Cyberattaque chez Renfe : identité, billets, trajets et identifiants exposés, la compagnie ferroviaire espagnole vous conseille de changer votre mot de passe

Renfe, principal opérateur ferroviaire en Espagne, a confirmé une cyberattaque visant ses systèmes de vente avec un risque d’exposition de données clients.

Selon les informations publiées par le média professionnel espagnol Hosteltur, l’entreprise publique Renfe fait face à un incident de cybersécurité sérieux touchant certains de ses systèmes internes. L’attaque, détectée fin septembre, pourrait avoir compromis des données personnelles liées à l’achat de billets et aux trajets effectués, même si aucun usage frauduleux n’a été constaté à ce stade.

Un accès non autorisé détecté le 24 septembre

Renfe explique qu’un tiers non autorisé a réussi à accéder à certains systèmes corporatifs le 24 septembre. Cet accès concerne des environnements liés aux processus de vente de billets, et non les systèmes d’exploitation des trains.

Renfe indique avoir détecté l’activité suspecte grâce à ses mécanismes internes de surveillance, puis activé immédiatement ses procédures de réponse et de confinement.

Selon le communiqué repris par Hosteltur, l’opérateur ferroviaire a déclenché sans délai ses protocoles de gestion de crise en cybersécurité, afin de contenir l’incident et de limiter l’accès à ses systèmes. Une enquête technique est en cours pour préciser l’ampleur de l’attaque et identifier avec exactitude les catégories de données touchées.

Quelles données des voyageurs pourraient être concernées ?

Renfe détaille désormais plus finement le type d’informations potentiellement exposées. L’attaque a visé des systèmes directement liés à la vente de billets, ce qui implique des données sensibles pour les clients.

Informations d’identité et de contact, billets achetés, voyages réalisés, numéros de documents officiels (DNI ou NIE) et identifiants de connexion pourraient avoir été exposés.

Concrètement, les données concernées peuvent inclure :

• les informations d’identification (nom, éventuellement autres données personnelles) ;
• les coordonnées de contact, notamment l’adresse e-mail ;
• la liste des billets acquis via les systèmes de Renfe ;
• les trajets déjà effectués, avec les dates et les destinations ;
• les numéros de documents d’identité espagnols (DNI) ou de séjour (NIE) pour les voyageurs concernés ;
• les identifiants d’authentification des comptes clients.

Les mots de passe, précise Renfe, étaient protégés par des techniques cryptographiques spécifiques. Autrement dit, ils n’étaient pas stockés « en clair » dans les systèmes. L’entreprise admet toutefois qu’une partie d’entre eux, notamment les mots de passe faibles ou réutilisés, pourrait être récupérée par des techniques de force brute.

Un périmètre plus large que ce qui avait été annoncé au départ

Lors des premières communications sur l’incident, reprises par Hosteltur, Renfe avait indiqué que les données affectées semblaient se limiter aux noms et adresses e-mail des clients. L’entreprise affirmait ne pas disposer d’éléments laissant penser à un accès à des documents d’identité, à des informations bancaires ou à des moyens de paiement.

La nouvelle mise à jour élargit nettement le champ des données potentiellement concernées, même si l’opérateur continue d’affirmer qu’aucune preuve d’exploitation criminelle n’a été détectée pour le moment. Renfe insiste toutefois sur le fait que l’enquête reste ouverte et que l’inventaire définitif des données impactées n’est pas encore arrêté.

Quels sont les risques concrets pour les voyageurs ?

L’entreprise espagnole énumère plusieurs scénarios de risques liés à cette fuite possible. Il ne s’agit pas seulement de l’accès direct aux comptes, mais aussi de l’usage des données pour des arnaques ciblées.

Renfe redoute surtout des campagnes de phishing, des usurpations d’identité et des communications frauduleuses se faisant passer pour l’opérateur ou d’autres entités légitimes.

Les données de contact combinées aux informations de trajets se prêtent particulièrement bien à des escroqueries personnalisées. Un cybercriminel pourrait, par exemple, envoyer un e-mail mentionnant un voyage réel, une réservation ou un retard, pour inciter le client à cliquer sur un lien malveillant ou à transmettre des coordonnées bancaires.

Renfe souligne aussi un risque lié aux habitudes de déplacement : des informations sur les voyages passés pourraient servir à déduire des schémas de comportement, comme des allers-retours réguliers, des horaires d’absence du domicile ou des destinations fréquentes.

L’opérateur met enfin en avant un danger spécifique autour des mots de passe : même s’ils sont chiffrés, des clés particulièrement simples ou déjà piratées dans d’autres fuites peuvent être retrouvées. Si un utilisateur réemploie la même combinaison sur d’autres services (messagerie, réseaux sociaux, banque en ligne, etc.), un attaquant peut tenter d’y accéder.

Les mesures prises par Renfe et les autorités espagnoles

Pour gérer la crise, Renfe affirme avoir mis en œuvre une série de mesures techniques et organisationnelles. Le but est double : comprendre ce qui s’est passé et éviter qu’un incident similaire ne se reproduise.

Renfe indique également avoir renforcé ses mesures de sécurité internes et mis en place des protections supplémentaires sur les systèmes impliqués, afin de réduire le risque de nouveaux incidents.

