Para: cualquier persona que haya comprado billetes o abonos ferroviarios italianos de Trenitalia, incluidos los turistas que reservaron un Frecciarossa u otro tren para un viaje a Italia, y quien haya recibido un mensaje de texto o correo electrónico sobre un «reembolso por retraso de tren».
Este artículo se basa en los avisos a clientes publicados por Trenitalia, en su guía sobre compensación por retrasos y en páginas oficiales del Garante italiano de protección de datos, de CERT-AGID y de la Policía Postal y de Comunicaciones italiana (Polizia Postale). No trata sobre técnicas de ataque.
Qué deben hacer hoy los viajeros
Considere sospechoso cualquier mensaje que mencione sus viajes y no abra sus enlaces
En su aviso, Trenitalia advierte de que, dado el tipo de datos implicados, puede recibir mensajes fraudulentos que hagan referencia a sus viajes, y pide a los clientes que extremen la precaución con los mensajes que soliciten datos personales o financieros o que contengan enlaces o archivos adjuntos inesperados.
Que una ruta o una fecha sean correctas no demuestra que un mensaje sea auténtico. Para comprobarlo, escriba usted mismo trenitalia.com en su navegador o abra la aplicación oficial y revise allí su reserva (nociones básicas en ¿Qué es el phishing?).
Reclame la compensación por retraso solo por canales oficiales
Según Trenitalia, la compensación por retrasos en trenes Frecce (alta velocidad) e Intercity se solicita en el plazo de un año desde el viaje mediante el formulario web o la función «Richiedi Indennizzo» de su sitio web, la aplicación de Trenitalia, las taquillas, la agencia de viajes que emitió el billete, el centro de llamadas o por correo postal.
En el caso de los billetes digitales regionales (Biglietto Digitale Regionale), la compensación que proceda se abona automáticamente a la tarjeta utilizada para la compra, sin necesidad de solicitud. En ninguna parte de esa guía un reembolso funciona haciendo clic en un enlace e introduciendo datos de tarjeta.
Nunca facilite contraseñas ni números de tarjeta, sea quien sea quien lo pida
Trenitalia afirma que nunca se pondrá en contacto con usted para pedirle contraseñas o datos de pago. El Garante italiano de protección de datos también aconseja no responder nunca a mensajes que pidan su código fiscal (codice fiscale), PIN, número de tarjeta, código de seguridad de la tarjeta o contraseñas de un solo uso.
Si introdujo datos de tarjeta, llame de inmediato a su entidad emisora
El Garante aconseja que, si pudo haber facilitado datos bancarios o de tarjeta en una estafa por SMS, contacte de inmediato con su banco o entidad emisora a través de canales conocidos y de confianza para informar del caso y bloquear las operaciones, y denuncie ante la policía si le han sacado dinero.
Revisar los extractos con frecuencia y activar las alertas de transacciones le ayudará a detectar problemas antes. Para una tarjeta emitida fuera de Italia, llame al número que figura en el reverso de la tarjeta.
Contacte con Trenitalia solo a través del formulario indicado en su aviso
Trenitalia ha habilitado un canal de atención específico: su formulario web de reclamaciones y sugerencias (reclami-e-suggerimenti.trenitalia.com), opción «Privacy – Gestione dei dati personali», introduciendo el código de referencia del aviso. Para atención telefónica, utilice el número del centro de llamadas que figura en la web de Trenitalia, nunca un número facilitado en un mensaje.
Denuncie los mensajes sospechosos
La Policía Postal y de Comunicaciones italiana (Polizia Postale) acepta denuncias de phishing a través del formulario «Segnala online» de commissariatodips.it (en caso de emergencia, llame al 112 o al 113). Fuera de Italia, utilice el canal de denuncia de su propio país; en Japón, por ejemplo, el Council of Anti-Phishing Japan recibe denuncias (adjunte una captura de pantalla en el caso de los mensajes de texto).
