Adif üzerinden Renfe'ye sızan saldırıda 500 GB veri çalındı

Renfe 25 Eylül'de yaptığı açıklamada saldırının altyapı işletmecisi Adif'in sunucularından başladığını duyurdu. Şirkete göre saldırganlar sınırlı bilgiye, esas olarak ad ve e-posta adreslerine ulaştı; ödeme, banka ve kimlik numarası verilerine erişim kanıtı yok. Moncloa.com'un 26 Eylül tarihli haberine göre 500 GB veri dışarı çıkarıldı ve veri çıkarımı 24 Eylül perşembe günü zirveye ulaştı. 2 şirket de olayı Ulusal Kriptoloji Merkezi'ne (CCN) ve istihbarat servisi CNI'ye bildirdi.

El Mundo'ya dayandırılan haberlere göre saldırı 3 adımda ilerledi: bir yapay zekâ sistemi Adif'in web sitesinde arka kapı buldu, buradan kurumsal buluta ve ardından Renfe'ye geçti. Moncloa.com'un aktardığı soruşturma kaynakları, yöntemin Kasım 2025'te Çin bağlantılı bir grubun yaklaşık 30 hedefe karşı kullandığı sisteme benzediğini ve işin %80–90'ını yapay zekânın yaptığını öne sürüyor. Yapay zekâ iddiası ve 500 GB rakamı şirketlerce doğrulanmadı; saldırgan grubun kimliği 27 Eylül itibarıyla açıklanmadı. Merca2'ye göre bu tarihte hiçbir tren durmamıştı ve web siteleri normale dönmüştü.

Adif 2020'de de REvil fidye yazılımı grubunun 800 GB veri çaldığı bir saldırıya uğramıştı. Olay, NIS2 direktifinin (AB'de kritik altyapı işletmecilerine siber güvenlik yükümlülüğü getiren kural) İspanya'daki uygulamasında 24 saatlik bildirim süresini işletiyor. Merca2'ye göre veri koruma kurumu AEPD'ye de GDPR kapsamında 72 saat içinde bildirim yapılması gerekiyor.