Для кого: для всех, кто покупал итальянские железнодорожные билеты или абонементы Trenitalia, включая туристов, забронировавших Frecciarossa или другой поезд для поездки в Италию, и для тех, кто получил SMS или письмо о «возврате денег за задержку поезда».
Эта статья основана на уведомлениях для клиентов, опубликованных Trenitalia, её руководстве по компенсации за задержку и официальных страницах итальянского органа по защите персональных данных (Garante), CERT-AGID и Полицейской службы почты и связи Италии (Polizia Postale). Она не описывает методы атак.
Что стоит сделать путешественникам сегодня
Считайте подозрительным любое сообщение, которое упоминает ваши поездки, и не открывайте его ссылки
В своём уведомлении Trenitalia предупреждает, что с учётом типа затронутых данных вы можете получать мошеннические сообщения, которые ссылаются на ваши поездки, и просит клиентов особенно осторожно относиться к сообщениям, которые запрашивают персональные или финансовые данные либо содержат неожиданные ссылки или вложения.
Правильный маршрут или дата не доказывают, что сообщение настоящее. Для проверки введите trenitalia.com в браузере самостоятельно или откройте официальное приложение и посмотрите бронирование там (основы — в статье Что такое фишинг?).
Запрашивайте компенсацию за задержку только через официальные каналы
По словам Trenitalia, компенсация за задержку скоростных поездов Frecce и поездов Intercity запрашивается в течение одного года после поездки через веб-форму или функцию «Richiedi Indennizzo» на сайте, в приложении Trenitalia, в кассах, в турагентстве, которое выдало билет, в колл-центре или по почте.
Для региональных цифровых билетов (Biglietto Digitale Regionale) положенная компенсация выплачивается автоматически на карту, которой была совершена покупка, без необходимости подавать заявку. Нигде в этом руководстве возврат не оформляется переходом по ссылке и вводом данных карты.
Никогда не сообщайте пароли и номера карт, кто бы ни спрашивал
Trenitalia заявляет, что никогда не будет связываться с вами, чтобы запросить пароли или платёжные данные. Итальянский орган по защите персональных данных (Garante) также советует никогда не отвечать на SMS, которые запрашивают налоговый код (codice fiscale), PIN-коды, номер карты, код безопасности карты или одноразовые пароли.
Если вы ввели данные карты, сразу позвоните в банк, выпустивший карту
Garante советует: если вы могли передать банковские или карточные данные в результате SMS-мошенничества, немедленно свяжитесь с банком или эмитентом карты по известным и надёжным каналам, чтобы сообщить об этом и заблокировать операции, а если деньги были списаны, обратитесь в полицию.
Частая проверка выписок и включение уведомлений о транзакциях помогут заметить проблему быстрее. Для карты, выпущенной за пределами Италии, звоните по номеру на обратной стороне карты.
Связывайтесь с Trenitalia только через форму, указанную в её уведомлении
У Trenitalia есть специальный канал поддержки: веб-форма для жалоб и предложений (reclami-e-suggerimenti.trenitalia.com), пункт «Privacy – Gestione dei dati personali», с указанием справочного кода из уведомления. Для телефонной связи используйте номер колл-центра на официальном сайте Trenitalia, а не номер, указанный в сообщении.
Сообщайте о подозрительных сообщениях
Полицейская служба почты и связи Италии (Polizia Postale) принимает жалобы на фишинг через форму «Segnala online» на commissariatodips.it (в экстренном случае звоните 112 или 113). За пределами Италии используйте канал подачи жалоб своей страны; в Японии, например, сообщения принимает Council of Anti-Phishing Japan (прикрепите скриншот для SMS).
