Para: quem comprou bilhetes ou passes ferroviários italianos da Trenitalia, incluindo turistas que reservaram um Frecciarossa ou outro trem para uma viagem à Itália, e quem recebeu uma mensagem de texto ou e-mail sobre um "reembolso por atraso de trem".
Este artigo é baseado nos avisos aos clientes publicados pela Trenitalia, em sua orientação sobre compensação por atraso e em páginas oficiais da autoridade italiana de proteção de dados (Garante), da CERT-AGID e da Polícia Postal e de Comunicações italiana (Polizia Postale). Ele não trata de técnicas de ataque.
O que os viajantes devem fazer hoje
Trate qualquer mensagem que mencione suas viagens como suspeita e não abra seus links
No aviso, a Trenitalia alerta que, dado o tipo de dados envolvidos, você pode receber mensagens fraudulentas que mencionem suas viagens, e pede que os clientes tenham cuidado especial com mensagens que solicitem dados pessoais ou financeiros ou que contenham links ou anexos inesperados.
Um trajeto ou uma data corretos não comprovam que a mensagem é genuína. Para verificar, digite trenitalia.com no seu navegador você mesmo ou abra o aplicativo oficial e veja sua reserva por lá (noções básicas em O que é phishing?).
Solicite a compensação por atraso somente pelos canais oficiais
Segundo a Trenitalia, a compensação por atrasos em trens Frecce (alta velocidade) e Intercity é solicitada em até um ano após a viagem, pelo formulário web ou pela função "Richiedi Indennizzo" no site, pelo aplicativo da Trenitalia, nas bilheterias, pela agência de viagens que emitiu o bilhete, pela central de atendimento ou por correio.
Para bilhetes digitais regionais (Biglietto Digitale Regionale), a compensação elegível é paga automaticamente no cartão usado na compra, sem necessidade de solicitação. Em nenhum ponto dessa orientação um reembolso funciona clicando em um link e digitando dados de cartão.
Nunca forneça senhas ou números de cartão, independentemente de quem pedir
A Trenitalia afirma que nunca entrará em contato para pedir senhas ou dados de pagamento. A autoridade italiana de proteção de dados (Garante) também orienta nunca responder a mensagens que peçam seu código fiscal (codice fiscale), PINs, número do cartão, código de segurança do cartão ou senhas de uso único.
Se você informou dados de cartão, ligue imediatamente para a sua operadora
O Garante orienta que, se você possa ter entregue dados bancários ou de cartão em um golpe por SMS, entre em contato imediatamente com seu banco ou operadora de cartão por canais conhecidos e confiáveis para relatar o caso e bloquear transações, e registre queixa na polícia se houver dinheiro retirado.
Conferir os extratos com frequência e ativar alertas de transação ajuda a perceber mais cedo. Para um cartão emitido fora da Itália, ligue para o número no verso do cartão.
Entre em contato com a Trenitalia somente pelo formulário citado no aviso
A Trenitalia criou um canal de suporte específico: o formulário web de reclamações e sugestões (reclami-e-suggerimenti.trenitalia.com), opção "Privacy – Gestione dei dati personali", informando o código de referência do aviso. Para contato por telefone, use o número da central de atendimento no site da própria Trenitalia, nunca um número informado em uma mensagem.
Denuncie mensagens suspeitas
A Polícia Postal e de Comunicações italiana (Polizia Postale) aceita denúncias de phishing pelo formulário "Segnala online" em commissariatodips.it (em emergência, ligue para 112 ou 113). Fora da Itália, use o canal de denúncia do seu país; no Japão, por exemplo, o Council of Anti-Phishing Japan recebe denúncias (anexe uma captura de tela no caso de mensagens de texto).
