No pararon los trenes. Pararon, un rato, la web de Adif. Y eso, en un país que mueve millones de billetes por cable, ya es un aviso de incendio. Renfe y Adif confirman un ciberataque con origen en sistemas del administrador de infraestructuras y con salto a entornos interconectados de la operadora. La circulación siguió. Los datos de la gente, no tan claros.
Según el relato oficial recogido por El País y RTVE, los atacantes pudieron acceder sobre todo a nombres y correos electrónicos de usuarios. Renfe insiste en que, con la información disponible, no hay evidencias de que se hayan llevado tarjetas, DNI u otros datos especialmente sensibles, ni prueba concluyente de que esa información se haya volcado en abierto. Adif, por su parte, dice que ninguna aplicación de explotación ferroviaria se tocó y que la circulación se mantuvo normal.
Lo que sí sabemos y lo que aún se investiga
El jueves 25, a última hora, Adif detectó actividad inusual. Activó contención, denunció y pasó el expediente al Centro Criptológico Nacional, el CCN, brazo técnico del Estado para ciberseguridad pública. La web de Adif cayó durante horas; el sábado ya volvía a estar operativa. La de Renfe, según la compañía, siguió en pie.
Ahí empieza el debate político de verdad. Porque El Mundo y elEconomista hablan de una estimación preliminar de unos 500 gigabytes sustraídos, de un ataque prolongado varios días y de herramientas de inteligencia artificial para buscar puertas traseras. Eso no es el comunicado de Renfe: es periodismo de fuentes de investigación. Mientras el forense no cierre inventario, conviene no convertir la cifra en dogma. Pero tampoco sirve el “solo nombres y mails” como si eso fuera poca cosa.
Un nombre y un correo bastan para phishing, suplantaciones y campañas de engaño. Si además el volumen real es mayor, el daño se multiplica. La izquierda no necesita inventar un apocalipsis digital: basta con exigir el estándar que se pide a cualquier infraestructura crítica europea.
Infraestructura pública, riesgo público
Adif y Renfe no son startups de moda. Son el esqueleto del transporte colectivo. Cuando un servidor compartido o una nube interconectada se convierte en pasarela, el fallo deja de ser “un problema de TI” y pasa a ser un problema de Estado social: viajeros, trabajadores, proveedores y confianza en el servicio público.
Renfe reconoce semanas de intentos previos de intrusión, detectados y bloqueados. Bien. Entonces la pregunta es por qué el eslabón de Adif aguantó menos y cómo se audita la cadena de proveedores. Algunas informaciones apuntan a un posible factor humano inicial. Si se confirma, no es para linchar a un técnico: es para redoblar formación, segmentación de redes y presupuesto de ciberseguridad donde duele, no solo en notas de prensa.
Transparencia sin alarmismo
Desde un marco social-progresista la línea es clara. Primero: protección real de datos de la ciudadanía, con información útil a los afectados si el riesgo lo exige, sin minimizar ni dramatizar. Segundo: inversión pública sostenida en ciberdefensa de infraestructuras críticas, no recortes disfrazados de eficiencia. Tercero: control democrático del incidente —CCN, denuncia, informe— para que el “no se ha tocado la circulación” no tape un posible agujero de privacidad.
El ferrocarril español aguantó el golpe operativo. Eso importa. Pero un país que presume de AVE y de transformación digital no puede vivir de milagros de contención. O se blindan Adif y Renfe con recursos y exigencia, o la próxima vez el debate no será si cayó la web: será cuántos viajeros se enteraron por un SMS fraudulento de que alguien ya tenía su nombre.