Adif y Renfe confirmaron el 25 de septiembre un ciberataque con IA que no entró por su propio perímetro: entró por servidores de Adif ya comprometidos y desde ahí llegó a plataformas de varios proveedores. El volumen estimado son 500 gigabytes, con nombres y correos de clientes, sin rastro de datos bancarios ni documentos de identidad, según ambas empresas.
Lo relevante para una empresa mediana no es el tamaño del operador afectado, es la puerta de entrada. El fallo no estuvo en el sistema propio de Renfe, estuvo en un proveedor conectado a Adif. Cualquier empresa que dependa de un proveedor externo para facturación, CRM o soporte hereda ese mismo riesgo, tenga o no equipo de ciberseguridad propio.
No es un caso aislado. Esta misma semana Forbes documentó otro ataque con IA barata contra 100 empresas, sin gran presupuesto detrás. El patrón que conecta ambos casos: la IA ha bajado el coste de atacar y de esconder el rastro, y las empresas medianas son terreno más fácil que las grandes.
Para Marta, esto cambia una pregunta que hasta ahora sonaba teórica: ya no basta con auditar los sistemas internos antes de sumar IA a un proceso, hay que preguntar a cada proveedor con acceso a datos qué controles tiene sobre el uso de IA en su propia operación.
El comunicado oficial confirma el volumen de datos y el origen del ataque, pero no explica qué papel exacto tuvo la IA más allá de calificar la operación de sofisticada. Los proveedores tampoco suelen explicar cómo blindan sus propios accesos, y eso es justo lo que hay que exigir por contrato antes de conectarlos a datos de clientes.
Qué hacer esta semana: pedir a los tres proveedores con más acceso a datos de clientes qué controles de acceso e IA tienen activos, y por escrito. No es una auditoría completa, es una pregunta directa que ya distingue quién ha pensado en esto y quién no.