Des de Renfe Viajeros li comuniquem un incident de ciberseguretat que ha afectat determinats sistemes d'informació i que ha pogut comprometre informació personal associada a la utilització dels seus serveis.

Què ha passat?

Renfe Viajeros ha detectat un accés no autoritzat a determinats sistemes corporatius per part d'un tercer. Segons les investigacions realitzades fins ara, aquest accés s'hauria produït el 24 de setembre de 2026. L'incident va ser identificat mitjançant els nostres mecanismes interns de monitoratge i detecció d'activitat anòmala.

Des del moment de la detecció es van activar de manera immediata els procediments de resposta i contenció previstos, limitant l'accés detectat i desplegant mesures addicionals de seguretat.

Les investigacions realitzades fins ara indiquen que el tercer no autoritzat hauria accedit a determinats sistemes relacionats amb els processos de venda de bitllets. Tot i això, la investigació continua en curs per determinar amb precisió l'abast complet de l'incident i verificar si hi pot haver altres categories de dades afectades.

Quines dades es poden haver vist afectades?

Segons la informació disponible en aquest moment, les dades potencialment compromeses podrien incloure dades identificatives i de contacte, així com informació associada a la utilització dels serveis de Renfe, inclosa informació relativa a bitllets adquirits i viatges realitzats. Així mateix, entre la informació potencialment afectada hi podria haver números de DNI, NIE o altres documents identificatius equivalents, així com credencials d'autenticació (contrasenyes), protegides mitjançant tècniques criptogràfiques de seguretat que n'impedeixen la lectura directa.

Quins riscos se'n poden derivar?

Encara que fins ara no tenim constància que les seves dades hagin estat utilitzades de forma fraudulenta com a conseqüència d'aquest incident, hi ha el risc que tercers intentin:

• Fer campanyes de phishing o suplantació d'identitat utilitzant informació personal obtinguda il·lícitament.
• Enviar correus electrònics, missatges SMS o fer trucades fraudulentes aparentant procedir de Renfe o altres entitats legítimes.
• Intentar obtenir credencials d'accés, dades bancàries o una altra informació personal mitjançant tècniques d'enginyeria social.
• Analitzar o inferir informació relativa a desplaçaments, trajectes realitzats o pautes d'utilització dels serveis ferroviaris a partir de la informació associada a bitllets i viatges, podent arribar a generar perfils o patrons de comportament de determinades persones.
• En cas que alguna de les contrasenyes associades a les credencials afectades fos especialment feble, hi ha el risc que pugui ser obtinguda mitjançant tècniques de desxifratge per força bruta, cosa que permetria potencialment accessos no autoritzats a serveis en què es faci servir la mateixa contrasenya.
  

Quines mesures li recomanem adoptar?

Li recomanem que extremi la precaució davant de qualsevol comunicació inesperada que sol·liciti informació personal, credencials d'accés o dades bancàries. En particular:

• No faciliti contrasenyes, codis de verificació ni dades bancàries a través de correus electrònics, missatges o trucades.
• Verifiqui amb cura el remitent i l'autenticitat de qualsevol comunicació que afirmi procedir de Renfe. Desconfiï especialment de comunicacions que incloguin referències a viatges realitzats, reserves, incidències o suposades compensacions econòmiques, encara que aparentin procedir d'entitats legítimes. Davant de qualsevol sol·licitud inesperada d'informació personal o econòmica, utilitzi canals oficials per verificar-ne l'autenticitat abans de facilitar informació o fer cap actuació.
• Si disposa d'un compte d'usuari registrat, li recomanem que, per a més seguretat, canviï la contrasenya tan aviat com sigui possible. Si fa servir la mateixa contrasenya en altres serveis, li recomanem que la modifiqui també en aquests serveis.
• Estigui atent a qualsevol activitat inusual relacionada amb els seus comptes o amb les seves dades personals i comuniqui immediatament qualsevol incidència que detecti a l'entitat corresponent.

Pot ampliar els consells i les recomanacions sobre ciberseguretat a la publicació de l'INCIBE següent.

Quines mesures ha adoptat Renfe?

Des de la detecció de l'incident s'han adoptat, entre d'altres, les mesures següents:

• Activació immediata dels protocols interns de resposta davant d'incidents;

• Contenció i monitoratge reforçat dels sistemes afectats;

• Investigació forense per determinar l'abast i l'origen de l'incident;

• Sol·licitud de preservació i lliurament d'evidències als proveïdors i als repositoris externs implicats;

• Comunicació de l'incident a les autoritats competents en matèria de ciberseguretat (CCN, OCC), d'infraestructures crítiques (CNPIC) i a la Guàrdia Civil;

• Notificació de violació de seguretat a l'Agència Espanyola de Protecció de Dades (AEPD);

• Implantació de mesures tècniques i organitzatives addicionals per reforçar la protecció dels nostres sistemes i reduir el risc d'incidents semblants.
  

Informació addicional

Lamentem profundament els inconvenients que aquesta situació li pugui ocasionar i li reiterem el nostre compromís amb la protecció de les seves dades personals.

Per a més informació, es pot posar en contacte amb el Delegat de Protecció de Dades a l'adreça dpdviajeros@renfe.es