Ciberataque a Renfe: qué datos se han llevado y qué hacer si eres cliente

3 de octubre de 2026

El SMS llega un martes por la mañana. Lleva tu nombre y tus dos apellidos, menciona el AVE que cogiste a Valencia hace dos semanas y te ofrece devolverte la mitad del billete por una hora de retraso. Para cobrar, solo tienes que pulsar el enlace y escribir los datos de tu tarjeta. Es un mensaje inventado, pero se parece mucho a los engaños contra los que avisa la propia Renfe tras el ciberataque de septiembre.

El 28 de septiembre, la compañía amplió lo que había reconocido tres días antes. En el aviso a las personas afectadas que sigue enlazado desde la portada de su web, explica que un tercero accedió sin permiso, el 24 de septiembre según sus investigaciones, a sistemas vinculados a la venta de billetes. Entre los datos comprometidos podría haber números de DNI, el historial de billetes y viajes y las contraseñas de las cuentas, aunque estas se guardan cifradas. Renfe dice que no le consta que nadie los haya usado para estafar y que la investigación sigue abierta.

Desde entonces han circulado cifras que nadie oficial ha confirmado y, el 3 de octubre, la noticia de un correo interno a la plantilla que solo ha publicado un medio. Conviene separar lo que admite Renfe, lo que no está confirmado y lo que puedes hacer tú, que no cuesta dinero.

Lo que admite Renfe

Entre la primera versión y la segunda hay tres días y mucha diferencia. El viernes 25, en un comunicado recogido por Europa Press, Renfe habló de un volumen de datos «limitado», en su mayoría nombres y correos electrónicos de clientes, y descartó el robo de números de DNI y de medios de pago. Situó el origen en servidores de Adif, el gestor de las vías, que ya estaban comprometidos y conectados con los suyos. Adif había detectado una «actividad inusual» a última hora del jueves 24. Denunció el ataque, avisó al Centro Criptológico Nacional (CCN) y mantuvo sus webs desconectadas unas horas por precaución, hasta que el sábado 26 anunció en X que volvían a funcionar.

El lunes 28, el aviso ya hablaba de datos identificativos y de contacto, de los billetes comprados y los viajes hechos, del DNI o el NIE y de las contraseñas. El cifrado impide leerlas tal cual, pero Renfe reconoce un riesgo. Una contraseña muy débil se podría averiguar probando combinaciones (la llamada fuerza bruta) y servir para entrar en otros servicios donde uses la misma.

Ese mismo día, su presidente, Álvaro Fernández Heredia, aseguró a EFE que las contraseñas no estaban comprometidas. Con los datos bancarios, en cambio, no se ha movido nada. El comunicado del 25 no veía pruebas de acceso a ellos, Fernández Heredia explicó que los de las tarjetas ni siquiera se guardan en los sistemas de Renfe y el aviso del 28 no los incluye entre los afectados. La empresa ha informado del ataque a las autoridades de ciberseguridad (el CCN y la OCC), al centro que protege las infraestructuras críticas (CNPIC), a la Guardia Civil y a la Agencia Española de Protección de Datos (AEPD).

Lo que nadie ha confirmado

La cifra que más se ha repetido, 150 millones de datos, no sale de Renfe ni de Adif. La publicó El Mundo el 27 de septiembre, citando a fuentes conocedoras del análisis forense. Habla de unos 500 GB robados, con más de 150 millones de registros repartidos en tres grupos:

Unos 20 millones de registros de usuarios de la web, con su nombre y su DNI.
Más de 20 millones con nombre, apellidos, sexo, teléfono, correo, DNI, fecha de nacimiento y dirección postal.
Más de 100 millones de registros nominativos de billetes, es decir, quién compró cada uno.

Un registro no es una persona, porque quien viaja mucho puede aparecer muchas veces. ¿A cuántos viajeros afecta, entonces? Renfe no da ninguna cifra ni ofrece una forma de comprobar si estás entre ellos. Por eso el INCIBE, el Instituto Nacional de Ciberseguridad, aconseja en estos casos dar por comprometido cualquier dato que compartieras con la empresa.

Tampoco hay confirmación de la otra gran novedad de aquel artículo, que los atacantes usaran inteligencia artificial para encontrar el fallo de la web de Adif. Maldita no pudo verificarlo, y Renfe y Adif no le respondieron. La consultora Hard2bit advertía el 27 de septiembre de que 500 GB no cuadraban con una lista de nombres y correos, que ocupa muy poco; al día siguiente, el aviso oficial amplió los datos afectados. Hasta el 3 de octubre, ni Renfe ni Adif han dicho quién está detrás, y la AEPD no ha anunciado ninguna actuación.

Dato	Quién lo cuenta	Qué dice Renfe
Nombre y datos de contacto	Renfe, 25 y 28 sep	Admite el acceso a nombres y correos
DNI o NIE	Renfe, 28 sep	Pueden estar afectados; el día 25 lo descartaba
Billetes comprados y viajes hechos	Renfe, 28 sep	Pueden estar afectados
Contraseñas, cifradas	Renfe, 28 sep	Pueden estar afectadas; su presidente dijo ese día que no
Datos bancarios y de tarjetas	Renfe y su presidente	Sin pruebas de acceso; las tarjetas no se guardan en sus sistemas
Teléfono, fecha de nacimiento y dirección postal	El Mundo	No los detalla
500 GB y más de 150 millones de registros	El Mundo	No lo ha confirmado
Uso de IA para encontrar el fallo	El Mundo	No lo ha confirmado
Datos laborales de la plantilla	The Objective	No lo ha hecho público

Lo que se sabe de los datos afectados y quién lo cuenta, a 3 de octubre de 2026. Fuentes: Renfe, EFE, El Mundo y The Objective.

