El reciente ciberataque a Renfe y Adif ha dejado al descubierto 500 GB de información privada de sus clientes, confirmando lo que la inteligencia artificial (IA) llevaba meses advirtiendo. Este incidente ha llevado a ambas empresas públicas del sistema ferroviario español a activar sus protocolos de emergencia y notificar el ataque a las autoridades competentes.
Aunque el servicio de trenes no se ha visto afectado, el ataque pone en entredicho la seguridad de las infraestructuras críticas, justo cuando la industria tecnológica había alertado sobre una nueva ola de ciberataques con IA. Según El Mundo, el ataque comenzó en la web de Adif, donde la IA buscó vulnerabilidades hasta encontrar una puerta trasera para acceder. Desde allí, el grupo criminal, aún sin identificar, se infiltró en la nube y posteriormente en la web de Renfe.
El hackeo duró varios días, alcanzando su máxima intensidad en el robo de datos el jueves. Aunque se ha confirmado que la información hackeada no incluye datos sensibles como medios de pago o DNIs, la base de datos de viajeros sí fue comprometida, lo que podría ser altamente valioso para los ciberdelincuentes.
Renfe ha confirmado que el ciberataque afectó a un sistema externo asociado a Adif. Por su parte, Adif asegura que sus webs ya están operativas y que la seguridad está garantizada, destacando que ningún sistema informático relacionado con la explotación ferroviaria fue afectado.
El uso de IA en este ataque es un precedente alarmante. Fuentes cercanas a la investigación mencionadas por El Mundo indican que el grupo de ciberdelincuentes podría haber utilizado un sistema similar al que empleó la IA de Anthropic en un ciberataque documentado en 2025. En aquel caso, la IA realizó entre el 80% y el 90% del trabajo de manera casi autónoma.
Este evento recuerda la carta abierta firmada recientemente por empresas como OpenAI, Anthropic, Google, Microsoft y Amazon, que advertía sobre una oleada de ciberataques con IA contra infraestructuras críticas. No es la primera vez que Adif enfrenta un ciberataque; en 2020, el grupo REvil sustrajo 800 GB de información corporativa.