- Adif detectó actividad inusual el 24 de septiembre; Renfe confirmó que los atacantes llegaron a datos de clientes a través de servidores de Adif.
- Las versiones difieren: Renfe habló de datos limitados, mientras que análisis citados por la OCU apuntan a unos 500 GB.
- La lección para cualquier empresa es la cadena de confianza: un socio o proveedor interconectado puede ser la puerta de entrada.
La noche del jueves 24 de septiembre de 2026, Adif detectó actividad inusual en sus sistemas. El viernes 25, Renfe explicó que los atacantes habían utilizado servidores de Adif previamente comprometidos, interconectados con los suyos, para acceder a información de sus clientes. Adif suspendió por precaución sus páginas web, que restableció el sábado 26, y aseguró que los sistemas vinculados a la operación ferroviaria no se vieron afectados y que los trenes siguieron circulando.
Qué datos se vieron comprometidos es la parte menos clara. Renfe habló de información «limitada» sobre usuarios, principalmente nombres y direcciones de correo, y de ausencia de indicios de acceso a datos bancarios, medios de pago o DNI. Un análisis forense citado el 27 de septiembre por la OCU apunta, en cambio, a unos 500 GB y más de 150 millones de registros, con datos como DNI, teléfono, fecha de nacimiento, dirección e historial de billetes. Son cifras de medios y organizaciones, no un inventario oficial.
Qué se sabe y qué no
Ni Adif ni Renfe han atribuido el ataque, y no hay evidencia concluyente de que los datos se hayan publicado. Varios medios informaron de que se habría empleado inteligencia artificial para automatizar la búsqueda de vulnerabilidades, pero esa afirmación no está confirmada y las investigaciones deben determinarlo. Adif presentó una denuncia y notificó el incidente al Centro Criptológico Nacional; Renfe aisló los entornos afectados y contrató a especialistas independientes.
Conviene mantener la prudencia con cada dato nuevo. En un incidente así, las primeras cifras suelen corregirse al alza o a la baja a medida que avanza el análisis, de modo que la información oficial será la única fiable cuando llegue. Mientras tanto, los usuarios afectados deberían cambiar su contraseña de Renfe, como pidió la compañía, y desconfiar de mensajes inesperados que mencionen billetes, reembolsos o verificaciones de cuenta.
Obligaciones de quien trata datos
Cuando una empresa trata datos personales, el Reglamento general de protección de datos exige notificar a la autoridad de control una violación de seguridad en un plazo de 72 horas desde que se tiene constancia, salvo que sea improbable que suponga un riesgo, y comunicarla sin dilación a los afectados cuando el riesgo sea alto. Tras una brecha también hay que documentarla, analizar su causa y adoptar medidas para que no se repita. La Agencia Española de Protección de Datos puede sancionar la falta de medidas adecuadas o de notificación.
La obligación no recae solo en los grandes operadores. Cualquier empresa con una base de clientes, empleados o proveedores es responsable del tratamiento, y su responsabilidad se extiende a los encargados que contrate. Conviene revisar los contratos con los proveedores que acceden a sus sistemas y comprobar que incluyen obligaciones de seguridad y de aviso rápido ante cualquier incidente.
Interconexiones y confianza
El caso ilustra el llamado ataque por relación de confianza: si un socio conectado se ve comprometido, el atacante puede llegar a la entidad objetivo sin vulnerar su propio perímetro. Adif y Renfe intercambian datos a diario mediante cuentas de servicio, interfaces y conexiones entre sistemas. En el Esquema Nacional de Seguridad, cada interconexión debe autorizarse y documentarse previamente.
Para una empresa, los pasos prácticos son inventariar sus interconexiones con terceros, limitar los permisos de las cuentas de servicio, segmentar redes, revisar quién puede acceder a los datos de clientes y probar su plan de respuesta a incidentes. También conviene advertir a la plantilla de que los datos de viaje y de contacto filtrados facilitan el phishing, incluso contra los correos corporativos de quienes viajan por trabajo. Consulte con su asesor y con su responsable de seguridad cómo adaptar estos controles.
Una brecha en el socio es también una brecha propia: la seguridad se mide por el eslabón más débil.
Este artículo es información general. No es asesoramiento jurídico, fiscal ni de inversión, y no tiene en cuenta las circunstancias particulares de nadie.