La plantilla también está afectada, según The Objective

Lo último, publicado el 3 de octubre, afecta a quien trabaja en Renfe. The Objective cuenta que la empresa ha enviado un correo a su plantilla para avisar de que los atacantes también accedieron a datos laborales, en concreto nombre y apellidos, matrícula (el número de empleado), NIF, fecha de nacimiento, correo profesional, categoría y área de trabajo. En el texto que cita ese medio, Renfe reconoce que aún investiga para conocer «con precisión el alcance completo del incidente». También avisa de que esos datos podrían servir para suplantaciones y para un phishing dirigido, más creíble por usar información real del trabajador.

Mientras sea el único medio que lo cuenta y Renfe no lo haga público, es la versión de The Objective. A quien trabaja allí le sirve el consejo del propio correo. Desconfía de los mensajes que pidan credenciales o datos o que metan prisa por abrir un enlace o un archivo, aunque citen tu categoría o tu área, y compruébalos por los canales oficiales.

Por qué tu historial de viajes le sirve a un estafador

Que no se hayan llevado la tarjeta tranquiliza menos de lo que parece. Con un nombre y un correo solo se puede mandar un phishing genérico; con el DNI, el teléfono y los trenes que has cogido, el mensaje suena a Renfe porque habla de tu vida. En su aviso, la empresa espera intentos de engaño por correo, SMS o teléfono que mencionen viajes, reservas, incidencias o compensaciones. Apunta además un riesgo menos evidente, que con el historial de billetes alguien deduzca tus trayectos y tus costumbres.

Lo traicionero es que el cebo parte de algo real. Renfe devuelve, en general, la mitad del billete de un AVE, un Avlo o un Alvia que llega con una hora o más de retraso, y el importe entero si pasa de hora y media. Esa indemnización se pide en renfe.com, en la estación o en la agencia que vendió el billete, a partir de las 24 horas de la llegada del tren. El dinero vuelve por el mismo medio con el que pagaste, o en un código de descuento o en puntos, y en ningún paso hace falta dictarle la tarjeta a nadie.

Con las llamadas pasa algo parecido. Desde junio de 2025, ninguna empresa puede usar un número móvil para atenderte ni para hacerte llamadas comerciales que no hayas pedido, como contamos al explicar el prefijo 400, pero el número que ves en pantalla se puede falsificar. Si quien llama en nombre de Renfe o de Adif te recita tu DNI y tu último viaje, solo demuestra que tiene esos datos.

Qué hacer si has viajado con Renfe

Estos pasos reúnen lo que recomiendan Renfe, el INCIBE y la Organización de Consumidores y Usuarios (OCU), y ninguno cuesta dinero.

Cambia la contraseña de Renfe entrando tú en renfe.com o en su app, nunca desde un enlace que te llegue. Haz lo mismo en los sitios donde usaras esa contraseña o una parecida, como pide el INCIBE. Un gestor de contraseñas te ayuda a tener una distinta para cada servicio.
Desconfía de cualquier mensaje o llamada que hable de tus viajes o de una devolución, llegue por donde llegue. No des contraseñas, los códigos que te lleguen por SMS ni datos del banco. Ante la duda, cuelga o cierra el mensaje y entra tú en la web o la app.
Pide tu informe de la CIRBE cada pocos meses, como recomienda la OCU tras este ataque. La Central de Información de Riesgos del Banco de España recoge prácticamente todos los préstamos, créditos y avales a tu nombre, y ahí aparecería uno que alguien hubiera pedido con tu identidad. Es gratis y se pide en su sede electrónica con certificado digital o Cl@ve avanzada, o en persona o por correo postal.
Activa los avisos de tu banco para cada pago o transferencia, si los ofrece, y revisa los movimientos de vez en cuando.
Si ya has picado, llama a tu banco por sus canales oficiales, guarda capturas y denuncia. La OCU recuerda que un pago hecho con engaño no debería considerarse autorizado y que puedes pedir al banco que te lo devuelva. El 017 del INCIBE te orienta gratis y de forma confidencial todos los días de 8:00 a 23:00, también por WhatsApp (900 116 117) y Telegram (@INCIBE017).
Para dudas sobre tus datos, escribe al delegado de protección de datos de Renfe, en [email protected]. Puedes pedirle qué datos tuyos guarda, porque es tu derecho de acceso, y acudir a la AEPD si no te contesta.

Si algún día llega ese SMS de la indemnización, traerá tu nombre bien escrito y un tren que cogiste. Después de este ataque, eso ya no demuestra nada. Un retraso real se reclama en renfe.com, con tres meses de plazo desde el viaje, y para llegar allí basta con escribir la dirección.

Comparte este artículo