经由Adif入侵Renfe的网络攻击导致500 GB数据被盗

Renfe在9月25日的声明中宣布，攻击始于基础设施运营商Adif的服务器。该公司称，攻击者获取的信息有限，主要是姓名和电子邮件地址；没有证据表明支付、银行和身份证号码数据遭到访问。据Moncloa.com 9月26日报道，共有500 GB数据被窃取外传，数据外泄在9月24日星期四达到高峰。两家公司均已向国家密码中心（CCN）和情报机构CNI报告了此事。

据援引《世界报》（El Mundo）的报道，攻击分3步进行：一个人工智能系统在Adif网站上找到后门，由此进入企业云，继而进入Renfe。Moncloa.com转述的调查人士称，这一手法与2025年11月一个与中国有关联的组织针对约30个目标所用的系统相似，并称80%–90%的工作由人工智能完成。人工智能的说法和500 GB的数字均未得到两家公司证实；截至9月27日，攻击组织的身份尚未公布。据Merca2报道，截至当日没有任何列车停运，网站也已恢复正常。

Adif在2020年也曾遭受攻击，当时勒索软件组织REvil窃取了800 GB数据。此次事件触发了NIS2指令（欧盟为关键基础设施运营商规定网络安全义务的规则）在西班牙实施时的24小时通报时限。据Merca2报道，根据《通用数据保护条例》（GDPR），还须在72小时内向数据保护机构AEPD作出通报。