Violação de dados da Eurail em 2025

As notificações individualizadas apresentadas às autoridades estaduais dos EUA identificam especificamente nomes e números de passaporte. Esses dois campos podem facilitar golpes direcionados envolvendo reservas de viagens ou verificação de identidade.

A Eurail havia informado que não armazena informações bancárias ou de cartões de crédito, nem imagens de passaportes. A notificação oficial não menciona senhas, cartões de pagamento ou números de seguridade social, e esses campos não são incluídos aqui. Um número de passaporte continua sendo um dado sensível mesmo sem uma imagem do documento e pode ser usado em tentativas fraudulentas de reserva ou verificação.

A Eurail identificou atividade incomum em parte de sua rede, acionou os procedimentos de resposta a incidentes e conduziu uma investigação com especialistas externos em segurança cibernética. As evidências mostraram que houve transferência de arquivos em 26 de dezembro de 2025. A empresa analisou o material roubado e determinou, em 25 de fevereiro de 2026, que ele continha informações pessoais.

A página do registro apresentado na Califórnia informa que o período conhecido da violação foi de 24 de dezembro de 2025 a 8 de janeiro de 2026, enquanto a notificação individual identifica 26 de dezembro como a data da transferência dos arquivos. A detecção, a determinação da abrangência e a notificação aos usuários são eventos distintos e não devem ser reunidos em uma única data.

Posteriormente, um invasor alegou ter obtido cerca de 1.3 terabytes dos sistemas de armazenamento em nuvem, suporte e código-fonte da Eurail e possuir milhões de registros da Eurail ou da Interrail. A Eurail confirmou que uma amostra dos dados roubados havia sido publicada, mas a alegação do invasor sobre milhões de pessoas não foi adotada como a contagem oficial de afetados.

A notificação verificada apresentada às autoridades reguladoras abrange 308.777 pessoas. Mantém-se a distinção entre uma alegação unilateral de um criminoso e os campos verificados por meio da análise forense da empresa e da notificação legal.

Se você receber uma notificação diretamente da Eurail, deve considerar seu número de passaporte envolvido no incidente e buscar orientações atualizadas junto ao órgão oficial responsável por passaportes no seu país. A necessidade de cancelar ou substituir um documento depende da jurisdição e da avaliação de risco feita pela autoridade; nunca envie uma imagem do passaporte com base em instruções recebidas por e-mail ou mensagem em redes sociais.

Fique atento a mensagens sobre alterações em reservas, problemas com vistos, reembolsos de passagens ou verificação de passaporte relacionadas a viagens próximas. Acesse diretamente sua conta da Eurail ou da Interrail e o site da transportadora, em vez de usar o link da mensagem. Verifique por meios independentes a identidade de qualquer pessoa que solicite um número de passaporte, dados de cartão de pagamento ou um código de segurança de uso único.

A Eurail informou que interrompeu a atividade após identificá-la, contratou profissionais externos de segurança cibernética e notificou as autoridades policiais. A empresa declarou que reforçou as medidas de segurança existentes para ajudar a evitar um incidente semelhante. As notificações por escrito foram emitidas após a conclusão da análise dos arquivos afetados.

Se você recebeu uma notificação, preserve evidências de atividades desconhecidas em contas ou reservas, documentos de viagem fraudulentos e mensagens que usem suas informações de identidade. Comunique qualquer uso indevido observado às autoridades policiais locais, ao órgão responsável por passaportes e ao prestador de serviços de viagem envolvido. O congelamento de crédito não altera um número de passaporte, mas pode oferecer proteção adicional contra a abertura de contas financeiras com dados de identidade roubados.

O número 308.777 corresponde à contagem de pessoas verificada pela Eurail e informada ao procurador-geral do Oregon, não à alegação do invasor sobre milhões de registros.

Este registro corresponde à transferência de arquivos ocorrida em dezembro de 2025 e à abrangência da notificação determinada em 2026. Apenas nomes e números de passaporte são categorias de dados confirmadas; dados bancários, dados de cartões, imagens de passaportes e outros campos não divulgados não estão incluídos. Se a Eurail ou as autoridades publicarem posteriormente uma contagem corrigida ou outro campo verificado, o conteúdo deverá ser atualizado para refletir essas evidências oficiais. Se você receber uma mensagem suspeita ou notar uma ocorrência suspeita na conta, verifique a situação pelo canal de contato oficial atual da organização, sem usar os links da mensagem. Quando houver uma carta de notificação individual disponível, ela será a fonte principal para saber quais dados daquela pessoa estão envolvidos e quais opções de proteção foram oferecidas. Se você receber uma mensagem suspeita ou notar uma ocorrência suspeita na conta, verifique a situação pelo canal de contato oficial atual da organização, sem usar os links da mensagem.