Interrail-reizigersgegevens te koop op darkweb na datalek
Eurail, de organisatie achter de populaire Interrail- en Eurail-reiskaarten, maakte vorige maand al bekend te zijn getroffen door een cyberaanval. Hackers kregen daarbij toegang tot een database met klantgegevens. Dat zij ook daadwerkelijk data hebben buitgemaakt, blijkt nu: de gestolen gegevens worden op het darkweb te koop aangeboden.
Interrail-gegevens te koop gezet via Telegram
De criminelen hebben de gegevens onlangs te koop gezet. Via Telegram publiceerden ze een datasample om te bewijzen dat ze de data in handen hebben. Eurail bevestigt dat het op de hoogte is van deze sample.
Intussen loopt er een onderzoek naar het type gegevens dat wordt aangeboden en naar het aantal klanten dat is getroffen. Ook wordt gekeken naar de impact voor individuele klanten. Zodra daar meer duidelijkheid over is, worden betrokkenen individueel op de hoogte gebracht van de gevolgen van de cyberaanval.
Klanten van wie mogelijk data is gestolen, krijgen alvast het advies alert te zijn op phishingaanvallen. Ook wordt hen gevraagd hun banktransacties goed in de gaten te houden en verdachte activiteiten meteen bij hun bank te melden.
Daarnaast doen klanten er verstandig aan hun wachtwoord van de Rail Planner-app aan te passen. Wie hetzelfde wachtwoord ook elders gebruikt, kan dat daar beter meteen wijzigen. Zo wordt voorkomen dat hackers het datalek misbruiken voor zogeheten credential stuffing. Dat is een aanvalstechniek waarbij gelekte inloggegevens worden gebruikt om in te loggen bij andere accounts met hetzelfde e-mailadres en wachtwoord.
Welke gegevens zijn mogelijk gelekt?
De exacte omvang van het datalek is nog onduidelijk. Begin januari gaf de Europese Commissie, die met Eurail samenwerkt voor DiscoverEU-reizigerspassen, aan dat mogelijk namen, adressen, e-mailadressen, telefoonnummers en geboortedata zijn gelekt. In sommige gevallen zou het ook gaan om kopieën van identiteitsdocumenten of IBAN-nummers.
Dergelijke gegevens kunnen door cybercriminelen worden gebruikt voor gerichte phishingaanvallen via e-mail, telefoon of zelfs briefpost. Door de omvang en gevoeligheid van de informatie bestaat bovendien het risico op identiteitsfraude.
