Filtración de datos de Eurail de 2025

Las notificaciones individualizadas presentadas ante las autoridades estatales de Estados Unidos identifican específicamente nombres y números de pasaporte. Esos dos campos pueden facilitar estafas dirigidas relacionadas con reservas de viajes o verificaciones de identidad.

Eurail había declarado anteriormente que no almacena información bancaria ni de tarjetas de crédito, ni copias visuales de pasaportes. La notificación oficial no menciona contraseñas, tarjetas de pago ni números del Seguro Social, por lo que esos campos no se incluyen aquí. Un número de pasaporte sigue siendo un dato sensible incluso sin una imagen del documento y puede utilizarse en intentos de realizar reservas o verificaciones fraudulentas.

Eurail detectó actividad inusual en una parte de su red, activó sus procedimientos de respuesta a incidentes e investigó con la ayuda de especialistas externos en ciberseguridad. Las pruebas mostraron que se transfirieron archivos el 26 de diciembre de 2025. La empresa revisó el material robado y determinó el 25 de febrero de 2026 que contenía información personal.

La página de la notificación presentada en California indica que el periodo conocido de la filtración abarcó del 24 de diciembre de 2025 al 8 de enero de 2026, mientras que la notificación individual señala el 26 de diciembre como fecha de la transferencia de archivos. La detección, la determinación del alcance y la notificación a los usuarios son hechos separados y no deben reducirse a una única fecha.

Posteriormente, un atacante afirmó haber sustraído aproximadamente 1.3 terabytes de los sistemas de almacenamiento en la nube, soporte y código fuente de Eurail, y tener en su poder millones de registros de Eurail o Interrail. Eurail confirmó que se había publicado una muestra de los datos robados, pero no se adoptó la afirmación del atacante sobre millones de personas como recuento oficial de afectados.

La notificación verificada presentada ante las autoridades abarca a 308 777 personas. Se mantiene la distinción entre una afirmación unilateral de un delincuente y los campos verificados mediante el análisis forense de la empresa y la notificación legal.

Las personas que reciban una notificación directa de Eurail deberían considerar que su número de pasaporte está incluido en el incidente y consultar las recomendaciones vigentes de la autoridad oficial de pasaportes de su país. La necesidad de anular o sustituir un documento depende de la jurisdicción y de la evaluación de riesgos de esa autoridad; nunca envíe una imagen de su pasaporte siguiendo instrucciones de un correo electrónico o un mensaje en redes sociales.

Preste atención a los mensajes sobre cambios en reservas, problemas con visados, reembolsos de billetes o verificaciones de pasaporte relacionados con próximos viajes. Acceda directamente a su cuenta de Eurail o Interrail y al sitio web de la empresa de transporte, en lugar de utilizar el enlace del mensaje. Verifique por una vía independiente la identidad de cualquier persona que solicite un número de pasaporte, un dato de una tarjeta de pago o un código de seguridad de un solo uso.

Eurail declaró que puso fin a la actividad tras detectarla, contrató a profesionales externos de ciberseguridad y notificó a las autoridades policiales. La empresa afirmó que reforzó las medidas de seguridad existentes para ayudar a evitar un incidente similar. Las notificaciones por escrito se emitieron una vez concluida la revisión de los archivos afectados.

Quienes reciban una notificación deberían conservar pruebas de cualquier actividad desconocida en sus cuentas o reservas, de documentos de viaje fraudulentos y de mensajes que utilicen sus datos de identidad. Denuncie cualquier uso indebido observado ante las autoridades policiales locales, la autoridad de pasaportes y el proveedor de viajes correspondiente. Un bloqueo de crédito no cambia un número de pasaporte, pero puede ofrecer protección adicional frente a la apertura de cuentas financieras con datos de identidad robados.

La cifra de 308 777 corresponde al recuento verificado de personas que Eurail comunicó al fiscal general de Oregón, no a la afirmación del atacante sobre millones de registros.

Esta entrada recoge la transferencia de archivos de diciembre de 2025 y el alcance de la notificación determinado en 2026. Los nombres y los números de pasaporte son las únicas categorías de datos confirmadas; se excluyen los datos bancarios, los datos de tarjetas, las imágenes de pasaportes y otros campos no divulgados. Si Eurail o las autoridades publican posteriormente un recuento corregido u otro campo verificado, el contenido deberá actualizarse para reflejar esas pruebas oficiales. Si aparece un mensaje sospechoso o una actividad sospechosa en la cuenta, deberá verificarse a través del canal de contacto oficial vigente de la organización, sin utilizar los enlaces del mensaje. Cuando se dispone de una carta de notificación individual, esta es la fuente principal para conocer el alcance de los datos de esa persona y las opciones de protección ofrecidas. Si aparece un mensaje sospechoso o una actividad sospechosa en la cuenta, deberá verificarse a través del canal de contacto oficial vigente de la organización, sin utilizar los enlaces del mensaje.