¿Por qué bajan los ciberdelitos si los ataques se disparan?

España reduce un 1,6% los ciberdelitos en 2024, pero incidentes en operadores esenciales se duplican; cifras clave, sectores en riesgo y NIS2

La foto es menos tranquilizadora de lo que sugiere el titular. En 2024, las fuerzas y cuerpos de seguridad registraron 464.801 ciberdelitos en España, un 1,6 % menos que el año anterior: primer descenso desde que la estadística tomó vuelo en la última década. El volumen sigue siendo descomunal y concentrado: casi nueve de cada diez delitos (412.850) fueron fraudes informáticos, el delito-rey de nuestra vida digital. Hubo 350.795 víctimas reconocidas —con ligera mayoría de hombres— y 19.322 personas detenidas o investigadas, un 14 % más. El dato que descoloca es otro: mientras los casos denunciados caen, los ciberincidentes en operadores esenciales se dispararon hasta 160 en 2024, casi el doble que en 2023. El riesgo sistémico crece aunque el fraude masivo afloje medio paso.

No hay contradicción, hay dos curvas que conviven. La criminalidad “de volumen” —phishing, smishing, vishing y estafas en comercio electrónico— se ha hecho más conocida y mejor detectada por bancos, plataformas y policía. Pero la presión sobre los sectores críticos —Transporte (37,5 % de los ataques), Sistema Financiero y Tributario (17,5 %) y Energía (14,4 %)— sube con fuerza. El 40,6 % de esos incidentes buscó degradar o tumbar servicios (ataques de disponibilidad); el 38,7 %, comprometer información sensible. Traducido a lo cotidiano: menos SMS trampa caen en saco roto, sí, pero más adversarios tantean la resistencia de lo que no puede pararse.

Radiografía del 2024: volumen, víctimas y geografía

El Ministerio del Interior ha puesto números a un año de dientes apretados. 464.801 hechos conocidos, 412.850 fraudes informáticos y un mosaico donde bajan las estafas un 3,5 % y también los ciberdelitos sexuales un 7 %. Suben, en cambio, las falsificaciones realizadas por Internet hasta 19.492 casos (+28,7 %), los delitos de acceso e interceptación ilícita (+32 %), amenazas y coacciones (+1,5 %), interferencias de datos y en sistemas (+10 %) y, con salto llamativo, los delitos contra la propiedad industrial e intelectual (+94 %). La categoría estrella sigue siendo el fraude en todas sus variantes: un territorio de ingeniería social, webs clonadas, dominios casi idénticos y pasarelas de pago esquilmadas que hace caja a base de pequeñas mordidas. El negocio no necesita proezas técnicas; necesita escala y prisa.

El perfil del ciberdelincuente mayoritario no sorprende a los equipos de investigación: hombre (72 %), entre 18 y 25 años (23,6 %) y español (76,2 %). Hoy el delito digital ya no es un underground remoto, sino una economía sumergida que combina cantera local y mercados globales de herramientas ilícitas. En el otro lado, la cibervíctima típica tiene entre 26 y 40 años y cae, sobre todo, en fraudes informáticos que inciden en lo de siempre: tarjetas de crédito o débito y cheques de viaje. 148.292 personas sufrieron esta modalidad en 2024. La cifra impresiona porque ancla el problema al bolsillo doméstico y a la caja del pequeño comercio.

La geografía del delito apunta a densidad y actividad económica. Comunidad de Madrid (73.477 casos), provincia de Barcelona (55.965) y provincia de València (24.461) aglutinan un 33 % del total de ciberdelitos conocidos por Policía Nacional, Guardia Civil, Policía Foral de Navarra, Ertzaintza, Mossos d’Esquadra y los distintos cuerpos de policía local. No se trata solo de población: hay mayor cultura de denuncia y unidades especializadas que trabajan muy cerca de las áreas de mayor transacción digital. El mapa, de todas formas, es nacional. La estafa omnicanal —correo, SMS, llamadas, mensajería— no entiende de códigos postales.

El calendario del engaño: picos tras las compras, valles de verano

La estadística mensual dibuja una cadencia reconocible. Enero lidera con 48.585 hechos, un pico que casa con la resaca de compras navideñas, devoluciones, tarjetas moviéndose más de la cuenta y nervios con los plazos de entrega. Octubre (41.636) y noviembre (39.886) forman el segundo escalón: el efecto Black Friday extiende semanas de ofertas y tráfico digital elevado que los delincuentes aprovechan con mensajes urgentes, supuestos reembolsos o paquetes “retenidos por dirección incompleta”. Agosto, con 34.318 casos, es el valle clásico: menos actividad comercial, menos exposición y también —curioso— más desconfianza inducida por el simple hecho de estar a otra cosa. El “clic cansado” de los meses de consumo es, tantas veces, el peor aliado.

