Eurail B.V. – компанията, която управлява популярната карта Interrail, официално потвърди инцидент с информационната сигурност, при който е осъществен неоторизиран достъп до клиентски данни. По данни на компанията има сериозна вероятност информацията да е била експортирана от системите, макар разследването все още да е в ход.

Interrail дава възможност за неограничени пътувания с влак в България и още 32 европейски държави, което означава, че потенциално засегнатите потребители са от цяла Европа.

Какви данни може да са компрометирани

Според официалното изявление на Eurail, в засегнатата база данни са се съхранявали:

• Име и фамилия

• Имейл адреси

• Телефонни номера

• Домашни адреси

• Дата на раждане

В отделни случаи пробивът може да е засегнал и значително по-чувствителна информация, включително:

• Копия на паспорти или лични карти

• Банкови референтни номера (IBAN)

Това рязко повишава риска от кражба на самоличност, финансови измами и целенасочени фишинг атаки.

Засегнати са и младежки програми на ЕС

Инцидентът не се ограничава само до клиенти на Eurail и Interrail. По данни на Европейската комисия, пробивът засяга и пътуващи по инициативата DiscoverEU – програма на ЕС, която предоставя безплатни карти за пътуване на млади хора.

Според Комисията, сред потенциално компрометираните данни могат да фигурират и:

• Номера на документи за самоличност

• Данни за здравословно състояние

Ако това се потвърди, инцидентът може да попадне в категорията на тежки нарушения на защитата на личните данни по смисъла на GDPR.

Реакцията на Eurail

След откриването на инцидента Eurail заявява, че е предприела незабавни действия:

• Осигуряване на системите

• Стартиране на вътрешно разследване

• Ангажиране на външни експерти по киберсигурност и правни консултанти

Случаят вече е докладван на компетентните органи за защита на личните данни, като се уведомяват и регулаторни органи извън ЕС. Компанията е започнала и процес по информиране на засегнатите клиенти.

Към момента Eurail твърди, че няма доказателства за злоупотреба или публично изтичане на данните, но подчертава, че наблюдението продължава.

Какви са реалните рискове за потребителите

Дори при липса на потвърдена злоупотреба, подобен тип пробив носи дългосрочни рискове:

• Фишинг атаки, базирани на реални лични данни

• Социално инженерство с висока степен на достоверност

• Финансови измами, ако са засегнати IBAN-и

• Кражба на самоличност, особено при компрометирани документи

Това е класически пример как туристически и транспортни платформи, които не се възприемат като „критична инфраструктура“, всъщност съхраняват изключително чувствителна информация.

Препоръки към засегнатите клиенти

Eurail и експертите по сигурност съветват потенциално засегнатите потребители да:

• Сменят паролите на имейл акаунти, социални мрежи и онлайн банкиране

• Следят внимателно банковите си сметки за необичайни транзакции

• Бъдат изключително внимателни към имейли и съобщения, изискващи лична информация

• Подадат сигнал до съответния орган за защита на личните данни при съмнение за злоупотреба

По-широкият контекст

Инцидентът с Eurail е още едно напомняне, че масовите потребителски платформи са привлекателна цел за киберпрестъпниците, особено когато комбинират лични, финансови и документални данни в една система.

За организациите това означава, че киберсигурността вече не е просто IT въпрос, а ключов елемент от доверието и репутацията.