El pasado viernes supimos que Renfe había sufrido un ciberataque que logró acceso a los sistemas de Adif. Inicialmente el problema parecía ser limitado, porque se habló de robo de nombres y correos electrónicos, sin acceso a información bancaria, DNI u otros datos sensibles. Un análisis posterior revelado en El Mundo parece más preocupante.
150 millones no son 150 millones de personas. Los 500 GB robados incluyen más de 150 millones de datos que según la investigación están clasificados en tres grandes categorías:
- Datos de bajo riesgo: a los que se refería Renfe inicialmente, con tablas de nombres y DNIs de usuarios de la web de Renfe. Hay aparentemente unos 20 millones de registros en este grupo de datos filtrados.
- Registros de alto riesgo: hay otros 20 millones de registros robados con nombre, apellidos, sexo, número de teléfono, correo electrónico, DNI, fecha de nacimiento y dirección postal.
- Datos nominativos de billetes: también se filtraron unos 100 millones de registros con los datos nominativos de los billetes: quién ha comprado qué. Y eso es lo inquietante.
Cruzar datos puede crear perfiles de viajeros. Esos últimos datos son los que pueden resultar especialmente delicados porque permiten vincular a un viajero determinado un ticket concreto. El problema está en que estos datos pueden cruzarse con los anteriores, porque al hacerlo se puede reconstruir la actividad de los viajeros por separado y de forma independiente. Un atacante podría por tanto saber no sólo quién es alguien y cómo contactar con él, sino también tener información sobre sus desplazamientos. ¿Para qué es útil todo eso? Pues para lo de siempre: engañarnos y estafarnos.
Fraudes más creíbles. Si un ciberatacante nos envía un mensaje mencionando un viaje que hemos realizado recientemente y luego da datos concretos su mensaje de phishing es mucho más creíble. Por ejemplo nos puede tentar hablándonos de una supuesta devolución de un billete o de una incidencia con una reserva, y el mensaje parecerá legítimo porque hablará de cosas que nos han pasado o que están relacionadas con cosas que realmente nos han pasado. De momento no hay constancia de que algo así haya pasado, pero la información filtrada da pie a ello.
Tarjetas de crédito a salvo. Tanto Renfe como el análisis forense del ciberataque indican que en esa información filtrada no hay pruebas de acceso a datos bancarios o medios de pago. Tampoco se vio afectada la operativa de Renfe, cuyos trenes siguieron circulando normalmente. El problema afectó inicialmente a los sistemas de Adif, y desde allí habría alcanzado a los sistemas de Renfe con los que está interconectada.
Comunicación oficial. El RGPD establece que cuando un ciberataque puede entrañar un riesgo para los derechos y libertades de los usuarios, la empresa debe comunicárselo a los afectados inmediatamente. Esa comunicación oficial debería explicar qué datos se han visto comprometidos, las posibles consecuencias y qué medidas pueden tomar los usuarios para protegerse.
Cuidado con los mensajes de Renfe. Apagar la web no significa que el problema haya terminado. Adif mantuvo temporalmente fuera de servicio su sitio web, y el sábado aseguró que podía volver a utilizarse todo con seguridad. También notificó el incidente al Centro Criptológico Nacional y avisó a empresas y proveedores potencialmente afectados. Aunque eso supone que se ha parcheado la vulnerabilidad y el problema que dio origen al robo de datos, no hace desaparecer la información filtrada.
