- Adif va detectar activitat inusual el 24 de setembre; Renfe va confirmar que els atacants van arribar a dades de clients a través de servidors d’Adif.
- Les versions difereixen: Renfe va parlar de dades limitades, mentre que anàlisis citades per l’OCU apunten a uns 500 GB.
- La lliçó per a qualsevol empresa és la cadena de confiança: un soci o proveïdor interconnectat pot ser la porta d’entrada.
La nit del dijous 24 de setembre del 2026, Adif va detectar activitat inusual als seus sistemes. El divendres 25, Renfe va explicar que els atacants havien fet servir servidors d’Adif prèviament compromesos, interconnectats amb els seus, per accedir a informació dels seus clients. Adif va suspendre per precaució les seves pàgines web, que va restablir el dissabte 26, i va assegurar que els sistemes vinculats a l’operació ferroviària no es van veure afectats i que els trens van seguir circulant.
Quines dades es van veure compromeses és la part menys clara. Renfe va parlar d’informació «limitada» sobre usuaris, principalment noms i adreces de correu, i d’absència d’indicis d’accés a dades bancàries, mitjans de pagament o DNI. Una anàlisi forense citada el 27 de setembre per l’OCU apunta, en canvi, a uns 500 GB i més de 150 milions de registres, amb dades com DNI, telèfon, data de naixement, adreça i historial de bitllets. Són xifres de mitjans i organitzacions, no un inventari oficial.
Què se sap i què no
Ni Adif ni Renfe no han atribuït l’atac, i no hi ha evidència concloent que les dades s’hagin publicat. Diversos mitjans van informar que s’hauria emprat intel·ligència artificial per automatitzar la cerca de vulnerabilitats, però aquesta afirmació no està confirmada i les investigacions ho han de determinar. Adif va presentar una denúncia i va notificar l’incident al Centre Criptològic Nacional; Renfe va aïllar els entorns afectats i va contractar especialistes independents.
Convé mantenir la prudència amb cada dada nova. En un incident així, les primeres xifres solen corregir-se a l’alça o a la baixa a mesura que avança l’anàlisi, de manera que la informació oficial serà l’única fiable quan arribi. Mentrestant, els usuaris afectats haurien de canviar la contrasenya de Renfe, com va demanar la companyia, i desconfiar de missatges inesperats que esmentin bitllets, reemborsaments o verificacions de compte.
Obligacions de qui tracta dades
Quan una empresa tracta dades personals, el Reglament general de protecció de dades exigeix notificar a l’autoritat de control una violació de seguretat en un termini de 72 hores des que se’n té constància, tret que sigui improbable que suposi un risc, i comunicar-la sense dilació als afectats quan el risc sigui alt. Després d’una bretxa també cal documentar-la, analitzar-ne la causa i adoptar mesures perquè no es repeteixi. L’Agència Espanyola de Protecció de Dades pot sancionar la manca de mesures adequades o de notificació.
L’obligació no recau només en els grans operadors. Qualsevol empresa amb una base de clients, empleats o proveïdors és responsable del tractament, i la seva responsabilitat s’estén als encarregats que contracti. Convé revisar els contractes amb els proveïdors que accedeixen als seus sistemes i comprovar que inclouen obligacions de seguretat i d’avís ràpid davant de qualsevol incident.
Interconnexions i confiança
El cas il·lustra l’anomenat atac per relació de confiança: si un soci connectat es veu compromès, l’atacant pot arribar a l’entitat objectiu sense vulnerar el seu propi perímetre. Adif i Renfe intercanvien dades cada dia mitjançant comptes de servei, interfícies i connexions entre sistemes. A l’Esquema Nacional de Seguretat, cada interconnexió s’ha d’autoritzar i documentar prèviament.
Per a una empresa, els passos pràctics són inventariar les interconnexions amb tercers, limitar els permisos dels comptes de servei, segmentar xarxes, revisar qui pot accedir a les dades de clients i provar el pla de resposta a incidents. També convé advertir la plantilla que les dades de viatge i de contacte filtrades faciliten el phishing, fins i tot contra els correus corporatius de qui viatja per feina. Consulti amb el seu assessor i amb el seu responsable de seguretat com adaptar aquests controls.
Una bretxa al soci és també una bretxa pròpia: la seguretat es mesura per la baula més feble.
Aquest article és informació general. No és assessorament jurídic, fiscal ni d’inversió, i no té en compte les circumstàncies particulars de ningú.
