Cyberangrepet som Adif og Renfe ble utsatt for forrige uke har etterlatt tvil om dets virkelige omfang. Angrepet startet på Adif-servere koblet til Renfe-systemer, og derfra antas inntrengerne å ha fått tilgang til jernbaneselskapets tjenester. Togtrafikken ble imidlertid aldri avbrutt, og infrastrukturforvalterens nettsider var tilbake på nett lørdag.
De første rapportene fra selskapene indikerte begrenset tilgang til informasjon, først og fremst navn og e-postadresser. Det finnes ingen bevis for tyveri av bankdetaljer, betalingsmetoder eller nasjonale identitetskortnumre , selv om etterforskningen fortsatt er åpen og det nasjonale kryptologiske senteret (CCN), knyttet til det nasjonale etterretningssenteret (CNI), analyserer saken. Den mest omtalte utviklingen er at kunstig intelligens for første gang i et angrep mot en spansk offentlig forvaltning ser ut til å ha blitt brukt til å legge til rette for angrepet.
Hva skjedde, og hvordan utviklet angrepet seg?
Ifølge flere beretninger startet hendelsen på Adifs nettsted. Angriperne lette etter sårbarheter til de fant et inngangspunkt , og deretter beveget de seg til Renfes sky. Operatøren hevder at de reagerte umiddelbart: aktiverte protokoller, isolerte berørte miljøer og iverksatte ekstraordinære tiltak med støtte fra eksterne spesialister.
Adif oppdaget uvanlig aktivitet sent torsdag. Jernbanetrafikken ble aldri påvirket , ifølge det statseide selskapet, og ingen systemer knyttet til togdriften ble påvirket. Angrepet varte i flere dager, med torsdag som den mest intense.
- Punkt: Adif-servere tidligere kompromittert.
- Neste hopp: sammenkobling med Renfe-systemer og skyen.
- Varighet: flere dager, med spesielt press på torsdag.
- Service: driftsmessige tog og garantert sirkulasjon.
Kunstig intelligens og forskningens rolle
Flere rapporter tyder på at den kriminelle gruppen brukte kunstig intelligens til å finne sårbarheter og bevege seg raskt gjennom nettverket. Dette ville være første gang AI har blitt brukt i et angrep av denne typen mot en offentlig forvaltning , en omstendighet som har skapt bekymring. Likevel har ingen myndighet bekreftet hvilket spesifikt verktøy som ble brukt eller i hvilken grad det handlet autonomt.
Det nasjonale kryptologiske senteret, en del av det nasjonale etterretningssenteret (CNI), har tatt ansvar for analysen. En formell klage er også inngitt, og leverandører som kan ha blitt berørt er varslet . Menneskelige feil utelukkes ikke som en mulig årsak, og kildene som ble konsultert spesifiserte ikke om de ansvarlige befinner seg utenfor Spania.
Berørte data: hva Renfe, Adif og de innledende undersøkelsene sier
Renfe insisterte helt fra starten av på at angriperne kunne ha fått tak i begrenset brukerinformasjon, først og fremst navn og e-postadresser. Selskapet hevder at det ikke finnes bevis for tilgang til økonomiske data, nasjonale identitetskortnumre eller noen særlig sensitiv informasjon , og legger til at det ikke finnes noen registrering av at de stjålne dataene er publisert. Adif har på sin side uttalt at nettstedene deres er tilbake på nett etter å ha bekreftet at sikkerheten er garantert.
Første anslag tyder på rundt 500 GB stjålet informasjon. Dette er en betydelig mengde, selv om det ikke automatisk tilsvarer kritiske data : noe av materialet kan tilsvare passasjerdatabaser og interne registre. Kilder med kjennskap til prosessen har nevnt tabeller med mer enn 150 millioner poster, fordelt på lavrisikodata, høyrisikodata og navngitte billetter, men dette tallet bør behandles med forsiktighet fordi det ikke er detaljert i de offisielle uttalelsene.
- Innledende uttalelse: navn og e-postadresser, uten bankdetaljer eller ID-kortinformasjon.
- Estimert volum: rundt 500 GB.
- Videre undersøkelser: mulige tabeller med millioner av poster, i påvente av bekreftelse.
Jernbanetjeneste, nettsteder og institusjonell respons
Angrepet forstyrret ikke togdriften. Renfe opprettholdt tjenestene sine, og Adif sørget for normal togtrafikk , noe som er avgjørende gitt infrastrukturens kritiske natur. Nettstedene til Adif og Adif Alta Velocidad var tilbake på nett lørdag, mens Renfes nettsted forble tilgjengelig under hele hendelsen.
Jernbaneselskapet hevder at de har sine egne sertifiseringer og standarder for kritisk infrastruktur. De oppgir også at de har oppdaget og blokkert angrepsforsøk mot systemene sine i flere uker. Parallelt har Adif videresendt all informasjonen til National Cryptologic Center og har utstedt en advarsel til selskaper og leverandører innenfor teknologiøkosystemet.
Hendelsen har gitt flere sikre avgjørelser og mange ubesvarte spørsmål. Et koordinert angrep fra Adif mot Renfe er bekreftet, muligens med kunstig intelligens og hundrevis av gigabyte med data , men det nøyaktige omfanget av de stjålne dataene er fortsatt uklart. Det som ikke har endret seg er jernbanedriften, som har fortsatt uavbrutt mens myndighetene forsøker å spore opp gjerningsmennene.