Trajeto, data, horário, número do bilhete
+ e-mail e telefone
↓→
"Seu trem do dia 12 atrasou: solicite seu reembolso"
→ Ignore o link; abra o aplicativo ou trenitalia.com por conta própria
Nome, data e local de nascimento
(código fiscal em um dos avisos)
↓→
Uma ligação que "confirma" você com sua data de nascimento real
→ Saber sua data de nascimento não torna a ligação genuína. Desligue e ligue para a linha oficial
Código do cartão de fidelidade, empregador
(somente para bilhetes que os tinham)
↓→
"Seus pontos vão expirar" / "confirme sua tarifa corporativa"
→ Verifique os pontos no aplicativo oficial; nunca informe dados de cartão
Não incluídos (segundo a Trenitalia): dados de login, senhas, número do cartão, data de validade, código de segurança
O que aconteceu (segundo os avisos da Trenitalia)
Tudo o que está abaixo é conforme declarado nos avisos aos clientes publicados pela Trenitalia em seu site (uma "comunicação de violação de dados pessoais" às pessoas afetadas, nos termos do Artigo 34 do GDPR, o Regulamento Geral de Proteção de Dados da UE). Três versões foram publicadas, conforme o bilhete:
- bilhetes vendidos somente pela Trenitalia
- bilhetes com controle conjunto com a Trenitalia France
- bilhetes com controle conjunto com o Consorzio Unico Campania, responsável pelos bilhetes compartilhados UnicoCampania da região da Campânia
Data não divulgada
A Trenitalia detectou um incidente de segurança cibernética causado por terceiros não identificados, resultando em acesso não autorizado a alguns dados pessoais vinculados a bilhetes de viagem. A empresa diz que, ao detectar o problema, interrompeu imediatamente a anomalia, protegeu seus sistemas e reforçou ainda mais seus controles.Período de análise
As equipes de TI da Trenitalia realizaram análise técnica aprofundada para identificar com precisão quem poderia ter sido afetado. A empresa diz que isso levou tempo porque o acesso indevido precisou ser reconstruído em detalhes, e que notificou os clientes afetados após a conclusão do trabalho.26 de junho de 2026
Segundo os avisos para bilhetes com controle conjunto, esta é a data em que a Trenitalia comunicou o evento aos clientes.Posteriormente
A Trenitalia enviou avisos em nome próprio e da Trenitalia France, e em nome próprio e do Consorzio Unico Campania, para bilhetes com controle conjunto. Ambos afirmam tratar-se de "o mesmo evento" comunicado em 26 de junho.
- Identidade
- Nome do passageiro, data de nascimento e local de nascimento; nome do comprador, se for diferente
- Contato
- E-mail, telefone
- Itinerário
- Informações vinculadas ao bilhete (por exemplo, trajeto, data, horário, número do bilhete) e dados relacionados à geração do bilhete
- Outros (avisos da Trenitalia e da Trenitalia France)
- Código do cartão de fidelidade vinculado ao bilhete, empresa ou organização empregadora, tipo de oferta ou serviço vinculado ao bilhete e dados necessários para usá-lo, dados do documento de identidade
- Aviso UnicoCampania
- Também lista o código fiscal (codice fiscale) e o gênero; não lista empregador nem dados de documento de identidade
- Não incluídos
- Dados de acesso à conta, credenciais pessoais e informações de pagamento (número do cartão, data de validade, código de segurança)
- Comunicações
- Notificados à autoridade italiana de proteção de dados (Garante) e à CSIRT Italia (equipe nacional de resposta a incidentes cibernéticos da Itália); queixa criminal apresentada à procuradoria pública do Tribunal de Roma
Como ler a lista: os itens variam conforme o tipo de bilhete e se o sistema mantinha esses dados
Os avisos dizem que as categorias se aplicam somente quando esses dados estavam nos sistemas da Trenitalia em relação ao bilhete. Um empregador, por exemplo, está relacionado a bilhetes corporativos, e um código de cartão de fidelidade apenas a bilhetes com cartão vinculado.
Dos três avisos publicados, somente o da UnicoCampania lista o código fiscal. Algumas reportagens misturam as categorias ou apresentam datas do incidente; este artigo usa apenas o que os avisos da Trenitalia dizem.
Um itinerário vazado torna mensagens falsas convincentes e revela quando você está fora de casa
Vazamentos de nomes e endereços de e-mail são comuns. O que é diferente aqui é o itinerário. Saber quando, de onde, para onde e em qual trem alguém viajou permite duas coisas.
O que uma lista sem itinerários permite
- "Há um problema com sua conta"
- "Seus pontos estão prestes a expirar"
- Fácil de descartar se não corresponder a nada que você fez
O que uma lista com itinerários permite
- "Seu trem para Nápoles no dia 3 atrasou: solicite seu reembolso"
- "O bilhete nº X precisa de uma alteração para ser confirmado"
- As pessoas que de fato pegaram esse trem são as mais propensas a acreditar
Primeiro, golpes de reembolso se tornam muito mais convincentes. Em julho de 2026, a CERT-AGID (o CERT da agência digital da Itália) relatou uma campanha de SMS que usava o nome da Trenitalia e um falso reembolso por trem atrasado para roubar números de telefone e dados de cartão de crédito.
