Bij een cyberaanval op Eurail eind 2025 zijn de persoonlijke gegevens van zeker 300.000 treinreizigers gelekt, al zou het zelfs om nog meer kunnen gaan.
In december 2025 werd Eurail BV, uitgever van de Eurail- en Interrail-treinkaarten, getroffen door een cyberaanval. De omvang van de aanval begint stilaan duidelijk te worden. Het in Utrecht gevestigde bedrijf spreekt in officiële datalekmeldingen van zeker 308.777 getroffen individuen, zoals blijkt uit een document ingediend bij het openbaar ministerie van de Amerikaanse staat Oregon dat Bleeping Computer kon inkijken.
Het gaat om gevoelige persoonsgegevens zoals namen, nummers van identiteitskaarten en bankrekeningen en contactinformatie. Stuk voor stuk gegevens die cybercriminelen graag in handen krijgen. Eurail heeft alle getroffen individuen via een brief op de hoogte gebracht. “We hebben de betreffende dossiers doorgenomen en op 25 februari 2026 vastgesteld dat deze bepaalde gegevens van u bevatten, zoals uw naam en paspoortnummer”, schrijft Eurail in de brief. Het bedrijf adviseert om extra waakzaam te zijn met het delen van persoonlijke gegevens.
Cyberaanval in december
Eurail maakte in januari een eerste melding van een inbraak op zijn klantendatabase, al zou het bewuste incident nog in 2025 zijn gebeurd. Toen was het nog onduidelijk om welke gegevens het precies ging, en hoeveel treinreizigers precies betrokken waren. De Europese Commissie stuurde gelijktijdig een aparte waarschuwing uit, omdat het in het kader van een internationaal programma met Eurail samenwerkt.
Ongeveer een maand na publieke bekendmaking van de cyberaanval, meldde Eurail dat de gestolen database te koop stond op het dark web. Via Telegram werden ‘testsamples’ rondgestuurd. De hackers claimen echter dat ze over gegevens van miljoenen reizigers beschikken, verzameld via de AWS S3-, Zendesk- en GitLab-omgevingen van het bedrijf. Mogelijk is de totale impact van het datalek dus nog steeds niet helemaal gekend.
Europese organisaties krijgen het de afgelopen weken weer zwaar te verduren. Ook de Europese Commissie werd zelf slachtoffer van een cyberaanval op het Europa.eu-webplatform. De aanval zou betrekking hebben op een dertigtal EU-entiteiten en is opgeëist door ShinyHunters. Wie achter de aanval op Eurail zit, is niet geweten.