Violation de données chez Eurail en 2025

Les notifications individuelles déposées auprès des autorités d'États américains mentionnent expressément les noms et les numéros de passeport. Ces deux champs peuvent faciliter des escroqueries ciblées liées aux réservations de voyages ou à la vérification d'identité.

Eurail avait précédemment indiqué ne pas conserver d'informations bancaires ou de carte de crédit, ni de copies de passeports sous forme d'images. La notification officielle ne fait pas état de mots de passe, de cartes de paiement ou de numéros de sécurité sociale, et ces champs ne sont pas ajoutés ici. Un numéro de passeport reste sensible même sans image du document et peut être utilisé dans des tentatives de réservation ou de vérification frauduleuses.

Eurail a détecté une activité inhabituelle dans une partie de son réseau, a activé ses procédures de réponse aux incidents et a mené une enquête avec des spécialistes externes en cybersécurité. Les éléments recueillis ont montré que des fichiers avaient été transférés le 26 décembre 2025. La société a examiné les fichiers volés et a établi, le 25 février 2026, qu'ils contenaient des informations personnelles.

La page consacrée à la déclaration en Californie indique une période connue de violation allant du 24 décembre 2025 au 8 janvier 2026, tandis que la notification individuelle désigne le 26 décembre comme date du transfert de fichiers. La détection, la détermination du périmètre et la notification des utilisateurs sont des événements distincts qui ne doivent pas être ramenés à une seule date.

Un attaquant a ensuite affirmé avoir dérobé environ 1,3 téraoctet dans les systèmes de stockage cloud, d'assistance et de code source d'Eurail, et détenir des millions d'enregistrements Eurail ou Interrail. Eurail a confirmé qu'un échantillon des données volées avait été publié, mais l'affirmation de l'attaquant concernant des millions de personnes n'a pas été retenue comme nombre officiel de personnes touchées.

La notification réglementaire vérifiée concerne 308 777 personnes. La distinction est maintenue entre une affirmation unilatérale d'un criminel et les champs de données vérifiés grâce aux analyses forensiques de la société et à la notification légale.

Les personnes qui reçoivent directement une notification d'Eurail doivent considérer que leur numéro de passeport est concerné et demander des consignes à jour à l'autorité officielle chargée des passeports dans leur pays. La nécessité d'annuler ou de remplacer un document dépend de la juridiction et de l'évaluation des risques par cette autorité; n'envoyez jamais d'image de passeport sur la base de consignes reçues par e-mail ou dans un message sur les réseaux sociaux.

À l'approche d'un voyage, soyez attentifs aux messages concernant des modifications de réservation, des problèmes de visa, des remboursements de billets ou une vérification de passeport. Accédez directement à votre compte Eurail ou Interrail et au site du transporteur plutôt que d'utiliser le lien contenu dans le message. Vérifiez de manière indépendante l'identité de toute personne qui vous demande un numéro de passeport, des informations de carte de paiement ou un code de sécurité à usage unique.

Eurail a déclaré avoir mis fin à l'activité après l'avoir détectée, fait appel à des professionnels externes de la cybersécurité et informé les forces de l'ordre. La société a indiqué avoir renforcé les mesures de sécurité existantes pour contribuer à prévenir un incident similaire. Les notifications écrites ont été envoyées après l'achèvement de l'examen des fichiers concernés.

Les destinataires doivent conserver les preuves d'activités inhabituelles sur leurs comptes ou leurs réservations, de documents de voyage frauduleux et de messages utilisant leurs informations d'identité. Signalez toute utilisation abusive constatée aux forces de l'ordre locales, à l'autorité chargée des passeports et au prestataire de voyage concerné. Le gel du dossier de crédit ne modifie pas un numéro de passeport, mais peut offrir une protection supplémentaire contre l'ouverture de comptes financiers à l'aide d'informations d'identité volées.

Le chiffre de 308 777 correspond au nombre de personnes vérifié par Eurail et déclaré au procureur général de l'Oregon, et non aux millions d'enregistrements évoqués par l'attaquant.

Cette fiche porte sur le transfert de fichiers de décembre 2025 et sur le périmètre de notification établi en 2026. Seuls les noms et les numéros de passeport sont des catégories de données confirmées; les informations bancaires, les données de carte, les images de passeport et les autres champs non divulgués sont exclus. Si Eurail ou les autorités publient ultérieurement un nombre corrigé ou un autre champ vérifié, le contenu devra être mis à jour pour refléter ces éléments officiels. Si vous recevez un message suspect ou constatez un événement suspect sur votre compte, vérifiez-le en passant par le canal de contact officiel actuellement utilisé par l'organisation, sans utiliser les liens contenus dans le message. Lorsqu'un courrier de notification individuel est disponible, il constitue la source principale pour déterminer quelles données du destinataire sont concernées et quelles options de protection lui sont proposées. Si vous recevez un message suspect ou constatez un événement suspect sur votre compte, vérifiez-le en passant par le canal de contact officiel actuellement utilisé par l'organisation, sans utiliser les liens contenus dans le message.