Маршрут, дата, время, номер билета
+ адрес электронной почты и номер телефона
↓→
«Ваш поезд 12-го опоздал: получите возврат»
→ Не переходите по ссылке; откройте приложение или trenitalia.com самостоятельно
Имя, дата и место рождения
(налоговый код — в одном из уведомлений)
↓→
Звонок, который «подтверждает» вас вашей настоящей датой рождения
→ Знание даты рождения не делает звонок настоящим. Положите трубку и позвоните по официальному номеру
Код карты лояльности, работодатель
(только для билетов, где они были)
↓→
«Срок действия ваших баллов истекает» / «подтвердите корпоративный тариф»
→ Проверяйте баллы в официальном приложении; никогда не вводите данные карты
Не затронуты (по словам Trenitalia): данные для входа, пароли, номер карты, срок действия, код безопасности
Что произошло (по уведомлениям Trenitalia)
Всё ниже приведено так, как указано в уведомлениях для клиентов, опубликованных Trenitalia на своём сайте (сообщение о нарушении безопасности персональных данных для затронутых лиц на основании статьи 34 GDPR, Общего регламента ЕС по защите данных). Опубликованы три версии в зависимости от билета:
- билеты, проданные только Trenitalia
- билеты, совместно контролируемые с Trenitalia France
- билеты, совместно контролируемые с Consorzio Unico Campania, организацией, которая отвечает за общие билеты UnicoCampania в регионе Кампания
Дата не раскрыта
Trenitalia обнаружила инцидент в области кибербезопасности, вызванный неустановленными внешними лицами, в результате которого произошёл несанкционированный доступ к некоторым персональным данным, связанным с проездными документами. Компания заявляет, что при обнаружении немедленно остановила аномалию, защитила системы и дополнительно усилила меры контроля.Период анализа
ИТ-подразделения Trenitalia провели углублённый технический анализ, чтобы точно определить, кто мог быть затронут. Компания заявляет, что это заняло время, поскольку неправомерный доступ нужно было восстановить в деталях, и что клиентов она уведомила после завершения работы.26 июня 2026
Согласно уведомлениям по совместно контролируемым билетам, это дата, когда Trenitalia сообщила клиентам о событии.Позже
Trenitalia направила уведомления от своего имени и от имени Trenitalia France, а также от своего имени и от имени Consorzio Unico Campania по совместно контролируемым билетам. Оба уведомления говорят, что это «то же событие», о котором сообщили 26 июня.
- Личность
- Имя пассажира, дата и место рождения; имя покупателя, если он другой
- Контакты
- Адрес электронной почты, номер телефона
- Поездка
- Информация, связанная с билетом (например, маршрут, дата, время, номер билета), и данные, связанные с формированием билета
- Прочее (уведомления Trenitalia и Trenitalia France)
- Код карты лояльности, связанный с билетом, название компании или организации-работодателя, тип предложения или услуги, связанной с билетом, и данные, необходимые для её использования, реквизиты удостоверения личности
- Уведомление UnicoCampania
- Также указаны налоговый код (codice fiscale) и пол; работодатель и реквизиты удостоверения личности не указаны
- Не затронуто
- Данные для доступа к учётной записи, личные учётные данные и платёжная информация (номер карты, срок действия, код безопасности)
- Уведомления властей
- Уведомлены итальянский орган по защите персональных данных (Garante) и CSIRT Italia (национальная группа реагирования на киберинциденты Италии); уголовная жалоба подана в прокуратуру при суде Рима
Как читать список: состав данных различается в зависимости от типа билета и от того, хранились ли эти данные в системе
В уведомлениях сказано, что категории применяются только там, где такие данные хранились в системах Trenitalia в связи с билетом. Например, работодатель относится к служебным билетам, а код карты лояльности — только к билетам с привязанной картой.
Из трёх опубликованных уведомлений только в уведомлении UnicoCampania указан налоговый код. Некоторые СМИ объединяют категории или называют даты инцидента; эта статья использует только то, что сказано в уведомлениях Trenitalia.
Утёкший маршрут делает фальшивые сообщения убедительными и показывает, когда человека нет дома
Утечки имён и адресов электронной почты распространены. Отличие здесь — маршрут поездки. Зная, когда, откуда, куда и на каком поезде кто-то ехал, можно сделать две вещи.
Что позволяет список без маршрутов
- «Возникла проблема с вашей учётной записью»
- «Срок действия ваших баллов скоро истекает»
- Легко отмахнуться, если ничто не совпадает с вашими действиями
Что позволяет список с маршрутами
- «Ваш поезд в Неаполь 3-го числа опоздал: получите возврат»
- «Билет № X нужно изменить для подтверждения»
- Те, кто действительно ехал на этом поезде, с наибольшей вероятностью поверят такому сообщению
Во-первых, мошенничества с возвратом становятся куда убедительнее. В июле 2026 года CERT-AGID (CERT цифрового агентства Италии) сообщил о SMS-кампании, которая использовала имя Trenitalia и фальшивый возврат за опоздавший поезд, чтобы украсть номера телефонов и данные кредитных карт.