Trayecto, fecha, hora, número de billete
+ correo electrónico y número de teléfono
↓→
«Su tren del día 12 se retrasó: reclame su reembolso»
→ No abra el enlace; abra la aplicación o trenitalia.com por su cuenta
Nombre, fecha y lugar de nacimiento
(código fiscal en uno de los avisos)
↓→
Una llamada que le «verifica» con su fecha de nacimiento real
→ Conocer su fecha de nacimiento no hace que sea auténtica. Cuelgue y llame a la línea oficial
Código de tarjeta de fidelización, empresa empleadora
(solo en billetes que los tuvieran)
↓→
«Sus puntos caducan» / «confirme su tarifa corporativa»
→ Consulte los puntos en la aplicación oficial; nunca introduzca datos de tarjeta
No incluido (según Trenitalia): datos de acceso, contraseñas, número de tarjeta, fecha de caducidad, código de seguridad
Qué ocurrió (según los avisos de Trenitalia)
Todo lo que figura a continuación es lo que indican los avisos a clientes publicados por Trenitalia en su web (una «comunicación de violación de datos personales» dirigida a las personas afectadas en virtud del artículo 34 del RGPD, el Reglamento General de Protección de Datos de la UE). Se han publicado tres versiones, según el billete:
- billetes vendidos solo por Trenitalia
- billetes con control conjunto con Trenitalia France
- billetes con control conjunto con el Consorzio Unico Campania, el organismo que gestiona los billetes compartidos UnicoCampania de la región de Campania
Fecha no revelada
Trenitalia detectó un incidente de ciberseguridad causado por terceros no identificados, que dio lugar a un acceso no autorizado a algunos datos personales vinculados a billetes de viaje. La compañía afirma que, al detectarlo, detuvo de inmediato la anomalía, aseguró sus sistemas y reforzó aún más sus controles.Periodo de análisis
Los equipos informáticos de Trenitalia realizaron un análisis técnico en profundidad para identificar con precisión a las personas potencialmente afectadas. La compañía indica que esto llevó tiempo porque hubo que reconstruir en detalle el acceso indebido, y que notificó a los clientes afectados una vez completado el trabajo.26 de junio de 2026
Según los avisos para billetes con control conjunto, fecha en la que Trenitalia comunicó este suceso a los clientes.Posteriormente
Trenitalia envió avisos en nombre propio y de Trenitalia France, y en nombre propio y del Consorzio Unico Campania, para los billetes con control conjunto. Ambos indican que se trata de «el mismo suceso» comunicado el 26 de junio.
- Identidad
- Nombre del pasajero, fecha de nacimiento y lugar de nacimiento; nombre del comprador si es distinto
- Contacto
- Dirección de correo electrónico, número de teléfono
- Itinerario
- Información vinculada al billete (por ejemplo, trayecto, fecha, hora, número de billete) y datos relacionados con la generación del billete
- Otros (avisos de Trenitalia y Trenitalia France)
- Código de tarjeta de fidelización vinculada al billete, empresa u organización empleadora, tipo de oferta o servicio vinculado al billete y datos necesarios para utilizarlo, datos del documento de identidad
- Aviso de UnicoCampania
- Enumera también el código fiscal (codice fiscale) y el sexo; no incluye empresa empleadora ni datos del documento de identidad
- No incluidos
- Datos de acceso a cuentas, credenciales personales e información de pago (número de tarjeta, fecha de caducidad, código de seguridad)
- Notificaciones
- Notificado a la autoridad italiana de protección de datos (Garante) y a CSIRT Italia (el equipo nacional de respuesta a incidentes cibernéticos de Italia); denuncia penal presentada ante la fiscalía del Tribunal de Roma
Cómo leer la lista: los datos varían según el tipo de billete y según si el sistema conservaba esos datos
Los avisos indican que las categorías se aplican solo cuando esos datos se conservaban en los sistemas de Trenitalia en relación con el billete. Una empresa empleadora, por ejemplo, se relaciona con billetes de empresa, y un código de tarjeta de fidelización solo con billetes que tenían una tarjeta vinculada.
De los tres avisos publicados, solo el de UnicoCampania incluye el código fiscal. Algunos medios combinan las categorías o indican fechas del incidente; este artículo utiliza únicamente lo que dicen los avisos de Trenitalia.
Un itinerario filtrado hace creíbles los mensajes falsos y revela cuándo no está en casa
Las filtraciones de nombres y direcciones de correo electrónico son habituales. Lo que cambia aquí es el itinerario. Saber cuándo, desde dónde, hacia dónde y en qué tren viajó alguien permite dos cosas.
Lo que permite una lista sin itinerarios
- «Hay un problema con su cuenta»
- «Sus puntos están a punto de caducar»
- Fácil de descartar si no coincide con nada que haya hecho
Lo que permite una lista con itinerarios
- «Su tren a Nápoles del día 3 se retrasó: reclame su reembolso»
- «El billete n.º X necesita un cambio para ser confirmado»
- Las personas que realmente tomaron ese tren son las más propensas a creerlo
En primer lugar, las estafas de reembolso resultan mucho más convincentes. En julio de 2026, CERT-AGID (el CERT de la agencia digital de Italia) informó de una campaña de SMS que usaba el nombre de Trenitalia y un falso reembolso por un tren retrasado para robar números de teléfono y datos de tarjetas de crédito.
