En nuestra anterior noticia hablábamos del caso Revolut y cómo una suplantación puede aprovechar la confianza de una persona para conseguir información sensible. Ahora, un nuevo incidente de ciberseguridad nos lleva a centrar nuestra atención en otras dos grandes compañías, Adif y Renfe, aunque esta vez con un escenario muy diferente.
El incidente fue detectado a finales de septiembre y ha obligado a ambas compañías a activar protocolos de respuesta, así como investigar qué sistemas e información se han visto afectados. Aunque la circulación ferroviaria no se vio afectada en ningún momento, el ataque cibernético vuelve a poner sobre la mesa una cuestión que gana cada día más relevancia: la seguridad de los sistemas que gestionan las grandes compañías y la forma en la que almacenan datos de usuarios, trabajadores y proveedores.
¿Qué ha ocurrido con Adif y Renfe?
La compañía ferroviaria Adif detectó a finales del mes de septiembre actividad inusual en sus sistemas, activando medidas especiales en el momento para contener el incidente. Según información facilitada por la propia compañía, los ataques pudieron afectar datos almacenados en su Plataforma de Licitación Electrónica, gestionada por un tercero, así como información de sus sistemas de gestión corporativa.
Renfe, por su parte, relacionó esto con la posibilidad de que los atacantes hubiesen accedido a información de usuarios como nombres y direcciones de correo electrónico, a través de sistemas interconectados con Adif.
La investigación por parte de Renfe sigue en marcha y la compañía ha ampliado la información de la que dispone: el ataque se realizó el pasado 24 de septiembre y los sistemas que se vieron afectados están relacionados con procesos de venta de billetes.
¿Qué datos podrían haberse visto comprometidos?
Esta es una de las principales preguntas que siguen investigándose.
En el caso de Renfe, la información afectada podría incluir datos identificativos y de contacto, información relacionada con billetes adquiridos y viajes realizados, números de identificación como DNI o NIE y credenciales de autenticación.
En el caso de Adif, el escenario es bastante diferente. La compañía ha señalado que podrían haberse visto afectados datos de personas participantes en procesos de licitación, sus datos identificativos o de contacto, así como información relacionada con su actividad.
Se investiga también que puedan haberse visto afectados distintos sistemas corporativos que contienen información del personal actual y pasado de Adif, que incluirían datos identificativos, profesionales, laborales y económicos, además de credenciales de acceso.
El riesgo puede llegar después de un ataque
Nombres, correos electrónicos, datos de contacto, información sobre viajes o datos profesionales pueden convertirse en información de gran valor para los ciberdelincuentes. Ya sabemos que una filtración de datos no termina necesariamente cuando los atacantes abandonan los sistemas.
Como hemos hablado en otras publicaciones, la información obtenida en un ataque puede utilizarse posteriormente para realizar phishing, smishing, llamadas fraudulentas o campañas de ingeniería social muy creíbles.
Por ejemplo, un correo que mencione un viaje realizado, una supuesta incidencia con un billete o una gestión relacionada con Renfe puede resultar mucho más convincente que un mensaje genérico enviado al azar.
De hecho, la propia Renfe advierte del riesgo de comunicaciones fraudulentas que utilicen información personal para hacerse pasar por la compañía, mientras que Adif recomienda extremar la precaución ante mensajes relacionados con pagos, nóminas, cuentas bancarias, credenciales o gestiones laborales.
Un ataque que no buscaba detener trenes
A pesar de la dimensión del incidente, uno de los aspectos más relevantes es que la explotación ferroviaria no se ha visto afectada de ninguna forma.
Mientras que Adif confirmó que ninguna aplicación ni sistema relacionado con la explotación ferroviaria se había visto afectado y que la circulación continuaba desarrollándose con normalidad, Renfe mantuvo operativo el servicio ferroviario y aseguró haber activado sus protocolos de respuesta, aislado los entornos afectados y reforzado la monitorización y protección de los sistemas implicados.
Un ciberataque puede afectar a los sistemas de información de una organización sin llegar necesariamente a comprometer sus sistemas operacionales críticos. Precisamente por eso, la segmentación, la monitorización y la capacidad de respuesta son elementos fundamentales dentro de una estrategia de ciberseguridad.
¿Qué podemos aprender de este ciberataque?
El caso de Adif y Renfe demuestra que proteger una organización no consiste únicamente en instalar herramientas de seguridad. Las grandes organizaciones trabajan con numerosos sistemas, proveedores, plataformas externas y conexiones entre diferentes entornos. Cada una de esas interconexiones puede convertirse en un punto que debe ser protegido y monitorizado.
Por esto, es tan importante controlar y limitar los accesos a sistemas y datos, así como monitorizar continuamente la actividad para detectar comportamientos anómalos, aunque no podemos olvidar la importancia de formar a las personas para que sepan identificar y reaccionar ante posibles intentos de fraude posteriores.
Porque la ciberseguridad no termina cuando se consigue bloquear un ataque. También implica estar preparados para lo que puede ocurrir después.
