Un ciberataque masivo a Renfe pone en manos de los 'hackers' millones de datos sensibles de los usuarios

El pasado viernes, Renfe reconoció que había sido víctima de un ciberataque masivo a través de los sistemas informáticos de Adif (Administrador de Infraestructuras Ferroviarias). Los hackers accedieron a 500 GB de información y más de 150 millones de registros.

Si bien en ese primer comunicado remarcó que solo se habían filtrado nombres y direcciones de correo electrónico y que no encontraba "evidencias de acceso a datos bancarios, financieros, medios de pago, DNIs u otra información especialmente sensible", dos días después —basándose ya en un análisis forense del ciberataque— ha admitido que la información sustraída compromete datos personales de usuarios, que podrían utilizarse en su perjuicio.

Así, los hackers habrían accedido a 40 millones de registros personales: la mitad solo consiste en nombres y DNI de usuarios; otros 20 millones de registros incluyen un mayor número de datos personales: nombre y apellidos, sexo, teléfono, correo electrónico, DNI, fecha de nacimiento y dirección postal; mientras que un tercer bloque de información sustraída atañe a datos de viajes. Habría 100 millones de registros nominativos vinculados a billetes, lo que permite vincular a un pasajero con información sobre un determinado trayecto y su fecha.

Aunque sigue sin haber constancia de acceso directo a tarjetas, cuentas bancarias u otros medios de pago, entre la información potencialmente afectada podrían encontrarse, además de números de DNI, NIE u otros documentos identificativos, credenciales de autenticación (contraseñas), protegidas mediante técnicas criptográficas de seguridad que impiden su lectura directa.

Así, los usuarios del servicio sí pueden ser víctimas de phishing (suplantación de la identidad de la compañía) a través de correos electrónicos, SMS, WhatsApp, llamadas o mensajes que pregunten por algún tipo de información personal o pago. Los hackers también pueden intentar obtener credenciales de acceso, datos bancarios u otra información personal mediante técnicas de ingeniería social. Y existe el riesgo del descifrado de contraseñas, especialmente en aquellas especialmente débiles. 

Recomendaciones a los usuarios

La compañía ferroviaria ofrece una serie de recomendaciones a los usuarios para evitar que la sustracción masiva de datos pueda acarrearles algún perjuicio. Las medidas a adoptar son las siguientes:

• No facilitar contraseñas, códigos de verificación ni datos bancarios a través de correos electrónicos, mensajes o llamadas.
• Verificar cuidadosamente el remitente y la autenticidad de cualquier comunicación que afirme proceder de Renfe. Desconfiar especialmente de comunicaciones que incluyan referencias a viajes realizados, reservas, incidencias o supuestas compensaciones económicas.
• Cambiar la contraseña a la mayor brevedad posible, si se dispone de una cuenta de usuario registrado. Si se utiliza la misma contraseña en otros servicios, es recomendable modificarla también.
• Mantenerse atento a cualquier actividad inusual relacionada con sus cuentas o con sus datos personales y comunicar inmediatamente cualquier incidencia que detecte a la entidad correspondiente.