Cyberatak, którego ofiarą padły Adif i Renfe w zeszłym tygodniu, pozostawił ślady wątpliwości co do jego rzeczywistej skali. Atak miał swój początek na serwerach Adif połączonych z systemami Renfe, skąd intruzi prawdopodobnie uzyskali dostęp do usług przewoźnika kolejowego. Ruch pociągów nie został jednak przerwany, a strony internetowe zarządcy infrastruktury zostały ponownie uruchomione w sobotę.
Wstępne raporty firm wskazywały na ograniczony dostęp do informacji, głównie nazwisk i adresów e-mail. Nie ma dowodów na kradzież danych bankowych, metod płatności ani numerów dowodów osobistych , chociaż śledztwo pozostaje w toku, a Narodowe Centrum Kryptologiczne (CCN), powiązane z Narodowym Centrum Wywiadowczym (CNI), analizuje sprawę. Najbardziej dyskutowanym faktem jest to, że po raz pierwszy w ataku na hiszpańską administrację publiczną, sztuczna inteligencja najwyraźniej została wykorzystana do ułatwienia ataku.
Co się wydarzyło i jak przebiegał atak?
Według wielu źródeł, incydent rozpoczął się na stronie internetowej Adif. Atakujący szukali luk w zabezpieczeniach, aż znaleźli punkt wejścia , a następnie przenieśli się do chmury Renfe. Operator twierdzi, że zareagował natychmiast: aktywował protokoły, odizolował zainfekowane środowiska i wdrożył nadzwyczajne środki z pomocą zewnętrznych specjalistów.
Adif wykrył nietypową aktywność w czwartek wieczorem. Według państwowej firmy, ruch kolejowy nigdy nie został naruszony , a żadne systemy związane z obsługą pociągów nie zostały naruszone. Atak trwał kilka dni, a czwartek był najbardziej intensywny.
- Punkt: Serwery Adif zostały wcześniej naruszone.
- Następny skok: połączenie z systemami Renfe i chmurą.
- czas trwania: kilka dni, ze szczególnym naciskiem w czwartek.
- Serwis: sprawne pociągi i gwarantowany ruch.
Rola sztucznej inteligencji i badań
Kilka raportów sugeruje, że grupa przestępcza wykorzystała sztuczną inteligencję do lokalizowania luk w zabezpieczeniach i szybkiego poruszania się po sieci. Byłby to pierwszy przypadek wykorzystania sztucznej inteligencji w tego typu ataku na administrację publiczną , co budzi obawy. Mimo to żaden organ nie potwierdził, które konkretnie narzędzie zostało użyte ani w jakim stopniu działało autonomicznie.
Narodowe Centrum Kryptologiczne, będące częścią Narodowego Centrum Wywiadu (CNI), przejęło analizę. Złożono również formalną skargę, a dostawcy, którzy mogli ucierpieć, zostali powiadomieni . Nie wyklucza się błędu ludzkiego jako możliwej przyczyny, a konsultowane źródła nie sprecyzowały, czy osoby odpowiedzialne znajdują się poza Hiszpanią.
Dane, których dotyczy problem: co mówią Renfe, Adif i wstępne dochodzenia
Renfe od początku podkreślał, że atakujący mogli uzyskać ograniczone informacje o użytkownikach, głównie imiona i nazwiska oraz adresy e-mail. Firma twierdzi, że nie ma dowodów na dostęp do danych finansowych, numerów dowodów osobistych ani żadnych szczególnie poufnych informacji , i dodaje, że nie ma żadnych dowodów na publikację skradzionych danych. Adif ze swojej strony oświadczył, że jego strony internetowe zostały ponownie uruchomione po sprawdzeniu, czy bezpieczeństwo jest zagwarantowane.
Wstępne szacunki wskazują na około 500 GB skradzionych informacji. To znaczna ilość, choć nie oznacza to automatycznie danych krytycznych : część materiałów może pochodzić z baz danych pasażerów i wewnętrznych rejestrów. Źródła zaznajomione z tym procesem wspominają o tabelach zawierających ponad 150 milionów rekordów, podzielonych na dane niskiego i wysokiego ryzyka oraz bilety imienne, ale liczbę tę należy traktować z ostrożnością, ponieważ nie jest ona szczegółowo opisana w oficjalnych oświadczeniach.
- Oświadczenie początkowe: imiona i nazwiska oraz adresy e-mail, bez danych bankowych i informacji o dowodzie osobistym.
- Szacowana objętość: około 500 GB.
- Dalsze badania: możliwe tabele zawierające miliony rekordów, w oczekiwaniu na potwierdzenie.
Usługi kolejowe, strony internetowe i reakcja instytucji
Atak nie zakłócił ruchu pociągów. Renfe utrzymał swoje usługi, a Adif zapewnił normalny ruch pociągów , co było kluczowe ze względu na krytyczny charakter infrastruktury. Strony internetowe Adif i Adif Alta Velocidad zostały przywrócone w sobotę, a strona internetowa Renfe pozostała dostępna przez cały czas trwania incydentu.
Firma kolejowa utrzymuje, że posiada własne certyfikaty i standardy dla infrastruktury krytycznej. Twierdzi również, że od tygodni wykrywa i blokuje próby ataków na swoje systemy. Jednocześnie Adif przekazał wszystkie informacje do Narodowego Centrum Kryptologicznego i wydał ostrzeżenie dla firm i dostawców działających w ekosystemie technologicznym.
Incydent przyniósł kilka pewników i wiele pytań bez odpowiedzi. Potwierdzono skoordynowany atak Adif na Renfe, prawdopodobnie z udziałem sztucznej inteligencji i setek gigabajtów danych , ale dokładny zakres skradzionych danych pozostaje niejasny. Nie zmieniło się natomiast funkcjonowanie kolei, które działa nieprzerwanie, podczas gdy władze próbują namierzyć sprawców.