Renfe confirma l'exposició de dades de viatgers després d'un ciberatac que va començar en servidors d'Adif

Què ha passat

El 25 de setembre, Renfe va comunicar que investigava un incident de ciberseguretat amb origen en «servidors d'Adif prèviament compromesos que mantenien interconnexió amb sistemes de la companyia». En aquest primer comunicat parlava d'accés a informació limitada d'usuaris, principalment noms i correus electrònics, i descartava dades bancàries i DNI.

Dies després, Renfe va publicar al seu web un avís a les persones afectades que amplia aquest balanç. Segons l'avís, el 24 de setembre es va produir «un accés no autoritzat a determinats sistemes corporatius», vinculats a la venda de bitllets. Les dades que poden haver quedat exposades inclouen informació identificativa i de contacte, bitllets comprats i viatges fets, números de DNI o NIE i «credencials d'autenticació (contrasenyes), protegides mitjançant tècniques criptogràfiques».

Adif va detectar «activitat inusual» la nit del dijous 24, va presentar una denúncia i va assegurar que la circulació de trens no es va veure afectada, segons Europa Press.

Què sabem

• Quines dades, segons Renfe: identificatives i de contacte, bitllets i viatges, DNI o NIE, i contrasenyes xifrades. Renfe adverteix que, si una contrasenya era feble, es podria desxifrar per força bruta.
• Què no: dades bancàries. El president de Renfe, Álvaro Fernández Heredia, va explicar el 28 de setembre que «la part de dades bancàries i targetes de crèdit no s'emmagatzemen al nostre sistema», segons Europa Press.
• Ús de les dades: «fins a la data no tenim constància que les seves dades hagin estat utilitzades de manera fraudulenta», diu l'avís de Renfe.
• Autoritats: Renfe ha informat el Centre Criptològic Nacional, la Guàrdia Civil i altres organismes de ciberseguretat, i ha notificat la bretxa a l'Agència Espanyola de Protecció de Dades.

Què no sabem encara

• Quantes persones estan afectades. Renfe no ha donat xifres. El Mundo parla d'uns 500 GB i més de 150 milions de registres, inclosos uns 20 milions amb nom i DNI i més de 100 milions de bitllets nominatius, segons recull Hipertextual. Renfe no ha confirmat aquestes xifres.
• Si els atacants van fer servir intel·ligència artificial, com publiquen diversos mitjans. Ni Renfe ni Adif ho han confirmat.
• Què passa amb les contrasenyes. Els missatges no coincideixen: el president de Renfe va dir el 28 de setembre que no s'havien vist compromeses, segons Europa Press, mentre que l'avís als afectats sí que inclou les credencials, xifrades, i demana canviar-les. El prudent és canviar-les.
• Qui hi ha darrere i si les dades s'han publicat.

Per què importa

El rellevant és el tipus de dades: no només noms i correus, també DNI i historial de viatges. Amb això, un estafador pot escriure un missatge que esmenti un viatge real, en una data real, a nom de qui el va fer. Aquest detall fa creïble una suplantació.

I l'origen confirma un patró: l'accés va arribar a Renfe a través de servidors d'una altra organització connectats a la seva xarxa.

Què significa per a una pime

Encara que la teva empresa no tingui res a veure amb el tren, l'afecta per dues vies:

• El teu equip és client de Renfe. Si algú repeteix a Renfe la contrasenya del correu de l'empresa o d'altres eines, una fallada aliena es converteix en una porta a la teva empresa.
• Les estafes seran més creïbles. Un correu que digui «hi ha un problema amb el teu bitllet Madrid–Sevilla del dia 12» i encerti el viatge convenç molt més que un de genèric.

La lliçó de fons serveix per a tothom: els sistemes connectats amb proveïdors i socis necessiten la mateixa vigilància que els propis.

Què hauria de fer la teva empresa aquesta setmana

1. Canvia la contrasenya de Renfe a tots els comptes que es facin servir per comprar bitllets de feina. Si aquesta contrasenya es repeteix en un altre servei, canvia-la també allà, començant pel correu.
2. Activa la verificació en dos passos al correu i a les eines crítiques, perquè no n'hi hagi prou amb una contrasenya filtrada per entrar (guia sobre MFA, en castellà).
3. Avisa l'equip que poden arribar correus, SMS o trucades que es facin passar per Renfe (reemborsaments, compensacions, problemes amb un bitllet). La regla: no donar mai contrasenyes, codis ni dades bancàries, i comprovar sempre al web o a l'app oficial.
4. Si algú rep un missatge sospitós, que no respongui ni faci clic i que ho comuniqui. La línia 017 d'INCIBE atén gratuïtament dubtes de ciberseguretat.
5. Revisa quins proveïdors tenen connexió amb els vostres sistemes i què poden veure. Si no hi ha una llista, fes-ne una.