Ciberataque con IA roba 500 GB de datos a Adif y Renfe

• Durante el pasado fin de semana, un grupo utilizó herramientas de inteligencia artificial para vulnerar la seguridad informática del transporte ferroviario público en España. El ataque, que se extendió a lo largo de varios días, afectó directamente a Adif y Renfe, permitiendo a los delincuentes sustraer una cantidad masiva de 500 GB de información.

Este fin de semana, un grupo de ciberdelincuentes ha conseguido infiltrarse en los sistemas informáticos del sistema ferroviario público español con el apoyo de la IA. En concreto, dos compañías se vieron afectadas: Adif y Renfe. Lo más llamativo es que este ataque que se prolongó durante varios días, lo que les habría permitido sustraer alrededor de 500 GB de información. Tal y como ya viene siendo común, recurrir a la IA facilita enormemente estos trabajos, y más aún cuando las compañías o instituciones no recurren a la IA para mejorar la seguridad. Algo que ya es obligatorio en los tiempos que corren.

Renfe ha confirmado oficialmente la existencia del incidente, aunque quiso rebajar su alcance respecto a los datos de sus clientes. Según la compañía, los atacantes podrían haber accedido principalmente a nombres y direcciones de correo electrónico, sin que existan evidencias de acceso a datos bancarios, medios de pago, DNI u otra información especialmente sensible. El tiempo, si la información se pone a la venta, dirá realmente qué información se ha conseguido sustraer.

Recurrieron la inteligencia artificial para encontrar una puerta de entrada en Adif

Según la información aportada por El Mundo, la intrusión habría tenido como punto de inicio la infraestructura informática de Adif. Los atacantes habrían conseguido comprometer inicialmente su página web y, desde ese punto, avanzar hacia la infraestructura en la nube. Fue ahí cuando comenzaron a buscar nuevas vulnerabilidades hasta alcanzar sistemas de mayor relevancia. Para realizar el ataque, los hackers recurrieron a un sistema de inteligencia artificial capaz de analizar la infraestructura y localizar posibles vulnerabilidades. Básicamente, la IA rastrea, encuentra un punto de fisura y agiliza que el atacante logre su objetivo.

Una vez dentro de Adif, los ciberdelincuentes habrían aprovechado las interconexiones existentes entre sus sistemas y los de Renfe para extender el ataque. Renfe confirma precisamente que los indicios técnicos sitúan el origen del incidente en los servidores de Adif. La compañía asegura que reaccionó aislando los entornos afectados y desplegando medidas extraordinarias de protección recurriendo a unos especialistas externos en ciberseguridad.

El resultado conocido de este ataque, está en el robo de esos 500 GB de información. Tocará esperar a las investigaciones o a la venta de esta información para saber realmente de qué estamos hablando.

Tras el ataque, se ha visto comprometido 500 GB de datos entre Adif y Renfe

Lo importante aquí es saber qué datos habían dentro de esos aproximadamente 500 GB de información sustraída. Recordemos que la intrusión duró varios días, tiempo más que suficiente para recopilar con absoluta tranquilidad toda la información posible. Ya sea información sensible para su venta, hasta información relacionada con trabajadores para mantener los accesos, o de los propios viajeros. Es decir, acceder a una gran cantidad de información que luego también se puede vender para campañas de phishing.

Por otro lado, Renfe, por ahora, limita el impacto del robo de información ligada a los viajeros. La investigación preliminar indica que se pudo acceder principalmente a nombres y correos electrónicos, pero la operadora asegura que no existen evidencias de acceso a datos bancarios, información financiera, medios de pago o números de DNI. Ahora bien, el nombre y email ya es más que suficiente para realizar una campaña de phishing principalmente dirigidas a hacerse pasar por la Renfe.

Por su parte, Adif asegura que ninguna aplicación ningún sistema relacionado con la explotación de los trenes se ha visto comprometido. La compañía pudo restablecer su página web, y todo funciona con una aparente normalidad. El ataque ha sido puesto en conocimiento del Centro Criptológico Nacional (CCN-CERT), dependiente del CNI, el cual buscará ahora analizar hasta dónde ha llegado el ataque e investigar las posibles consecuencias.