BlogDroit du numériqueProtection des données & vie privéeFuite de données Interrail : passeports et coordonnées exposésFuite de données Interrail : passeports et coordonnées exposés
Le 3 mai 2026, la plateforme de veille bonjourlafuite.eu.org a signalé une fuite de données touchant Interrail, le service de pass ferroviaire européen géré par l’Union internationale des chemins de fer (UIC). Les données exposées concernent des voyageurs ayant souscrit un pass Interrail et incluent des informations d’identité, de contact et des données de passeport. Le volume exact de personnes affectées et la nature précise de l’incident n’ont pas encore été officiellement confirmés par Interrail au moment de la publication de cet article.
Suis-je concerné par la fuite de données Interrail ?
Si vous avez souscrit ou utilisé un pass Interrail et transmis vos informations personnelles lors de la réservation ou de l’enregistrement de votre pass, vos données ont pu être exposées. Les données de passeport étant incluses dans la fuite, le niveau de risque est particulièrement élevé. Soyez vigilant face à tout message se présentant comme étant d’Interrail ou d’un opérateur ferroviaire européen.
Que s’est-il passé ?
Interrail est le programme européen de pass ferroviaires permettant aux voyageurs de circuler librement dans jusqu’à 33 pays. Lors de la souscription d’un pass, les voyageurs transmettent leurs données d’identité complètes, leurs coordonnées et, pour les ressortissants hors UE, les informations de leur passeport. Ces données sont également collectées pour les accompagnants enregistrés sur le pass. Au moment de la publication, bonjourlafuite.eu.org a signalé l’incident sur la base d’un constat de fuite disponible publiquement. Aucune confirmation officielle de l’UIC ou d’Interrail n’était disponible, ni aucune information sur le vecteur d’attaque utilisé.
🚨 À retenir : La présence de données de passeport (numéro, date de délivrance, date d’expiration) dans cette fuite est particulièrement grave. Ces informations, combinées à l’identité et aux coordonnées, constituent un profil complet permettant des tentatives d’usurpation d’identité très ciblées, voire des fraudes documentaires. Contrairement à un mot de passe, un numéro de passeport ne peut pas être changé facilement.
Quelles données ont été exposées ?
| Catégorie | Données exposées |
|---|---|
| Identité | Nom, prénom |
| Contact | Adresse e-mail, adresse postale, numéro de téléphone |
| Document d’identité | Numéro de passeport, date de délivrance, date d’expiration |
| Voyage | Informations sur les accompagnants |
Pourquoi les données de passeport sont-elles particulièrement sensibles ?
Contrairement à un mot de passe ou une adresse e-mail, les données de passeport ne peuvent pas être modifiées facilement. Obtenir un nouveau passeport prend plusieurs semaines et ne supprime pas le risque lié à l’ancien numéro encore en circulation. Un acteur malveillant en possession du numéro de passeport, de sa date de délivrance et d’expiration peut :
- Tenter une usurpation d’identité auprès d’administrations ou de services en ligne
- Construire de faux documents ou procéder à des fraudes documentaires
- Accéder à des services nécessitant une pièce d’identité (location de véhicule, services financiers, ouverture de compte)
- Cibler la victime avec des campagnes de phishing d’une crédibilité élevée en se faisant passer pour un organisme officiel
- Exploiter les données des accompagnants enregistrés sur le même pass
Interrail est utilisé par des voyageurs de toute l’Europe et au-delà. Si vous avez vérifié que votre adresse e-mail est présente dans des bases de données fuites, vous pouvez le faire via l’outil Have I Been Pwned. Cette vérification est gratuite, ne nécessite aucun compte et vous indique si votre e-mail figure dans des fuites connues.
Quels sont les risques concrets pour les victimes ?
- Phishing ciblé : e-mails, SMS ou appels se faisant passer pour Interrail, un opérateur ferroviaire ou une compagnie d’assurance voyage
- Usurpation d’identité : combinaison nom + passeport + coordonnées = profil complet exploitable
- Fraude aux accompagnants : les données des personnes voyageant avec la victime sont également exposées
- Revente sur le dark web : les données de passeport sont particulièrement valorisées sur les marchés criminels, notamment pour la création de faux documents
- Ingénierie sociale : un escroc connaissant votre pass Interrail, vos dates de voyage et vos accompagnants peut construire des scénarios d’arnaque très crédibles
👉 La fuite a-t-elle été officiellement confirmée par Interrail ?
