Una ricostruzione pubblicata il 27 settembre 2026 attribuiva a una valutazione forense un perimetro più ampio per il caso Renfe: oltre a dati identificativi, sarebbero stati coinvolti anche record di biglietti nominativi. La stessa ricostruzione riferiva di circa 500 GB di dati e di più di 150 milioni di record.

Che cosa aveva dichiarato Renfe il 25 settembre

Nella sua dichiarazione del 25 settembre, Renfe descriveva le informazioni potenzialmente accessibili come limitate e composte soprattutto da nomi e indirizzi email. L’azienda diceva che l’indagine era ancora in corso e che, in quel momento, non aveva evidenze di accesso a numeri del DNI — il documento d’identità nazionale spagnolo — né a dati bancari, finanziari o di pagamento.

Renfe indicava inoltre che gli indizi tecnici puntavano a server di Adif già compromessi e interconnessi con i sistemi dell’operatore ferroviario.

Le categorie di dati e il divario tra le stime

Le categorie descritte nella ricostruzione successiva erano tre:

  • Circa 20 milioni di record con nomi e numeri del DNI.
  • Circa 20 milioni di record identificativi più completi, con nomi, cognomi, genere, telefono, email, DNI, data di nascita e indirizzo postale.
  • Circa 100 milioni di registrazioni di biglietti nominativi.

Le stime delle tre categorie sommano circa 140 milioni di record, mentre il totale complessivo riferito supera i 150 milioni.

I biglietti nominativi potrebbero collegare persone e viaggi

Le registrazioni associate a biglietti nominativi potrebbero collegare alcune persone ai loro viaggi. La ricostruzione presentava questa possibilità come un potenziale collegamento tra i dati identificativi e gli spostamenti.

Renfe aveva dichiarato che il servizio ferroviario era operativo

Renfe aveva dichiarato il 25 settembre che il servizio ferroviario restava operativo e garantito per i passeggeri.