Personuppgifter från tusentals svenskar som köpt tågluffarkortet Interrail sprids nu på Darknet efter ett omfattande dataintrång mot det europeiska bokningssystemet. Uppgifterna, som inkluderar namn, adress, e-post och i vissa fall betalningsinformation, ska enligt uppgifter på flera forum ha lagts ut till försäljning för motsvarande några hundralappar i kryptovaluta. Händelsen har väckt oro bland resenärer och myndigheter, då informationen kan användas för identitetsstöld och bedrägerier.
Enligt källor inom IT-säkerhetsbranschen upptäcktes intrånget förra veckan, men spåren tyder på att angriparna haft tillgång till systemet under flera månader. Det är fortfarande oklart om attacken är riktad mot det svenska systemet eller om alla nationella webbplatser som säljer Interrailkort har drabbats. Den europeiska organisationen Eurail, som administrerar kortet, uppger i ett pressmeddelande att en extern säkerhetsgranskning nu pågår och att misstänkta konton har spärrats.
Svenska Myndigheten för digital förvaltning (DIGG) och Integritetsskyddsmyndigheten (IMY) har informerats och följer ärendet. En talesperson för IMY uppger att en anmälan om personuppgiftsincident redan inkommit och att en utredning har inletts för att avgöra vilka skyldigheter enligt dataskyddsförordningen som kan ha åsidosatts. För närvarande uppmanas alla som köpt Interrailkort under det senaste året att vara vaksamma på misstänkta e-postmeddelanden, oväntade fakturor och försök till nätfiske.
Bland resenärer märks både ilska och oro. Flera personer som kontaktats av tidningen uttrycker frustration över att ett internationellt system som hanterar så känsliga uppgifter inte haft bättre skydd. IT-experter varnar samtidigt för att den här typen av attacker ökar i omfattning, särskilt mot turistrelaterade tjänster där stora mängder betalningsdata hanteras. Enligt branschanalytiker kan cyberkriminella utnyttja läckan i kombination med tidigare dataintrång för att bygga mer kompletta profiler av sina offer.
Polisen bekräftar att en förundersökning har inletts, men vill inte kommentera om någon misstänkt har identifierats. Europol har enligt egna uppgifter informerats om intrånget och deltar i den tekniska analysen av datamaterialet som hittats online. Den pågående utredningen väntas ta flera veckor innan omfattningen av skadan kan fastställas, men redan nu står det klart att incidenten blir en väckarklocka för hela branschen.