Au moment de la publication de cet article, l’incident a été signalé par la plateforme de veille bonjourlafuite.eu.org. Aucune confirmation officielle de l’UIC ou d’Interrail n’était disponible. Nous vous recommandons de consulter leur site officiel interrail.eu et de vérifier si vous avez reçu une notification par e-mail de leur part.
Que faire si vous êtes concerné ?
- Ne cliquez pas sur les liens dans tout e-mail ou SMS se présentant comme étant d’Interrail ou d’un opérateur ferroviaire
- Vérifiez votre espace client Interrail directement sur interrail.eu et changez votre mot de passe
- Vérifiez si votre e-mail figure dans des fuites connues via Have I Been Pwned
- Alertez votre banque et signalez tout mouvement ou demande suspecte
- Signalez toute tentative de phishing sur cybermalveillance.gouv.fr
- En cas de soupçon d’usage frauduleux de votre passeport : déclarez l’incident à l’Agence nationale des titres sécurisés (ANTS) via ants.gouv.fr et déposez plainte auprès de la police ou gendarmerie
- Déposez plainte en ligne sur pre-plainte-en-ligne.gouv.fr si vous constatez une usurpation d’identité
Interrail étant un service pan-européen, la notification RGPD doit être effectuée auprès des autorités de protection des données de chaque pays concerné. Pour les victimes françaises, c’est la CNIL qui est compétente. Pour les ressortissants d’autres pays de l’UE, l’autorité de contrôle nationale du pays de résidence est l’interlocuteur. Vous pouvez également saisir le Comité européen de la protection des données (CEPD) si la réponse nationale est insatisfaisante.
Quels recours juridiques ?
Si vous subissez un préjudice direct lié à cette fuite (usurpation d’identité, fraude, accès non autorisé à vos comptes), plusieurs voies sont disponibles :
- Plainte pénale pour usurpation d’identité (article 226-4-1 du Code pénal)
- Saisine de la CNIL pour violation de données personnelles (RGPD)
- Action en responsabilité contre Interrail / UIC pour manquement à l’obligation de sécurisation des données (article 32 RGPD)
- Recours individuel ou collectif en indemnisation du préjudice subi devant les juridictions compétentes
Vous avez été victime d’une usurpation d’identité ou d’une fraude suite à cette fuite ? Décrivez votre situation pour être mis en relation avec un avocat spécialisé en droit du numérique.
Les questions des internautes
Si vous avez souscrit un pass Interrail et transmis vos informations personnelles, vos données ont pu être exposées : nom, prénom, e-mail, adresse, téléphone, numéro de passeport (date de délivrance et d’expiration) et informations sur les accompagnants. Vérifiez votre exposition via Have I Been Pwned.
Les données de passeport ne peuvent pas être modifiées simplement : obtenir un nouveau passeport prend plusieurs semaines. Ces données permettent : usurpation d’identité, fraudes documentaires, accès à des services bancaires ou de location, et campagnes de phishing très ciblées. L’ancien numéro reste exploitable même après renouvellement.
✔ Changez votre mot de passe Interrail. ✔ Vérifiez votre e-mail sur Have I Been Pwned. ✔ Ne cliquez aucun lien suspect se présentant comme Interrail. ✔ Alertez votre banque. ✔ En cas de soupçon sur votre passeport : signalez à l’ANTS et déposez plainte.
Oui. Les données des accompagnants enregistrés sur le pass sont également exposées. Des tiers (famille, amis) ayant voyagé avec le titulaire peuvent être affectés sans avoir souscrit directement. Il est conseillé de les informer et de leur recommander la même vigilance face au phishing.
Recours possibles : plainte pénale (art. 226-4-1 Code pénal), saisine CNIL (violation RGPD), action en responsabilité contre Interrail / UIC (art. 32 RGPD), recours collectif en indemnisation. Pour les victimes UE hors France : saisir l’autorité de contrôle du pays de résidence.
.webp)
.png)
