Desde Renfe Viajeros queremos informarle de un incidente de ciberseguridad que ha afectado a determinados sistemas de información y que ha podido comprometer información personal asociada a la utilización de sus servicios.

¿Qué ha ocurrido?

Renfe Viajeros ha detectado un acceso no autorizado a determinados sistemas corporativos por parte de un tercero. Según las investigaciones realizadas hasta la fecha, dicho acceso se habría producido el 24 de septiembre de 2026. El incidente fue identificado mediante nuestros mecanismos internos de monitorización y detección de actividad anómala.

Desde el momento de su detección se activaron de forma inmediata los procedimientos de respuesta y contención previstos, limitando el acceso detectado y desplegando medidas adicionales de seguridad.

Las investigaciones realizadas hasta la fecha indican que el tercero no autorizado habría accedido a determinados sistemas relacionados con los procesos de venta de billetes. No obstante, la investigación continúa en curso para determinar con precisión el alcance completo del incidente y verificar si pueden existir otras categorías de datos afectadas.

¿Qué datos pueden haberse visto afectados?

Según la información disponible en este momento, los datos potencialmente comprometidos podrían incluir datos identificativos y de contacto, así como información asociada a la utilización de los servicios de Renfe, incluida información relativa a billetes adquiridos y viajes realizados. Asimismo, entre la información potencialmente afectada podrían encontrarse números de DNI, NIE u otros documentos identificativos equivalentes, así como credenciales de autenticación (contraseñas), protegidas mediante técnicas criptográficas de seguridad que impiden su lectura directa.

¿Qué riesgos pueden derivarse?

Aunque hasta la fecha no tenemos constancia de que sus datos hayan sido utilizados de forma fraudulenta como consecuencia de este incidente, existe el riesgo de que terceros intenten:

• Realizar campañas de phishing o suplantación de identidad utilizando información personal obtenida ilícitamente.
• Enviar correos electrónicos, mensajes SMS o realizar llamadas fraudulentas aparentando proceder de Renfe u otras entidades legítimas.
• Intentar obtener credenciales de acceso, datos bancarios u otra información personal mediante técnicas de ingeniería social.
• Analizar o inferir información relativa a desplazamientos, trayectos realizados o pautas de utilización de los servicios ferroviarios a partir de la información asociada a billetes y viajes, pudiendo llegar a generar perfiles o patrones de comportamiento de determinadas personas.
• En caso de que alguna de las contraseñas asociadas a las credenciales afectadas fuese especialmente débil, existe el riesgo de que pueda ser obtenida mediante técnicas de descifrado por fuerza bruta, permitiendo potencialmente accesos no autorizados a servicios en los que se emplee la misma contraseña.
  

¿Qué medidas le recomendamos adoptar?

Le recomendamos extremar la precaución ante cualquier comunicación inesperada que solicite información personal, credenciales de acceso o datos bancarios. En particular:

• No facilite contraseñas, códigos de verificación ni datos bancarios a través de correos electrónicos, mensajes o llamadas.
• Verifique cuidadosamente el remitente y la autenticidad de cualquier comunicación que afirme proceder de Renfe. Desconfíe especialmente de comunicaciones que incluyan referencias a viajes realizados, reservas, incidencias o supuestas compensaciones económicas, aunque aparenten proceder de entidades legítimas. Ante cualquier solicitud inesperada de información personal o económica, utilice canales oficiales para verificar su autenticidad antes de facilitar información o realizar actuaciones.
• Si dispone de una cuenta de usuario registrado, le recomendamos que, para mayor seguridad, cambie su contraseña a la mayor brevedad posible. Si utiliza la misma contraseña en otros servicios, le recomendamos modificarla también en dichos servicios.
• Manténgase atento a cualquier actividad inusual relacionada con sus cuentas o con sus datos personales y comunique inmediatamente cualquier incidencia que detecte a la entidad correspondiente.

Puede ampliar los consejos y recomendaciones sobre ciberseguridad en la siguiente publicación de INCIBE.

¿Qué medidas ha adoptado Renfe?

Desde la detección del incidente se han llevado a cabo, entre otras, las siguientes medidas:

• Activación inmediata de los protocolos internos de respuesta ante incidentes;
• Contención y monitorización reforzada de los sistemas afectados;
• Investigación forense para determinar el alcance y origen del incidente;
• Solicitud de preservación y entrega de evidencias a los proveedores y repositorios externos implicados;
• Comunicación del incidente a las autoridades competentes en materia de ciberseguridad (CCN, OCC), de infraestructuras críticas (CNPIC) y Guardia Civil;
• Notificación de la violación de seguridad a la Agencia Española de Protección de Datos (AEPD);
• Implantación de medidas técnicas y organizativas adicionales para reforzar la protección de nuestros sistemas y reducir el riesgo de incidentes similares.
  

Información adicional

Lamentamos profundamente los inconvenientes que esta situación pueda ocasionarle y le reiteramos nuestro compromiso con la protección de sus datos personales.

Para más información, puede ponerse en contacto con el Delegado de Protección de Datos en la dirección dpdviajeros@renfe.es