Fuite chez Eurail

Le 13 janvier 2026, Eurail B.V. — exploitant néerlandais des pass ferroviaires Interrail et Eurail utilisés par les voyageurs à travers l'Europe — a commencé à notifier ses clients d'une fuite de données au cours de laquelle des attaquants ont obtenu un accès non autorisé à ses systèmes et exfiltré des informations personnelles. Eurail a reconnu l'incident le 10 janvier et a débuté l'envoi des e-mails de notification le 13 janvier.

L'entreprise a indiqué avoir sécurisé les systèmes affectés, corrigé la vulnérabilité exploitée, réinitialisé les identifiants et fait appel à des spécialistes externes en cybersécurité pour surveiller la situation ; elle n'a pas divulgué publiquement le vecteur d'attaque précis. La fuite a été signalée à l'autorité néerlandaise de protection des données au titre du RGPD. La presse a évalué à environ 309 000 le nombre de personnes potentiellement concernées, ayant réservé un pass Interrail ou Eurail directement ou via des distributeurs associés, sans qu'Eurail ne confirme elle-même de chiffre.

Les données signalées comme exposées comprennent :

• Nom, date de naissance et genre
• Adresse e-mail, adresse postale et numéro de téléphone
• Numéro de passeport ou de carte d'identité, pays d'émission et date d'expiration
• Pour les participants à DiscoverEU (Erasmus+) : numéro de compte bancaire (IBAN), photocopies de passeport/pièce d'identité et certaines données de santé

Bien qu'Eurail ait d'abord affirmé qu'il n'existait aucune preuve d'utilisation abusive ou de publication des données, l'entreprise a ensuite confirmé qu'un ensemble des données volées avait été mis en vente sur le dark web et qu'un échantillon avait été publié sur Telegram. Les clients concernés ont été invités à se méfier du phishing et des arnaques, à changer leurs mots de passe sur tous leurs comptes et, dans certains cas, à envisager de remplacer leur passeport.