El ciberataque sufrido por Adif y Renfe la pasada semana ha resultado ser de mayor alcance de lo que indicaban las primeras informaciones. Lo que inicialmente se presentó como un incidente que habría permitido acceder principalmente a nombres y correos electrónicos de clientes habría supuesto, según las últimas informaciones publicadas por El Mundo, la sustracción de unos 500 GB de información y tablas que contienen más de 150 millones de registros.
El incidente comenzó en sistemas de Adif previamente comprometidos y posteriormente alcanzó sistemas de Renfe que mantenían interconexión con ellos. Renfe confirmó inicialmente el posible acceso a información de usuarios, mientras que Adif detectó actividad inusual y activó medidas para contenerla.
La investigación continúa abierta y existe una diferencia importante entre la información oficialmente confirmada por las compañías y los nuevos datos atribuidos a fuentes conocedoras del análisis forense. Renfe ha reconocido el acceso a datos de usuarios, pero las cifras de 500 GB y más de 150 millones de registros proceden de informaciones periodísticas sobre la investigación del incidente.
¿Cómo comenzó el ciberataque?
Los indicios técnicos comunicados por Renfe apuntan a que el origen se encontraba en servidores de Adif que habían sido comprometidos previamente y mantenían interconexión con sistemas de la operadora ferroviaria.
Adif detectó actividad inusual en sus sistemas durante la noche del jueves 24 de septiembre y comenzó a trabajar para contenerla y limitar sus efectos. Como consecuencia del incidente, sus páginas web y las de Adif Alta Velocidad permanecieron temporalmente fuera de servicio, aunque posteriormente recuperaron su funcionamiento.
La web de Renfe, por su parte, continuó operativa.
Además, el incidente no llegó de forma aislada. Renfe aseguró que durante las semanas anteriores había sufrido intentos continuados de ataque, que habían sido detectados y bloqueados por sus sistemas de protección.
¿Cuánta información se habría robado?
Las primeras informaciones sobre la investigación situaron el volumen sustraído en aproximadamente 500 GB de datos. Diferentes medios han recogido esa cifra mientras continúa determinándose qué contenía exactamente la información extraída.
La información más reciente aportada por El Mundo eleva considerablemente la dimensión potencial de la brecha: el análisis forense habría localizado tablas con más de 150 millones de registros, divididos en diferentes categorías.
Esto no significa necesariamente que existan 150 millones de personas diferentes afectadas. Una misma persona puede aparecer en varias bases o registros —por ejemplo, como usuario y en diferentes billetes adquiridos—, por lo que el número de registros no equivale al número de víctimas.
Según la información publicada por el diario, habría tres grandes grupos de datos.
El primero estaría compuesto por cerca de 20 millones de registros relacionados con usuarios. Un segundo conjunto, considerado de mayor riesgo, superaría también los 20 millones de registros e incluiría nombre, apellidos, sexo, teléfono, correo electrónico, DNI, fecha de nacimiento y dirección postal.
El tercer bloque sería el más voluminoso: más de 100 millones de registros correspondientes a datos nominativos de billetes de tren, es decir, información relacionada con quién adquirió determinados títulos de transporte.
Estos datos todavía no han sido detallados públicamente por Renfe con ese nivel de alcance.
¿Se han robado datos bancarios?
Hasta ahora, no se han comunicado evidencias de que los atacantes consiguieran información bancaria, financiera o medios de pago.
Este punto es especialmente importante porque la presencia de números de tarjeta u otros datos financieros elevaría todavía más el riesgo directo para los usuarios.
Renfe indicó expresamente en su comunicación inicial que no había identificado evidencias de acceso a esa información.
Tampoco consta por ahora que los datos sustraídos hayan sido publicados de forma masiva en Internet.
¿Se utilizó inteligencia artificial?
Otro de los elementos que rodean el incidente es el supuesto uso de inteligencia artificial durante el ataque.
Las informaciones iniciales describieron el incidente como un ataque sofisticado en el que se habría utilizado IA para facilitar determinadas fases de la intrusión. Algunos medios han informado incluso de que la inteligencia artificial habría desempeñado un papel relevante para abrir el camino a los atacantes.
Sin embargo, por ahora no se ha hecho público un informe técnico completo que permita conocer qué herramienta de IA se utilizó, qué acciones realizó de manera autónoma o hasta qué punto fue determinante para conseguir el acceso.
Por ello, este aspecto debe diferenciarse de los hechos ya reconocidos por Renfe y Adif.
A día de hoy, está confirmado que Adif sufrió una intrusión, que sistemas interconectados de Renfe se vieron afectados, que pudo producirse acceso a información de clientes y que la circulación ferroviaria no resultó comprometida.
