Entre 2021 y 2026 el ferrocarril europeo ha acumulado ciberataques que han parado trenes en Dinamarca y Polonia, han bloqueado la venta de billetes en Alemania y han expuesto datos de viajeros en España e Italia. A la lista se suma, en julio de 2026, la extorsión al fabricante suizo Stadler Rail. Una sola operación tiene atribución gubernamental —la de Polonia, que Varsovia vinculó a Rusia «en cooperación con Bielorrusia»— y ninguna empresa ha publicado el coste del incidente.
Fabricantes y proveedores: el eslabón débil
Stadler Rail, uno de los mayores fabricantes europeos de trenes, tranvías y locomotoras, sufrió a mediados de julio de 2026 el robo de documentos técnicos de uno de sus proveedores. El acceso se hizo con credenciales comprometidas de una plataforma de intercambio de datos compartida con ese proveedor. El grupo Everest reclamó el ataque y exigió 10 millones de francos suizos (unos 12,3 millones de dólares). La empresa respondió: «Bajo ninguna circunstancia pagará Stadler un rescate y, por tanto, no puede ser extorsionada». Presentó denuncia; sus sistemas no quedaron comprometidos, la producción siguió operativa y, según su versión, no hubo datos personales relevantes ni impacto en los trenes en circulación. En 2020 ya había rechazado otra extorsión de unos 6 millones de dólares.
En Dinamarca el fallo llegó por otro proveedor: Supeo, que da software de gestión de activos al sector. Su incidente, con ransomware como hipótesis, dejó sin funcionar el programa de los maquinistas y paró los trenes de DSB durante horas en noviembre de 2022.
Operadores: de la radio en Polonia al DDoS en Alemania
El gestor polaco PKP PLK registró 28 intrusiones con éxito y 72 intentos en sistemas de información en los primeros ocho meses de 2023. La noche del 25 de agosto, una señal de «radiostop» activó el freno de emergencia de unos 20 trenes de mercancías y de viajeros, con el himno ruso y discursos de Vladímir Putin intercalados. El Servicio de Seguridad Interior (ABW) abrió una investigación; Stanisław Zaryn, de los servicios especiales, dijo: «De momento no descartamos nada». La etiqueta de «ciberataque» no es unánime: CISO #Poland sostiene que esos usos de la señal no superan el centenar largo de casos anuales que ya registra PKP PLK y que solo dispara el freno dentro del radio de la emisora. Los analistas de Cylus cifraron el equipo necesario en menos de 500 dólares.
En Alemania, un DDoS tumbó bahn.de y la aplicación DB Navigator el 17 y el 18 de febrero de 2026. La compañía habló de un ataque «dirigido específicamente contra DB», «en oleadas» y de «escala considerable»; la presidenta de la BSI, Claudia Plattner, lo describió en la WDR como «miles de millones de peticiones por minuto». No se tocaron el control de trenes ni los enclavamientos. El Ministerio del Interior consideró «muy pronto» para señalar autores, mientras Spiegel, Tagesspiegel y Cybernews apuntaron a grupos rusos. Aparte quedan los sabotajes físicos de 2025: un explosivo en un túnel y cables de catenaria cortados.
En España, Adif detectó actividad inusual en sus servidores en septiembre de 2026. Según Vozpópuli, la entrada fue un servidor del gestor y una interconexión con Renfe permitió el salto entre redes; lo sustraído «podría rondar los 500 gigabytes», con nombres y correos en el lado de la operadora y sin rastro de medios de pago ni DNI. En Italia, Trenitalia notificó el 26 de junio de 2026 el acceso a datos de billetes —itinerarios, contacto y fechas de nacimiento— sin contraseñas ni tarjetas. En ninguno de los dos hay atribución.
El Reino Unido aporta tres hitos: el ransomware LockBit contra Merseyrail en abril de 2021, el ataque a Northern Trains en julio de 2021 —las máquinas de billetes, que costaron 17 millones de libras instalar, quedaron fuera de servicio cerca de una semana— y la manipulación del Wi-Fi de 19 estaciones principales en septiembre de 2024, que llevó a Network Rail a suspender el servicio varios días.
Pérdidas: magnitudes conocidas, facturas sin publicar
Los daños cuantificados son magnitudes del incidente, no euros: 500 gigabytes en España, una veintena de trenes en Polonia, 10 millones de francos exigidos y no pagados en Suiza. La referencia sectorial es de ENISA: el ransomware pasó del 13 % de los incidentes del sector en 2021 al 25 % en 2022. La única estimación económica amplia es un escenario británico de corte de infraestructura de tres semanas, que sitúa el daño directo e indirecto en miles de millones de libras. ENISA advierte además de que no ha recibido información fiable sobre un ciberataque que afectara a la seguridad del transporte ferroviario.
Atacantes y motivaciones
Hay tres motivos. El político: colectivos prorrusos como NoName057(16) y KillNet usan el DDoS por su bajo coste y alta visibilidad, y Polonia, nudo de tránsito de armamento hacia Ucrania, encaja en una campaña de desestabilización. El económico: Everest, grupo rusohablante activo desde al menos 2020 y centrado en infraestructuras críticas —reclamó también un ataque al operador estatal sueco Svenska kraftnät—, y el ransomware que apuntó al proveedor danés. Y el robo de datos como materia prima para fraudes, patrón español e italiano. NIS2, transpuesta en Alemania en octubre de 2024, incluye a los fabricantes como «entidades importantes»: la cadena de suministro ya está en el perímetro regulatorio.
Cierre
Balance de incidentes frecuentes, daños operativos limitados y atribuciones escasas: ningún caso ha terminado con una cifra oficial de pérdidas ni con responsables condenados. Lo previsible es más de lo mismo —DDoS de escaparate, extorsiones a proveedores y filtraciones que se conocen tarde— y la misma pregunta abierta: quién paga el tren parado y el dato robado.
Fuentes
- https://therecord.media/stadler-refuses-everest-ransom-demand
- https://www.swissinfo.ch/eng/various/stadler-hit-by-a-cyberattack-10-million-demanded-as-ransom/91777189
- https://www.microsec.io/posts/attack-on-denmarks-trains-highlights-the-risks-to-ot-systems
- https://www.bbc.com/news/world-europe-66630260
- https://industrialcyber.co/transport/cyber-hackers-target-polish-rail-network-cause-operational-disruptions/
- https://www.dw.com/en/deutsche-bahn-says-cyberattack-hit-ticket-and-info-systems/a-76024130
- https://www.securityweek.com/german-rail-giant-deutsche-bahn-hit-by-large-scale-ddos-attack/
- https://aifence.de/news/deutsche-bahn-ddos-angriff-2026-russland/
- https://www.vozpopuli.com/economia/transporte/adif-y-renfe-sufren-un-ciberataque-con-ia-y-advierten-del-robo-de-datos-de-sus-sistemas.html
- https://itdef.net/en/learn/trenitalia-data-breach-2026
- https://news.railbusinessdaily.com/the-future-of-rail-cybersecurity-the-evolving-cyber-threat-landscape-in-rail/
- https://industrialcyber.co/features/rail-cybersecurity-must-be-bolstered-against-ransomware-attacks-it-ot-integration-geopolitical-tensions/