kundregistren. Europeiska kommissionen tvingades utfärda sin egen varning till DiscoverEU-deltagare efter Eurails avslöjande.
Eurail har lämnat in intrångsanmälningar till justitiemyndigheterna i Kalifornien, New Hampshire, Oregon och Vermont. Företaget har inte uppget om ett lösenekrav har ställts eller betalades.
DiscoverEU-deltagare drabbas hårdare
DiscoverEU-programmet, som finansierat genom Erasmus+, kräver att deltagare lämnar in passkopior, bankuppgifter och hälsoinformation för tillgänglighetsbedömningar. Vanliga Eurail-kunder fick endast namn och passnummer stulna, medan DiscoverEU-deltagare kan ha förlorat betydligt bredare spektrum av känsliga uppgifter som kan möjliggöra identitetsbedrägerier.
Europeiska kommissionen har publicerat vägledning för drabbade DiscoverEU-användare och varnat för att kriminella kan försöka missbruka uppgifterna för identitetsstöld eller för att utge sig vara offren eller få tillgång till andra konton. Kommissionen har meddelat Europeiska datatillsynsmannen och erbjuder stöd till drabbade deltagare via en särskild e-postadress.
Detta segmenterade exponeringsmönster är ovanligt- de flesta intrång påverkar alla kunder på samma sätt. Analys från Shieldworkz tyder på att angriparna specifikt riktade in sig på DiscoverEU-datalagret eftersom det innehöll värdefulla identitetshandlingar än standardbokningar.
Vad Eurails kunder bör göra
Byt lösenordet till Rail Planner-appen omedelbart. Om samma lösenord har använts på andra tjänster bör även dessa också bytas. Kombinationen av passnummer och kontaktuppgifter gör riktade nätfiskeförsök mycket trovärdiga, så var särskilt vaksam på e-postmeddelanden eller telefonsamtal som påstår sig komma från Eurail eller transportmyndigheter under det kommande året.
Övervaka bank- och kreditkortsutdrag för ovanliga transaktioner. DiscoverEU-deltagare bör överväga att lägga in bedrägerivarningar hos kreditupplysningsföretag, med tanke på exponeringen av bankkontouppgifter och passkopior. Den stulna datan kan användas för identitetsstöld och bedrägliga kontoöppningar.
Alla som misstänker att deras uppgifter har missbrukats bör rapportera detta till sin nationella dataskyddsmyndighet och till lokal brottsbekämpande myndigheter. Eurail har upprättat ett kundsupportcenter för drabbade resenärer, även om företagets tre månader långa fördröjning i att informera kunderna kan komma att leda till granskning av deras incidenthantering.
Referenser
- Eurail says December data breach impacts 300,000 individuals
- Passport numbers for more than 300,000 leaked during December Eurail data breach
- Data Security Incident affecting DiscoverEU travellers
- Traveler Information Stolen in Eurail Data Breach
- Eurail data breach impacted 308,777 people
This post is also available in:
English
Related News
Booking.com-intrång exponerar miljoner när WhatsApp-bedragare slår till
Booking.com bekräftade på måndagen att hackare fick tillgång till kunders bokningsdata i ett intrång som verkar ha pågått oupptäckt sedan början av april. Reseplattformen meddelade…
april 16, 2026 Fransk myndighetsregister hackat – 1,2 miljoner bankkonton exponerade
En hackare bröt sig in i Frankrikes nationella bankkontoregister i januari och fick tillgång till persondata från 1,2 miljoner konton genom stulna myndighetsuppgifter. Franska myndigheter…
februari 27, 2026 