Un grupo de ‘hackers’ roba 500 gigas de datos de clientes en un ciberataque a Renfe y ADIF

Renfe y Adif: 500 gigas que no cuadran con un nombre y un correo​

¿Cuánto pesa un nombre y una dirección de correo electrónico? Renfe dice que eso es, exactamente, lo que unos atacantes sacaron de sus servidores. Y ahí empieza el problema: 500 gigas, la cifra que atribuye El Mundo, no cuadran con una lista de emails. Ni de lejos. Según la nota de la ferroviaria recogida por EFE, el origen del incidente está en los servidores de Adif, el gestor de la infraestructura, que ya habían sido atacados antes. La información sustraída sería «limitada»: nombres y correos. Nada más. Y, sobre todo, sin efecto sobre la prestación del servicio, insiste la compañía.

---

El cálculo de los 500 gigas que no sale​

Si lo robado es un nombre y un correo por cliente, la aritmética tiene que dar. Y no da. Un correo y un nombre ocupan, tirando largo, unos pocos kilobytes. Para llegar a 500 gigas haría falta multiplicar por órdenes de magnitud lo que la propia compañía reconoce. Un usuario lo dejó por escrito: 100 millones de palabras en texto plano ocupan entre 550 y 650 megabytes, medio giga y poco más. Es decir, para justificar las 500 gigas habría que haber sustraído el equivalente a una biblioteca entera, no una agenda de contactos.

De ahí sale la ocurrencia de un forero que resume el desconcierto: «han robado un libro de cada cliente y no sabíamos ni que lo teníamos escrito». La escala no cuadra con el relato. Puede que la cifra esté inflada, puede que se refiera a volcados de bases de datos con mucho ruido interno, o puede que simplemente nadie haya explicado qué contiene de verdad ese paquete.

---

Quién deja el correo y quién solo da el móvil​

Hay un detalle que, según cuentan algunos usuarios del foro, estrecha el cerco: para los trayectos de media distancia, Renfe no siempre pide correo; en muchos casos basta un número de móvil. Quien compra en taquilla puede no haber dejado nunca su email. Los correos vinculados serían, sobre todo, los de quienes compran el billete online, señalan desde el foro. Un universo más pequeño del que sugiere la cifra de las 500 gigas.

La otra pata del asunto, según un forero, es quién vigila todo esto. Sostiene, sin aportar pruebas, que la ciberseguridad de buena parte del sector público va subcontratada y que grandes proveedores acumulan incidentes en administraciones públicas sin que nadie mueva ficha. Se apunta al modelo, no a un nombre concreto. El patrón se repite, en su opinión: se externaliza el escudo, y cuando entra el atacante se subcontrata también la explicación.

---

La compañía mantiene que no hay evidencias de acceso a más datos y que el servicio no se ha visto afectado. Con esa baraja, el ciudadano solo puede esperar a que alguien aclare, algún día, cómo caben 500 gigas en un nombre y un correo. Si es que caben.