Renfe, la compagnie ferroviaire espagnole qui exploite également des trains en France, confirme une cyberattaque ayant potentiellement compromis les données personnelles de ses voyageurs. L’incident, survenu le 24 septembre 2026, pourrait concerner des informations d’identité, des historiques de voyages, des billets achetés et même des mots de passe protégés par chiffrement.
Les voyageurs français pourraient également être concernés. Depuis juillet 2023, Renfe commercialise des trajets à grande vitesse entre la France et l’Espagne, notamment depuis Lyon, Marseille, Montpellier, Nîmes ou Perpignan. L’entreprise ne précise toutefois pas si les données de clients français figurent parmi celles auxquelles les attaquants ont pu accéder.
Renfe est l’opérateur ferroviaire public espagnol. Au-delà de ses services nationaux, la compagnie exploite des trains AVE internationaux reliant notamment Barcelone à Lyon et Madrid à Marseille, et commercialise également des trajets entre plusieurs villes françaises.
Un accès non autorisé détecté le 24 septembre 2026
Dans une notification officielle publiée en français, Renfe Viajeros reconnaît qu’un tiers non autorisé a accédé à certains systèmes informatiques de l’entreprise le 24 septembre 2026.
L’intrusion a été détectée grâce aux outils internes de surveillance. Les premières investigations indiquent que les systèmes concernés étaient notamment liés aux processus de vente de billets de train.
Dans un premier communiqué publié le 25 septembre, Renfe évoquait principalement des noms et des adresses email potentiellement exposés. La compagnie avait alors indiqué ne disposer d’aucune preuve d’accès à des documents d’identité ou à d’autres informations particulièrement sensibles.
Mais les investigations ont ensuite conduit Renfe à élargir sensiblement le périmètre des données susceptibles d’avoir été compromises.
Pièces d’identité, billets, déplacements et mots de passe potentiellement compromis
La notification adressée aux personnes concernées évoque désormais plusieurs catégories d’informations :
- Les données d’identité et de contact des voyageurs ;
- Les numéros de documents d’identité, notamment DNI, NIE ou documents équivalents ;
- Les billets de train achetés et les informations de réservation ;
- Les trajets et voyages effectués ;
- Les identifiants de connexion et mots de passe, protégés par des mécanismes cryptographiques.
Renfe précise que les mots de passe ne sont pas directement lisibles. La compagnie reconnaît néanmoins qu’un mot de passe trop faible pourrait être découvert par des tentatives de cassage.
La présence de ces différentes catégories de données dans les informations effectivement récupérées n’est pas encore établie. L’entreprise poursuit ses investigations et ne communique aucun nombre précis de voyageurs concernés.
Pourquoi les voyageurs français pourraient être touchés
Cette cyberattaque ne concerne pas nécessairement uniquement les voyageurs espagnols. Renfe exploite et commercialise directement des services ferroviaires en France depuis 2023.
Ses trains AVE desservent notamment Lyon, Valence, Nîmes, Montpellier, Narbonne, Perpignan, Avignon, Aix-en-Provence et Marseille. Les voyageurs peuvent acheter leurs billets sur le site de Renfe, y compris pour des trajets internationaux ou réalisés en France.
Dans ces conditions, des résidents français ayant acheté des billets ou créé un compte Renfe pourraient figurer parmi les personnes concernées, si leurs informations étaient enregistrées dans les systèmes affectés.
La compagnie n’a cependant pas précisé si les systèmes de réservation de ses lignes françaises étaient concernés par l’intrusion. Il n’est donc pas possible de confirmer à ce stade qu’un voyageur français a effectivement subi une fuite de données.
Des historiques de déplacements exploitables pour des escroqueries ciblées
L’un des risques les plus préoccupants concerne les informations liées aux déplacements des voyageurs.
Un cybercriminel disposant du nom d’une personne, de ses coordonnées et de références à ses voyages pourrait élaborer des messages frauduleux particulièrement crédibles, en évoquant une réservation, un remboursement ou une indemnisation.
L’historique des trajets pourrait également révéler certaines habitudes de déplacement. Renfe reconnaît elle-même que ces informations pourraient permettre de reconstituer des profils ou des comportements de voyageurs.
La compagnie recommande aux utilisateurs de modifier leur mot de passe et de se méfier des sollicitations demandant des coordonnées bancaires ou des informations personnelles. Elle précise ne pas avoir connaissance, à ce stade, d’une utilisation frauduleuse des données liée à cet incident.
Renfe a signalé la cyberattaque aux autorités espagnoles
Renfe indique avoir rapidement engagé des mesures de confinement, renforcé la surveillance de ses systèmes et lancé une investigation technique pour déterminer l’origine et l’étendue de l’intrusion.
L’incident a été signalé aux autorités espagnoles compétentes, notamment à la Garde civile et à l’Agence espagnole de protection des données (AEPD).
Dans sa communication initiale, Renfe évoquait une possible origine de l’incident dans des serveurs précédemment compromis d’Adif, le gestionnaire des infrastructures ferroviaires espagnoles. Les investigations se poursuivent pour déterminer précisément les circonstances de l’accès non autorisé.
Le nombre de personnes touchées reste inconnu, tout comme la présence éventuelle de voyageurs français parmi les victimes. Compte tenu des activités de Renfe en France et du périmètre des systèmes de billetterie concernés, cette possibilité mérite toutefois une attention particulière.