Renfe et Adif ont subi une cyberattaque qui a compromis des informations limitées d'utilisateurs et a obligé à isoler les systèmes connectés entre les deux entités, sans affecter la circulation ferroviaire ni la prestation du service aux voyageurs. Renfe situe l'origine de l'incident sur des serveurs d'Adif qui avaient déjà été attaqués et maintenaient une interconnexion avec les systèmes de l'opérateur.
L'intrusion aurait permis la soustraction de 500 gigaoctets d'informations, bien que l'on ignore encore quels fichiers contiennent ces données. Des sources proches de l'enquête, citées par El Mundo, situent le moment de la plus grande extraction à jeudi et maintiennent sans identification la provenance du groupe responsable.
Renfe a indiqué que les attaquants ont pu accéder principalement à des noms et adresses e-mail. L'opérateur n'a pas identifié de preuves concluantes que ces informations aient été divulguées publiquement ni d'evidences d'accès à des données bancaires, financières, moyens de paiement, documents nationaux d'identité ou autres données particulièrement sensibles.
Selon les indices techniques disponibles, les systèmes de Renfe interconnectés avec ceux d'Adif ont été l'objet de l'attaque. La compagnie a activé ses protocoles de réponse, isolé les environnements affectés et déployé des mesures extraordinaires de protection avec le soutien de spécialistes indépendants en cybersécurité.
L'accès, sous investigation
Adif a détecté une activité inhabituelle sur ses systèmes dans la nuit du 24 septembre. Ses outils de cybersécurité ont travaillé pour la contenir, répondre aux attaques et limiter leurs effets possibles, selon des sources de l'entité.
L'enquête situe l'accès initial possible sur le site web d'Adif. De là, les responsables seraient entrés dans son infrastructure cloud, puis dans des systèmes liés à Renfe. Les chercheurs analysent s'ils ont utilisé un système d'intelligence artificielle pour identifier des vulnérabilités jusqu'à trouver une voie d'accès, selon a publié El Mundo.
La procédure présente des similitudes avec des opérations d'intrusion soutenues par l'intelligence artificielle, bien que l'on enquête également si une erreur humaine au sein d'Adif aurait facilité l'accès initial. Les recherches doivent encore déterminer comment s'est produite l'entrée dans les systèmes et quel a été le rôle de l'intelligence artificielle, s'il y en a eu un.
Plusieurs tentatives continues
Adif a déposé une plainte et mis les informations recueillies à la disposition du Centre cryptologique national (CCN), dépendant du Centre national de renseignement. L'entreprise travaille avec ses fournisseurs technologiques pour récupérer le site web, qui reste inopérant.
Aucune application ni système lié à l'exploitation ferroviaire n'a été affecté, selon Adif. La circulation ferroviaire se déroule normalement et le site web de Renfe reste opérationnel.
Renfe a lié l'incident à plusieurs semaines d'essais continus contre ses systèmes. La compagnie a assuré avoir détecté et bloqué ces attaques grâce à ses mécanismes de protection avant cette intrusion.