Ciberataque a Adif y Renfe: unos 500 GB de datos de viajeros
Los atacantes entraron por la web de Adif, saltaron a su nube y de ahí a sistemas de Renfe; según la investigación, usaron IA para encontrar el fallo. Renfe habla de nombres y correos de clientes, sin datos de pago, aunque la prensa cifra lo extraído en unos 500 GB. La circulación de trenes no se vio afectada, y el riesgo inmediato son correos y SMS fraudulentos en nombre de Renfe.
500 GB
extraídos, según la investigación
Qué ha pasado
El incidente se detectó entre el 24 y el 25 de septiembre. Según la reconstrucción publicada, los atacantes encontraron un fallo en la web de Adif, pasaron a su nube y desde ahí llegaron a sistemas de Renfe conectados con ella. Adif comunicó el incidente al Centro Criptológico Nacional y al día siguiente sus webs volvían a funcionar.
Las dos empresas han dado versiones prudentes. Renfe habla de un acceso a un volumen «limitado» de datos de clientes, principalmente nombres y correos electrónicos, y descarta que se hayan visto afectados datos bancarios o de pago. Adif insiste en que ningún sistema de la explotación ferroviaria se vio comprometido. La prensa, citando el análisis forense, eleva lo extraído a unos 500 GB.
El papel de la inteligencia artificial
Lo que ha convertido el caso en noticia es el método: según la investigación, los atacantes usaron inteligencia artificial para buscar vulnerabilidades hasta dar con la que les abrió la puerta. Una IA no necesita inventar fallos nuevos; le basta con encontrar antes que nadie los que ya están expuestos.
Qué significa para tu empresa
El ataque no entró por la red ferroviaria, sino por una web pública conectada con sistemas internos. Es el patrón de casi todos los incidentes recientes: la superficie expuesta en internet —webs, subdominios olvidados, paneles de administración— es la puerta, y lo que sale por ella son datos de clientes.
Para los viajeros, el riesgo inmediato es el phishing: correos y SMS que se hacen pasar por Renfe y usan datos reales para parecer creíbles. Para cualquier empresa, la lección es saber qué tiene expuesto y si alguna de sus credenciales ya circula, antes de que lo descubra una herramienta automatizada ajena.