Não foi publicado se essa campanha usou dados deste vazamento. Mas uma mensagem com a rota e a data certas é muito mais difícil de duvidar.
Segundo, um ponto que este site quer acrescentar como visão própria: um itinerário também é um registro de quando uma pessoa está fora de casa. O conhecimento dos planos de viagem poderia ser usado em mensagens como "sobre sua casa enquanto você está fora na próxima semana", em ligações que alegam agir em nome de alguém em viagem de negócios, ou em mensagens a familiares enquanto o viajante está no exterior.
A defesa é simples: nunca trate o conhecimento dos planos de viagem de alguém como prova de identidade ou de confiabilidade. Também ajuda combinar com sua família: "mesmo que uma mensagem conheça meu itinerário, não envie dinheiro nem informações até falar comigo diretamente."
Visão deste site: conheça como funcionam os reembolsos genuínos e você não precisará se preocupar com falsificações
Dicas para identificar mensagens falsas (links com erros de digitação, redação estranha) deixam de funcionar à medida que os golpistas melhoram. Uma abordagem mais confiável é conhecer antecipadamente o processo genuíno.
Na Trenitalia, a compensação por atraso é solicitada por você pelo site, aplicativo ou bilheterias ou, para bilhetes digitais regionais, paga automaticamente no cartão com que você comprou. "Abra este link e digite o número do seu cartão para receber seu reembolso" não se encaixa em nenhuma dessas opções, então você pode considerá-lo falso sem ler mais nada.
Há uma lição também para organizações que enviam avisos de violação: não inclua links de login no aviso e declare que reembolsos e compensações nunca exigirão dados de cartão. Isso oferece aos clientes uma regra simples. O aviso da Trenitalia afirma que a empresa nunca pedirá senhas ou dados de pagamento, o que é um passo nessa direção. A mesma ideia surgiu no caso francês em que uma lista de candidatos a documentos de identidade vazou (o vazamento da France Titres (ANTS)).
Mensagens falsas que usam dados de reservas de viagem também têm sido um problema no setor de hospedagem (o vazamento de dados da Booking.com). Para outro caso europeu deste ano, em que usuários autenticados do registro de empresas do Reino Unido podiam ver dados não públicos de outras empresas, veja a falha no WebFiling do Companies House.
Fontes (registro público)
Os fatos deste artigo vêm das fontes públicas abaixo. Especulações da cobertura da mídia e números, datas ou causas não divulgados não são usados.
- Trenitalia, "Comunicazione di violazione dei dati personali ai sensi dell'art. 34 del Regolamento UE 679/2016" (bilhetes vendidos somente pela Trenitalia) — trenitalia.com
- Trenitalia e Trenitalia France, mesmo aviso (afirma tratar-se do evento comunicado em 26 de junho) — trenitalia.com
- Trenitalia e Consorzio Unico Campania, mesmo aviso (lista código fiscal e gênero) — trenitalia.com
- Trenitalia, "Indennità per ritardo del treno" (compensação por atraso e como solicitar) — trenitalia.com
- CERT-AGID, "Sintesi riepilogativa delle campagne malevole nella settimana del 4 – 10 luglio" (10 de julho de 2026) — cert-agid.gov.it
- Garante per la protezione dei dati personali, "Smishing: i suggerimenti del Garante" — garanteprivacy.it
- Polizia Postale, "Segnala online" — commissariatodips.it
- Council of Anti-Phishing Japan, denúncias de phishing (em japonês) — antiphishing.jp
Histórico de atualizações
2026-09-30: Primeira versão, com base nos três avisos aos clientes publicados pela Trenitalia, em sua orientação sobre compensação por atraso, no resumo semanal da CERT-AGID (10 de julho) e na orientação do Garante e da Polícia Postal italiana. O número de pessoas afetadas, a data em que o incidente ocorreu ou foi detectado e a causa técnica não foram divulgados oficialmente; este artigo será atualizado caso sejam.
Leia em seguida
- Preparando-se para mensagens falsas após o vazamento de uma lista: O vazamento da France Titres (ANTS) (França)
- Mensagens falsas que usam dados de reservas de viagem: O vazamento de dados da Booking.com
- Outro caso europeu deste ano: A falha no WebFiling do Companies House (Reino Unido)
- Identificando mensagens falsas: O que é phishing? / Protegendo dispositivos em viagens: Protegendo um notebook que você leva consigo
- Outros incidentes de 2026: lista de vazamentos e ataques cibernéticos (Japão e mundo)