Protección de datos personales tras un ciberataque: qué hacer si te ha afectado el caso Adif-Renfe

El ciberataque sufrido por Adif y Renfe ha vuelto a poner el foco en un tema que muchos usuarios prefieren no pensar hasta que les toca de cerca: qué pasa con nuestros datos personales cuando una empresa o administración pública es hackeada. Con 500 GB de información filtrada y la novedad de que, según apunta El Mundo, el ataque se habría ejecutado con inteligencia artificial de forma casi autónoma, el caso es un buen punto de partida para repasar qué medidas puede tomar cualquier persona si sospecha que sus datos han quedado expuestos.

Aunque Renfe ha insistido en que la información sustraída no incluye datos sensibles como medios de pago o DNIs, sí reconoce que se ha accedido a la base de datos de viajeros. Y ojo, porque nombres, correos electrónicos, teléfonos o historiales de viaje son exactamente el tipo de información que los ciberdelincuentes utilizan para montar campañas de phishing muy convincentes. No hace falta que roben tu tarjeta de crédito para que tengas un problema.

Qué ha pasado exactamente con Adif y Renfe

El ataque, dirigido en primer lugar a la web de Adif, aprovechó una vulnerabilidad para acceder a su nube y desde ahí saltar a los sistemas de Renfe. La investigación, en manos del Centro Criptológico Nacional y el CNI, todavía no ha determinado con certeza si hubo también un fallo humano de por medio. Lo que sí se sabe es que el robo de información se prolongó varios días, alcanzando su punto álgido el jueves, y que tanto la web de Adif como la de Adif Alta Velocidad ya están operativas tras comprobar que la seguridad está garantizada.

La buena noticia es que la circulación de trenes no se ha visto afectada en ningún momento, ya que los sistemas comprometidos eran externos y no estaban conectados a la explotación ferroviaria. La mala es que, según los datos disponibles, la mayor parte de la información robada corresponde a la base de datos de clientes, lo que convierte a miles de usuarios en potenciales objetivos de futuros ataques dirigidos.

El papel de la inteligencia artificial en el ataque

Lo que hace especialmente relevante este incidente es que sería el primer gran ciberataque contra una administración del Estado español ejecutado con ayuda de IA. Fuentes citadas por El Mundo apuntan a un sistema similar al que usó un grupo de hackers vinculado a China en noviembre de 2025, documentado por Anthropic, en el que la propia inteligencia artificial realizó entre el 80% y el 90% del trabajo de intrusión con apenas supervisión humana. Ese antecedente, sumado a la reciente carta firmada por OpenAI, Anthropic, Google, Microsoft y Amazon advirtiendo de una oleada de ciberataques con IA contra infraestructuras críticas, sitúa el caso Adif-Renfe como un aviso de lo que probablemente veremos con más frecuencia.

Qué hacer si crees que tus datos se han visto afectados

Si has viajado en Renfe recientemente o tienes cuenta en su web, conviene tomar algunas precauciones básicas, no porque haya que entrar en pánico, sino porque son medidas de sentido común ante cualquier filtración de datos.

Vigila los correos y mensajes sospechosos

Con datos como tu nombre, correo o historial de viajes, los ciberdelincuentes pueden construir mensajes de phishing muy personalizados que simulan venir de Renfe, Adif o incluso de tu banco. Desconfía de correos que pidan verificar datos, hacer clic en enlaces urgentes o descargar archivos adjuntos inesperados, por muy oficiales que parezcan.

Cambia tus contraseñas, sobre todo si las repites

Si usas la misma contraseña en la web de Renfe que en otros servicios, es el momento de cambiarla. Reutilizar contraseñas es uno de los errores más comunes y también uno de los que más facilita que un ataque a una empresa se convierta en un problema para todas tus cuentas.

Activa la verificación en dos pasos donde puedas

Añadir una capa extra de seguridad mediante un código temporal o una notificación en el móvil reduce mucho el riesgo de que alguien acceda a tus cuentas aunque tenga tu contraseña.

Consulta si puedes ejercer tus derechos ante la AEPD

La normativa de protección de datos reconoce a los ciudadanos el derecho a saber qué información se ha visto comprometida y a solicitar medidas correctoras. Si Renfe o Adif no informan de forma clara sobre el alcance del incidente, siempre puedes dirigirte a la Agencia Española de Protección de Datos para pedir información o presentar una reclamación.

Por qué este tipo de incidentes van a ser más frecuentes

El caso de Adif y Renfe no es un hecho aislado ni el primero que sufren estas empresas: en 2020 ya fueron víctimas de un ataque de ransomware del grupo REvil que sustrajo 800 GB de información corporativa. Lo que cambia ahora es la herramienta utilizada. Si la inteligencia artificial permite a un grupo reducido de atacantes ejecutar operaciones que antes requerían equipos enteros de especialistas, es razonable pensar que la frecuencia y sofisticación de estos ataques va a ir en aumento.

Eso implica que la protección de datos personales ya no depende solo de que las empresas refuercen sus sistemas, sino también de que los usuarios adopten hábitos básicos de seguridad digital: contraseñas robustas y distintas para cada servicio, verificación en dos pasos, desconfianza ante comunicaciones no solicitadas y atención a los avisos oficiales cuando se produce una filtración.

Lo que queda por saber

A día de hoy sigue sin confirmarse qué grupo está detrás del ataque ni qué modelo de IA se utilizó exactamente. Tampoco se ha determinado con precisión qué porcentaje de los 500 GB filtrados contiene información realmente identificable o sensible. Mientras el Centro Criptológico Nacional y el CNI continúan la investigación, lo más prudente para cualquier usuario de Renfe o Adif es actuar como si sus datos básicos hubieran quedado expuestos y tomar las precauciones mencionadas, sin necesidad de alarmismo pero con la seriedad que merece un incidente de esta magnitud.