Eurail 2025 Veri İhlali: 308.777 Pasaport Kaydı

ABD eyaletlerine sunulan bireysel bildirimde kesin olarak belirtilen veriler ad ve pasaport numarasıdır. Bu iki alan, özellikle seyahat rezervasyonu veya kimlik doğrulama bahanesiyle yapılan hedefli dolandırıcılıkta kullanılabilir. Her kişinin aynı ek veri alanlarına sahip olduğu doğrulanmadığından kayıt yalnız adlar ve pasaport numaralarını veri türü olarak listeler.

Eurail daha önce banka veya kredi kartı bilgisi ile pasaportların görsel kopyalarını saklamadığını açıklamıştı. Resmî bildirim parola, ödeme kartı veya Sosyal Güvenlik numarası sızıntısı bildirmedi; bu alanlar kayda eklenmedi. Pasaport numarası yine de hassastır ve belgenin fiziksel kopyası sızmamış olsa bile sahte rezervasyon ve kimlik doğrulama girişimlerinde kullanılabilir.

Eurail ağının bir bölümünde olağandışı etkinlik tespit etti, olay müdahale prosedürlerini başlattı ve üçüncü taraf siber güvenlik uzmanlarıyla soruşturma yürüttü. Kanıtlar dosya aktarımının 26 Aralık 2025'te gerçekleştiğini gösterdi. Şirket çalınan dosyaları inceleyerek kişisel veri içeriğini 25 Şubat 2026'da kesinleştirdi.

Kaliforniya kayıt sayfası bilinen olay dönemi için 24 Aralık 2025 ile 8 Ocak 2026 tarihlerini gösterirken, bireysel bildirim dosya aktarımını 26 Aralık olarak tanımlar. Tespit, kapsam incelemesi ve kullanıcı bildirimi ayrı tarihlerdir ve tek bir güne indirgenmez.

Bir saldırgan daha sonra Eurail'in bulut depolama, destek ve kaynak kodu sistemlerinden yaklaşık 1,3 terabayt veri aldığını ve milyonlarca Eurail ya da Interrail kaydına sahip olduğunu iddia etti. Eurail çalınan verilerden bir örneğin yayımlandığını doğruladı; ancak saldırganın milyonlarca kişi iddiası resmî etkilenen sayı olarak kabul edilmedi.

Doğrulanmış düzenleyici bildirim 308.777 kişiyi kapsar. Saldırganın tek taraflı beyanı ile şirketin adli inceleme ve yasal bildirim sonucu doğruladığı alanlar arasındaki ayrım korunur.

Doğrudan Eurail bildirimi alan kişiler, pasaport numarasının olay kapsamına girdiğini kabul ederek kendi ülkelerinin pasaport makamından güncel yönlendirme almalıdır. Belgenin iptal veya yenileme gerekliliği ülkeye ve yetkili kurumun risk değerlendirmesine bağlıdır; bir e-posta ya da sosyal medya hesabının talimatıyla pasaport görüntüsü göndermeyin.

Yaklaşan seyahatlerinizde rezervasyon değişikliği, vize sorunu, bilet iadesi veya pasaport doğrulaması bahanesiyle gelen mesajlara dikkat edin. Mesajdaki bağlantı yerine Eurail ya da Interrail hesabını ve taşıyıcının sitesini doğrudan açın. Pasaport numarası, kart bilgisi veya tek kullanımlık kod isteyen kişiyi ayrı bir resmî kanal üzerinden doğrulayın.

Eurail olağandışı etkinliği belirledikten sonra erişimi sonlandırdığını, dış siber güvenlik uzmanlarından destek aldığını ve kolluk kuvvetlerine bildirim yaptığını açıkladı. Şirket benzer bir olayın tekrarını önlemek için mevcut güvenlik önlemlerini geliştirdiğini belirtti. Etkilenen dosyaların incelenmesi tamamlandıktan sonra kişilere yazılı bildirim gönderildi.

Bildirim alan kullanıcılar tanımadıkları hesap veya rezervasyon hareketlerini, sahte seyahat belgelerini ve kimlik bilgilerinin kullanıldığı mesajları kaydetmelidir. Kötüye kullanım görülürse yerel kolluk, pasaport kurumu ve ilgili seyahat sağlayıcısına bildirim yapılmalıdır. Kredi dondurması pasaport numarasının kendisini değiştirmez ancak kimlik bilgileriyle yeni finans hesabı açılmasına karşı ek koruma sağlayabilir.

Bu kayıttaki 308.777 değeri Eurail'in Oregon Başsavcılığına bildirdiği doğrulanmış kişi sayısıdır; saldırganın milyonlarca kayıt iddiası değildir.

Kayıt Aralık 2025'teki dosya aktarımını ve 2026'da kesinleşen bildirim kapsamını birlikte temsil eder. Yalnız ad ve pasaport numarası doğrulanmış veri türüdır; banka, kart, görsel pasaport ve açıklanmayan başka alanlar eklenmez. Eurail veya makamlar daha sonra düzeltilmiş sayı ya da ek doğrulanmış alan yayımlarsa içerik yeni resmî kanıta göre güncellenmelidir. Şüpheli bir mesaj veya hesap hareketi görüldüğünde, mesajdaki bağlantılar kullanılmadan ilgili kurumun güncel resmî iletişim kanalı üzerinden doğrulama yapılmalıdır. Şüpheli bir mesaj veya hesap hareketi görüldüğünde, mesajdaki bağlantılar kullanılmadan ilgili kurumun güncel resmî iletişim kanalı üzerinden doğrulama yapılmalıdır.