Pas d’impact sur la circulation des trains

Selon les informations disponibles, l’attaque est restée cantonnée aux systèmes commerciaux. L’exploitant d’infrastructures Adif, l’équivalent en Espagne de SNCF Réseau, a précisé qu’aucune application ni système lié à l’exploitation des trains n’avait été touché.

La circulation ferroviaire s’est poursuivie normalement. Par prudence, les sites web d’Adif ont toutefois été suspendus temporairement le temps de procéder à des vérifications techniques supplémentaires, avant un retour au fonctionnement habituel.

Les conseils de Renfe aux voyageurs concernés

Face à la situation, Renfe fournit une série de recommandations pratiques aux utilisateurs, qu’ils aient ou non constaté un problème sur leur compte.

• Ne jamais transmettre de mots de passe, codes de vérification, données bancaires ou informations personnelles via un e-mail, un SMS ou un appel non sollicité.
• Examiner avec attention tout message se présentant comme provenant de Renfe, surtout s’il évoque un voyage, une réservation, une annulation ou une compensation financière.
• Vérifier systématiquement les demandes de données en passant par les canaux officiels de l’opérateur (site ou application) plutôt que par un lien reçu.
• Changer sans tarder le mot de passe de son compte Renfe, en choisissant une clé unique et plus robuste.
• Modifier également ce mot de passe sur les autres services où la même combinaison pourrait être utilisée.
• Surveiller ses comptes pour détecter toute activité inhabituelle et, en cas d’anomalie, alerter l’organisme concerné.

Ce que cela signifie pour les voyageurs français

De nombreux Français utilisent Renfe pour leurs déplacements en Espagne ou pour des liaisons transfrontalières. Les personnes ayant créé un compte ou acheté des billets via les plateformes de l’opérateur sont potentiellement concernées, même si elles résident en France.

En pratique, un voyageur français ayant réservé un train en Espagne avec Renfe doit :

• changer son mot de passe Renfe, en particulier si le compte est ancien ou peu utilisé ;
• éviter absolument de réutiliser ce mot de passe sur des services sensibles comme la banque, les impôts ou la messagerie principale ;
• se méfier de tout e-mail, SMS ou appel affirmant venir de Renfe, même s’il mentionne un trajet réel, et passer par le site officiel pour vérifier l’information.

En France, les opérateurs de transport ferroviaire sont soumis aux mêmes grandes règles européennes en matière de protection des données (RGPD) et de notification des violations. En cas de fuite, ils sont tenus, comme Renfe en Espagne, de prévenir l’autorité de protection des données, l’équivalent de la Commission nationale de l’informatique et des libertés (CNIL), et d’informer les personnes concernées lorsque le risque est jugé significatif.

La situation en France : mêmes risques, même vigilance

Les principes de sécurité numérique restent similaires pour les clients de la SNCF ou d’autres opérateurs en France. Les comptes en ligne utilisés pour acheter des billets regroupent souvent des données personnelles, des historiques de voyages et des moyens de paiement enregistrés.

En cas d’incident touchant un service ferroviaire français, les risques seraient comparables à ceux évoqués par Renfe : tentatives de phishing sophistiquées, usurpations d’identité, exploitation d’itinéraires pour cibler des victimes ou repérer des périodes d’absence.

Les autorités françaises, via l’Agence nationale de la sécurité des systèmes d’information (ANSSI) pour la cybersécurité et la CNIL pour les données personnelles, jouent un rôle proche de celui des organismes espagnols saisis par Renfe. Elles peuvent être informées des attaques, accompagner les opérateurs et, le cas échéant, lancer des contrôles ou des sanctions.

Pourquoi la fuite de trajets et de billets est particulièrement sensible

La compromission de données de transport ne se limite pas à une simple atteinte à la confidentialité. Les informations sur les déplacements permettent de dresser un portrait précis des habitudes d’une personne : villes fréquentées, périodes d’absence, trajets domicile-travail, rythme de vie.

Un cybercriminel qui associe ces données à un e-mail, un numéro de téléphone ou un document d’identité peut mener des attaques ciblées bien plus crédibles. Par exemple, un message signalant un problème sur un trajet effectivement réalisé, ou annonçant un remboursement après un retard, aura davantage de chances d’être ouvert et de pousser la victime à cliquer sur un lien piégé.

La recommandation de Renfe de changer son mot de passe et de ne jamais le réutiliser sur d’autres sites s’inscrit dans une logique plus large d’hygiène numérique. Les fuites massives de données se multiplient, et les attaquants recoupent fréquemment les informations entre plusieurs incidents pour renforcer l’efficacité de leurs escroqueries.

Hélène Vasseur

Lecture rapide : rédactrice en chef d’Eurotel, ancienne de l’hôtellerie, spécialiste des hôtels de caractère et des city-trips.

Hélène Vasseur a passé près de quinze ans dans l’hôtellerie avant de se consacrer à l’écriture. De la réception d’un palace lyonnais à la direction d’une maison d’hôtes, elle a appris à lire un hôtel de l’intérieur : ce qui fait une vraie adresse, et ce qui relève du décor.

Rédactrice en chef d’Eurotel, elle coordonne la ligne éditoriale et arpente l’Europe à la recherche d’hôtels de caractère et de destinations à raconter autrement. Sa conviction : on voyage mieux quand on comprend les lieux, pas seulement quand on les coche. Elle garde un faible pour les vieilles villes d’Europe centrale et les petits-déjeuners qui s’éternisent.