Renfe ha difundido un nuevo comunicado que actualiza y agrava el balance del incidente de ciberseguridad detectado a raíz del ataque sufrido por sistemas externos de Adif. Tras las primeras informaciones, que limitaban lo sustraído a nombres y correos electrónicos, la operadora reconoce ahora que la investigación forense apunta a un alcance mayor, con posible exposición de números de DNI, NIE y contraseñas cifradas.
Origen y cronología del incidente
Según detalla la propia compañía, el acceso no autorizado a determinados sistemas corporativos se habría producido el 24 de septiembre de 2026, jornada en la que la intrusión alcanzó su mayor intensidad, de acuerdo con el análisis forense conocido posteriormente. El origen técnico del ataque se sitúa en servidores de Adif previamente comprometidos que mantenían interconexión con las redes de Renfe, un vector que ya había sido confirmado en el comunicado inicial emitido el 25 de septiembre. La detección se realizó mediante los mecanismos internos de monitorización de actividad anómala de la propia operadora, lo que permitió activar de inmediato los protocolos de respuesta y contención previstos.
Fuentes periodísticas que han accedido al informe forense elevan la magnitud del robo a unos 500 GB de información, con más de 150 millones de registros de usuarios potencialmente implicados, aunque Renfe no ha confirmado oficialmente esas cifras. La compañía insiste en que la circulación ferroviaria y la venta de billetes no se han visto afectadas en ningún momento por el incidente.
Datos que podrían haberse comprometido
El comunicado actualizado amplía notablemente la relación de información en riesgo respecto a las primeras notas de prensa. Además de datos identificativos y de contacto, Renfe admite ahora que podrían haberse visto afectados números de DNI, NIE u otros documentos equivalentes, información asociada a billetes adquiridos y viajes realizados, y credenciales de autenticación protegidas mediante técnicas criptográficas. Este extremo contrasta con la versión inicial, en la que la operadora descartaba expresamente cualquier acceso a DNI o datos especialmente sensibles.
Riesgos y recomendaciones a los usuarios
Renfe advierte de que, aunque no consta uso fraudulento de los datos hasta la fecha, existe riesgo de campañas de phishing, suplantación de identidad y ataques de fuerza bruta sobre contraseñas débiles reutilizadas en otros servicios. La compañía recomienda desconfiar de comunicaciones no solicitadas que mencionen viajes, reservas o compensaciones, cambiar la contraseña de la cuenta de usuario registrado y no facilitar códigos de verificación ni datos bancarios por teléfono, correo o SMS.
Medidas adoptadas por el operador
Entre las actuaciones realizadas, Renfe cita la contención y monitorización reforzada de los sistemas afectados, una investigación forense en curso, la solicitud de preservación de evidencias a proveedores externos y la notificación del incidente al Centro Criptológico Nacional, la Oficina de Coordinación Cibernética, el CNPIC, la Guardia Civil y la Agencia Española de Protección de Datos, en cumplimiento del reglamento europeo de protección de datos.