Использовала ли эта кампания данные из данной утечки, не опубликовано. Но сообщение с верным маршрутом и датой вызывает гораздо меньше сомнений.
Во-вторых, это мнение самого сайта: маршрут поездки также является записью о том, когда человека нет дома. Знание планов поездки может использоваться в сообщениях вроде «о вашем доме, пока вы будете в отъезде на следующей неделе», в звонках, где представляются сотрудниками, действующими по поручению человека в командировке, или в сообщениях родственникам, пока путешественник за границей.
Защита проста: никогда не считайте знание чьих-либо планов поездки доказательством личности или добросовестности. Также полезно предупредить семью: «Даже если в сообщении знают мой маршрут, не отправляйте деньги и не передавайте данные, пока не свяжетесь со мной напрямую».
Мнение этого сайта: зная, как устроен настоящий возврат, вы не будете мучиться с подделками
Советы по распознаванию фальшивых SMS (ошибки в ссылках, странные формулировки) перестают работать по мере того, как мошенники совершенствуются. Надёжнее заранее знать настоящую процедуру.
В случае Trenitalia компенсация за задержку запрашивается вами через сайт, приложение или кассы, либо, для региональных цифровых билетов, выплачивается автоматически на карту, которой вы платили. «Откройте эту ссылку и введите номер карты, чтобы получить возврат» не подходит ни под один из этих вариантов, поэтому можно считать это подделкой, не читая дальше.
Есть урок и для организаций, которые рассылают уведомления об утечках: не включайте в уведомление ссылки для входа и прямо заявляйте, что возвраты и компенсации никогда не потребуют данных карты. Это даёт клиентам простое правило. В уведомлении Trenitalia сказано, что компания никогда не запрашивает пароли или платёжные данные, и это шаг в том же направлении. Похожая идея прозвучала и во французском случае, когда утёк список заявителей на документы (утечка France Titres (ANTS)).
Фальшивые сообщения, использующие данные о бронированиях поездок, также были проблемой в сфере размещения (утечка данных Booking.com). Для другого европейского случая в этом году, когда авторизованные пользователи реестра британских компаний могли видеть непубличные данные других компаний, см. уязвимость WebFiling в Companies House.
Источники (открытые данные)
Факты в этой статье взяты из следующих открытых источников. Предположения из медиа и нераскрытые цифры, даты или причины не используются.
- Trenitalia, «Comunicazione di violazione dei dati personali ai sensi dell'art. 34 del Regolamento UE 679/2016» (билеты, проданные только Trenitalia) — trenitalia.com
- Trenitalia и Trenitalia France, то же уведомление (указано, что это событие, о котором сообщили 26 июня) — trenitalia.com
- Trenitalia и Consorzio Unico Campania, то же уведомление (указаны налоговый код и пол) — trenitalia.com
- Trenitalia, «Indennità per ritardo del treno» (компенсация за задержку поезда и как её запросить) — trenitalia.com
- CERT-AGID, «Sintesi riepilogativa delle campagne malevole nella settimana del 4 – 10 luglio» (10 июля 2026) — cert-agid.gov.it
- Garante per la protezione dei dati personali, «Smishing: i suggerimenti del Garante» — garanteprivacy.it
- Polizia Postale, «Segnala online» — commissariatodips.it
- Council of Anti-Phishing Japan, сообщения о фишинге (на японском языке) — antiphishing.jp
История обновлений
2026-09-30: первая версия, основанная на трёх уведомлениях для клиентов, опубликованных Trenitalia, её руководстве по компенсации за задержку, еженедельной сводке CERT-AGID (10 июля) и рекомендациях Garante и итальянской Полицейской службы почты. Число затронутых людей, время возникновения или обнаружения инцидента и техническая причина официально не опубликованы; статья будет обновлена, если эти данные появятся.
Читайте дальше
- Подготовка к фальшивым сообщениям после утечки списка: Утечка France Titres (ANTS) (Франция)
- Фальшивые сообщения с использованием данных о бронировании поездок: Утечка данных Booking.com
- Другой европейский случай в этом году: Уязвимость WebFiling в Companies House (Великобритания)
- Распознавание фальшивых сообщений: Что такое фишинг? / Защита устройств в поездках: Защита ноутбука, который вы носите с собой
- Другие инциденты 2026 года: список утечек и кибератак (Япония и весь мир)