Renfe confirma la exposición de datos de viajeros tras un ciberataque que empezó en servidores de Adif

Qué ha pasado

El 25 de septiembre, Renfe comunicó que investigaba un incidente de ciberseguridad con origen en «servidores de Adif previamente comprometidos que mantenían interconexión con sistemas de la compañía». En ese primer comunicado hablaba de acceso a información limitada de usuarios, principalmente nombres y correos electrónicos, y descartaba datos bancarios y DNI.

Días después, Renfe publicó en su web un aviso a las personas afectadas que amplía ese balance. Según el aviso, el 24 de septiembre se produjo «un acceso no autorizado a determinados sistemas corporativos», vinculados a la venta de billetes. Los datos que pueden haber quedado expuestos incluyen información identificativa y de contacto, billetes comprados y viajes realizados, números de DNI o NIE y «credenciales de autenticación (contraseñas), protegidas mediante técnicas criptográficas».

Adif detectó «actividad inusual» la noche del jueves 24, presentó una denuncia y aseguró que la circulación de trenes no se vio afectada, según Europa Press.

Qué sabemos

• Qué datos, según Renfe: identificativos y de contacto, billetes y viajes, DNI o NIE, y contraseñas cifradas. Renfe advierte de que, si una contraseña era débil, podría descifrarse por fuerza bruta.
• Qué no: datos bancarios. El presidente de Renfe, Álvaro Fernández Heredia, explicó el 28 de septiembre que «la parte de datos bancarios y tarjetas de crédito no se almacenan en nuestro sistema», según Europa Press.
• Uso de los datos: «hasta la fecha no tenemos constancia de que sus datos hayan sido utilizados de forma fraudulenta», dice el aviso de Renfe.
• Autoridades: Renfe ha informado al Centro Criptológico Nacional, a la Guardia Civil y a otros organismos de ciberseguridad, y ha notificado la brecha a la Agencia Española de Protección de Datos.

Qué no sabemos todavía

• Cuántas personas están afectadas. Renfe no ha dado cifras. El Mundo habla de unos 500 GB y más de 150 millones de registros, incluidos unos 20 millones con nombre y DNI y más de 100 millones de billetes nominativos, según recoge Hipertextual. Renfe no ha confirmado esas cifras.
• Si los atacantes usaron inteligencia artificial, como publican varios medios. Ni Renfe ni Adif lo han confirmado.
• Qué pasa con las contraseñas. Los mensajes no coinciden: el presidente de Renfe dijo el 28 de septiembre que no se habían visto comprometidas, según Europa Press, mientras que el aviso a los afectados sí incluye las credenciales, cifradas, y pide cambiarlas. Lo prudente es cambiarlas.
• Quién está detrás y si los datos se han publicado.

Por qué importa

Lo relevante es el tipo de datos: no solo nombres y correos, también DNI e historial de viajes. Con eso, un estafador puede escribir un mensaje que mencione un viaje real, en una fecha real, a nombre de quien lo hizo. Ese detalle hace creíble una suplantación.

Y el origen confirma un patrón: el acceso llegó a Renfe a través de servidores de otra organización conectados a su red.

Qué significa para una pyme

Aunque tu empresa no tenga nada que ver con el tren, le afecta por dos vías:

• Tu equipo es cliente de Renfe. Si alguien repite en Renfe la contraseña del correo de la empresa u otras herramientas, un fallo ajeno se convierte en una puerta a tu empresa.
• Las estafas serán más creíbles. Un correo que diga «hay un problema con tu billete Madrid–Sevilla del día 12» y acierte en el viaje convence mucho más que uno genérico.

La lección de fondo sirve para cualquiera: los sistemas conectados con proveedores y socios necesitan la misma vigilancia que los propios.

Qué debería hacer tu empresa esta semana

1. Cambia la contraseña de Renfe en todas las cuentas que se usen para comprar billetes de trabajo. Si esa contraseña se repite en otro servicio, cámbiala también allí, empezando por el correo.
2. Activa la verificación en dos pasos en el correo y las herramientas críticas, para que una contraseña filtrada no baste para entrar (guía sobre MFA).
3. Avisa al equipo de que pueden llegar correos, SMS o llamadas que se hagan pasar por Renfe (reembolsos, compensaciones, problemas con un billete). La regla: nunca dar contraseñas, códigos ni datos bancarios, y comprobar siempre en la web o la app oficial.
4. Si alguien recibe un mensaje sospechoso, que no responda ni haga clic y que lo comunique. La línea 017 de INCIBE atiende gratis dudas de ciberseguridad.
5. Revisa qué proveedores tienen conexión con vuestros sistemas y qué pueden ver. Si no hay una lista, haz una.