Renfek baieztatu du bidaiarien datuak agerian geratu direla Adifen zerbitzarietan hasitako zibererasoaren ondorioz

Zer gertatu da

Irailaren 25ean, Renfek jakinarazi zuen zibersegurtasun-gorabehera bat ikertzen ari zela, «konpainiaren sistemekin interkonexioa zuten Adifen zerbitzari, aurretik arriskuan jarritakoetan» jatorria zuena. Lehen komunikatu horretan erabiltzaileen informazio mugatura sartu zirela esan zuen, batez ere izenak eta helbide elektronikoak, eta banku-datuak eta NANa baztertu zituen.

Egun batzuk geroago, Renfek kaltetutako pertsonentzako abisu bat argitaratu zuen bere webgunean, balantze hori zabaltzen duena. Abisuaren arabera, irailaren 24an «baimenik gabeko sarbide bat egon zen enpresaren zenbait sistematan», txartelen salmentari lotuak. Agerian gera zitezkeen datuen artean daude identifikazio- eta harreman-informazioa, erositako txartelak eta egindako bidaiak, NAN edo AIZ zenbakiak eta «autentifikazio-kredentzialak (pasahitzak), teknika kriptografikoen bidez babestuak».

Adifek «jarduera ezohikoa» detektatu zuen ostegun 24ko gauean, salaketa aurkeztu zuen eta trenen zirkulazioak eraginik izan ez zuela ziurtatu zuen, Europa Pressen arabera.

Zer dakigu

• Zer datu, Renferen arabera: identifikazio- eta harreman-datuak, txartelak eta bidaiak, NANa edo AIZ, eta pasahitz zifratuak. Renfek ohartarazten du pasahitz bat ahula bazen indar gordinez deszifra zitekeela.
• Zer ez: banku-datuak. Renferen presidenteak, Álvaro Fernández Heredia-k, irailaren 28an azaldu zuen «banku-datuak eta kreditu-txartelak ez direla gure sisteman gordetzen», Europa Pressen arabera.
• Datuen erabilera: «orain arte ez dakigu zure datuak iruzurrez erabili direnik», dio Renferen abisuak.
• Agintariak: Renfek Zentro Kriptologiko Nazionalari, Guardia Zibilari eta zibersegurtasuneko beste erakunde batzuei eman die horren berri, eta Datuak Babesteko Espainiako Agentziari jakinarazi dio arrakala.

Zer ez dakigu oraindik

• Zenbat pertsonari eragin dien. Renfek ez du zifrarik eman. El Mundok 500 GB inguru eta 150 milioi erregistro baino gehiago aipatzen ditu, horien artean 20 milioi inguru izen eta NANarekin eta 100 milioi izendun txartel baino gehiago, Hipertextualek jasotzen duenez. Renfek ez ditu zifra horiek baieztatu.
• Erasotzaileek adimen artifiziala erabili zuten ala ez, hainbat hedabidek argitaratu duten bezala. Ez Renfek ez Adifek ez dute baieztatu.
• Zer gertatzen den pasahitzekin. Mezuak ez datoz bat: Renferen presidenteak irailaren 28an esan zuen ez zirela arriskuan egon, Europa Pressen arabera, eta kaltetuei egindako abisuak, berriz, kredentzialak barne hartzen ditu, zifratuta, eta aldatzeko eskatzen du. Zuhurrena aldatzea da.
• Nor dagoen atzean eta datuak argitaratu diren ala ez.

Zergatik da garrantzitsua

Garrantzitsuena datu mota da: ez dira izenak eta postak soilik, baita NANa eta bidaien historia ere. Horrekin, iruzurgile batek benetako bidaia bat aipatzen duen mezu bat idatz dezake, benetako data batean, bidaia egin zuenaren izenean. Xehetasun horrek egiten du sinesgarri suplantazio bat.

Eta jatorriak eredu bat berresten du: sarbidea Renfera iritsi zen beste erakunde baten zerbitzarien bidez, bere sarera konektatuta zeudenak.

Zer esan nahi du ETE batentzat

Zure enpresak trenarekin zerikusirik ez badu ere, bi bidetatik eragiten dio:

• Zure taldea Renferen bezeroa da. Norbaitek enpresako postaren edo beste tresna batzuen pasahitza errepikatzen badu Renfen, beste baten hutsegitea zure enpresarako ate bihurtzen da.
• Iruzurrak sinesgarriagoak izango dira. «Arazo bat dago zure Madril–Sevilla txartelarekin, 12an» dioen eta bidaia asmatzen duen posta batek askoz gehiago konbentzitzen du orokor batek baino.

Funtsezko ikasgaia edonorentzat da baliagarria: hornitzaile eta bazkideekin konektatutako sistemek norberaren sistemek bezainbesteko zaintza behar dute.

Zer egin beharko luke zure enpresak aste honetan

1. Aldatu Renfeko pasahitza lan-txartelak erosteko erabiltzen diren kontu guztietan. Pasahitz hori beste zerbitzu batean errepikatzen bada, aldatu han ere, postatik hasita.
2. Aktibatu bi urratseko egiaztapena postan eta tresna kritikoetan, filtratutako pasahitz bat nahikoa izan ez dadin sartzeko (MFAri buruzko gida, gaztelaniaz).
3. Abisatu taldeari Renferen itxura hartzen duten postak, SMSak edo deiak irits daitezkeela (itzulketak, konpentsazioak, txartel baten arazoak). Araua: inoiz ez eman pasahitzik, koderik edo banku-daturik, eta egiaztatu beti webgune edo aplikazio ofizialean.
4. Norbaitek mezu susmagarri bat jasotzen badu, ez dezala erantzun ez klik egin, eta jakinaraz dezala. INCIBEren 017 telefonoak doan erantzuten ditu zibersegurtasun-zalantzak.
5. Berrikusi zer hornitzailek duten konexioa zuen sistemekin eta zer ikus dezaketen. Zerrendarik ez badago, egin bat.