Im vergangenen Januar gab Eurail einen Sicherheitsvorfall bekannt. Die holländische Firma vertreibt die Eurail- und Interrail-Tickets für den Bahn- und Fährverkehr in Europa. Damals hiess es, verschiedene Kategorien personenbezogener Daten seien kompromittiert worden. Dazu würden Kunden- und Buchungsinformationen wie Name, Kontaktdaten und Geburtsdatum gehören. In einzelnen Fällen könnten auch Pass- oder Ausweisinformationen betroffen sein. Es gebe aber noch keine Hinweise, dass Daten veröffentlicht würden, so Eurail im Januar.

Im Februar bekannte sich ein Hacker zu dem Angriff und gab in einem Post auf Breachforums an, 1,3 Terabyte an Daten erbeutet zu haben. Diese seien aus den Eurail-Instanzen auf AWS S3, Zendesk und Gitlab kopiert worden. Dazu würden vollständige Git-Repository-Klone des internen Quellcodes, Datenbank-Backups sowie Zendesk-Supporttickets gehören. Der Hacker behauptete weiter, auch im Besitz von Daten von Millionen von Kunden und Kundinnen zu sein, darunter vollständigen Namen, Geburtsdaten, Telefonnummern, E-Mail- und Postadressen sowie Pass- und Personalausweisdaten.

Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte daraufhin im März: "Das Unternehmen teilte mit, dass die abgeflossenen Daten im Darknet aufgetaucht sind. Unter anderem ist ein Beispieldatensatz in einer Telegram-Gruppe veröffentlicht worden." Eurail habe den Vorfall den zuständigen Datenschutzbehörden gemeldet und informiere betroffene Kundinnen und Kunden.

Wie aus Eingaben bei US-Aufsichtsbehörden hervorgeht, die Eurail jetzt eingereicht hat, handelt es sich doch um eine grössere Zahl von Ausweisinformationen, die abgeflossen sind. Gemäss dem Schreiben wurden die Passnummern von rund 308'000 Personen offengelegt. An die Betroffenen würden schriftliche Benachrichtigungen geschickt.

Zu den Partnern von Eurail zählen auch die SBB. Ob sich im geleakten Datensatz Schweizer Passnummern befinden, ist noch nicht bekannt. Gegenüber 'SRF' erklärten die Bundesbahnen im Januar: "Es ist leider davon auszugehen, dass auch Daten von Schweizer Kundinnen und Kunden von Eurail vom Hack betroffen sind." SBB-Kundendaten seien aber keine gestohlen worden. Die SBB würden Interrail-Bestellungen direkt auf einem Webportal von Eurail erfassen.