No se ha publicado si esa campaña utilizó datos de esta filtración. Pero un mensaje con la ruta y la fecha correctas es mucho más difícil de dudar.
En segundo lugar, un punto que este sitio quiere añadir como opinión propia: un itinerario también es un registro de cuándo una persona está fuera de casa. El conocimiento de los planes de viaje podría usarse en mensajes como «sobre su casa mientras usted está fuera la próxima semana», en llamadas que dicen actuar en nombre de alguien en un viaje de negocios, o en mensajes a familiares mientras el viajero está en el extranjero.
La defensa es sencilla: nunca considere que conocer los planes de viaje de alguien es prueba de identidad o de fiabilidad. También conviene advertir a su familia: «aunque un mensaje conozca mi itinerario, no envíen dinero ni información hasta que hablen conmigo directamente».
Opinión de este sitio: conozca cómo funcionan los reembolsos legítimos y no tendrá que dudar de los falsos
Los consejos para detectar mensajes falsos (enlaces con faltas de ortografía, redacción extraña) dejan de servir a medida que los estafadores mejoran. Un enfoque más fiable es conocer de antemano el proceso legítimo.
Con Trenitalia, la compensación por retraso la solicita usted a través de su web, la aplicación o las taquillas, o, en el caso de los billetes digitales regionales, se abona automáticamente a la tarjeta con la que compró el billete. «Abra este enlace e introduzca el número de su tarjeta para recibir su reembolso» no encaja en ninguno de los dos casos, así que puede considerarlo falso sin leer nada más.
También hay una lección para las organizaciones que envían avisos de filtraciones: no incluya enlaces de acceso en el aviso y deje claro que los reembolsos y las compensaciones nunca requerirán datos de tarjeta. Así el cliente tiene una regla sencilla. El aviso de Trenitalia sí indica que nunca pedirá contraseñas ni datos de pago, lo cual va en esa dirección. La misma idea surgió en el caso francés en el que se filtró una lista de solicitantes de documentos de identidad (la filtración de France Titres (ANTS)).
Los mensajes falsos que usan datos de reservas de viajes también han sido un problema en el sector del alojamiento (la filtración de datos de Booking.com). Para otro caso europeo de este año, en el que usuarios con sesión iniciada del registro de empresas del Reino Unido podían ver datos no públicos de otras empresas, véase la vulnerabilidad de WebFiling de Companies House.
Fuentes (registro público)
Los hechos de este artículo proceden de las fuentes públicas que se indican a continuación. No se utilizan especulaciones de la cobertura mediática ni cifras, fechas o causas no publicadas oficialmente.
- Trenitalia, «Comunicazione di violazione dei dati personali ai sensi dell'art. 34 del Regolamento UE 679/2016» (billetes vendidos solo por Trenitalia) — trenitalia.com
- Trenitalia y Trenitalia France, mismo aviso (indica que es el suceso comunicado el 26 de junio) — trenitalia.com
- Trenitalia y Consorzio Unico Campania, mismo aviso (incluye código fiscal y sexo) — trenitalia.com
- Trenitalia, «Indennità per ritardo del treno» (compensación por retraso y cómo reclamarla) — trenitalia.com
- CERT-AGID, «Sintesi riepilogativa delle campagne malevole nella settimana del 4 – 10 luglio» (10 de julio de 2026) — cert-agid.gov.it
- Garante per la protezione dei dati personali, «Smishing: i suggerimenti del Garante» — garanteprivacy.it
- Polizia Postale, «Segnala online» — commissariatodips.it
- Council of Anti-Phishing Japan, denuncias de phishing (en japonés) — antiphishing.jp
Historial de actualizaciones
2026-09-30: Primera versión, basada en los tres avisos a clientes publicados por Trenitalia, en su guía sobre compensación por retraso, en el resumen semanal de CERT-AGID (10 de julio) y en las orientaciones del Garante y de la Policía Postal italiana. El número de personas afectadas, el momento en que se produjo o se detectó el incidente y la causa técnica no han sido publicados oficialmente; este artículo se actualizará si lo son.
Lectura recomendada
- Prepararse para mensajes falsos tras la filtración de una lista: La filtración de France Titres (ANTS) (Francia)
- Mensajes falsos que usan datos de reservas de viajes: La filtración de datos de Booking.com
- Otro caso europeo de este año: La vulnerabilidad de WebFiling de Companies House (Reino Unido)
- Detectar mensajes falsos: ¿Qué es el phishing? / Proteger los dispositivos durante los viajes: Cómo proteger un portátil que lleva consigo
- Otros incidentes de 2026: lista de filtraciones y ciberataques (Japón y en todo el mundo)