Fraude informático: la fábrica del dinero fácil

Hay una fábrica global —descentralizada, barata, eficaz— que produce phishing a escala, empaqueta kits de suplantación con logotipos listos para usar y alimenta canales de distribución de números de teléfono, bases de datos y plantillas de correo. La calidad media de esos cebos ha subido, aunque no haga falta. Basta con que un 1 % de quienes reciben un SMS de “su banco” pinche y facilite una credencial para que la operación sea rentable. El modus operandi no es nuevo: una web clonada, una pasarela que recoge números de tarjeta, CVV, a veces códigos de un solo uso y una muleto —cuenta intermedia— que recibe fondos fragmentados antes de difuminarse. Cuando el fraude alcanza la pantalla del servicio de atención al cliente, hay scripts predefinidos que empujan a la víctima a “verificar su identidad” leyendo códigos. El guion, si se deja correr, termina con una transferencia o con la compra que nunca se hizo.

148.292 víctimas por estafas con tarjetas no es una cifra residual. En esa estadística confluyen clientes de banca, compradores online y comercios que lidian con contracargos, devoluciones y protocolos de seguridad. La mejora en detección de operaciones inusuales por parte de entidades y procesadores ha contenido parte de la sangría, pero también ha desplazado a los delincuentes hacia llamadas telefónicas (vishing) más elaboradas que intentan sortear autenticaciones multifactor. Saber que el banco jamás pide códigos por teléfono no siempre basta cuando el fraude copia la cadencia de una conversación legítima y añade el aderezo de urgencia: “si no lo validamos en dos minutos, bloqueamos la cuenta”. El miedo a quedarse fuera de la propia banca móvil abre puertas.

A medida que los bancos endurecen MFA, los atacantes prueban aplicaciones puente o troyanos de acceso remoto que el usuario instala de buena fe tras seguir un enlace “de soporte técnico”. Con ese acceso, la sesión de banca se secuestra y el fraude se orquesta desde el dispositivo. No hace falta un 0-day, sino convencer a alguien cansado de que lo haga por sí mismo. La seguridad perfecta no existe; la higiene digital reduce superficies de ataque, baja la temperatura y hace perder dinero a quien vive de intentarlo mil veces para que funcione diez.

Tarjetas y banca: donde aprietan las cifras

El detalle de 2024 enseña más eficacia policial —+6,4 % de casos esclarecidos— y más detenciones o investigados (19.322, +14 %). La coordinación entre Policía Nacional, Guardia Civil y policías autonómicas ha madurado, la colaboración bancaria es más fluida y la trazabilidad del dinero —cuando no pasa por mezcladoras o redes muy profesionalizadas— permite revertir parte de las pérdidas si el aviso es rápido. No es una panacea, pero sí una fotografía distinta a la de hace cinco años. Se nota también un cierto agotamiento del público ante los anzuelos más groseros: los correos repletos de faltas o los SMS con enlaces acortados pierden eficacia. El problema, claro, es que el mercado criminal responde con imitaciones muy verosímiles —dominios con una letra añadida, HTTPS impecable, diseño clon— y el listón vuelve a subir.

Operadores esenciales: cuando el problema ya no es solo un SMS

El salto del 97,5 % en ciberincidentes críticos —160 en 2024— es la parte de la foto que obliga a dejar de mirar únicamente el dato de denuncias. Esta métrica, centrada en operadores esenciales, no mide estafas a particulares sino ataques contra servicios que, si fallan, paralizan una pieza de la vida diaria: estaciones, aeropuertos, logística, ventanillas tributarias, cajeros, mercados energéticos. Cuatro de cada diez incidentes buscó la indisponibilidad (degradar, saturar, parar), y casi otra mitad fue compromiso de información (entrar, moverse lateralmente, exfiltrar). A la cola, fraudes e intrusiones que no encajaban en esas dos grandes familias.

Hay un elemento estructural: la cadena de suministro. Muchos de esos ataques no llegan a la empresa “grande” por la puerta principal, sino por un proveedor de software, un servicio de mantenimiento, una cuenta con privilegios que no saltó a MFA a tiempo o un entorno de pruebas conectado de forma indecorosa con producción. En 2024, los SOC corporativos han mejorado visibilidad y telemetría; se segmenta más y hay copias offline con pruebas periódicas. Aun así, cada mes aparece una brecha lateral: un sistema heredado que no se inventarió, una contraseña expuesta que no rotó, un túnel mal cerrado. La resiliencia no es el papel, es la práctica.

Transporte, finanzas y energía: líneas de frente

Transporte concentra el 37,5 % de los incidentes críticos detectados. No todos trascienden, y no todos interrumpen servicio, pero el patrón es claro: el ecosistema logístico —desde la planificación de rotaciones hasta las plataformas de venta de billetes— es un objetivo porque sus penalizaciones de indisponibilidad son inmediatas. Sistema Financiero y Tributario suma 17,5 %. Ahí el incentivo es doble: parar operaciones o hacer palanca para obtener datos que abren puertas más tarde. En Energía (14,4 %), la misión es tensión pura: cualquier degradación se lee como riesgo para la continuidad. La lectura compartida entre sectores es que la extorsión —con o sin cifrado— convive con campañas de presión que combinan denegación de servicio con filtraciones parciales para precipitar decisiones. No siempre se pide dinero; a veces se prueba simplemente la resistencia del sistema o se intenta ganar presencia para movimientos posteriores.

Respuesta pública y reglas del juego

La Policía Nacional y la Guardia Civil han reforzado en los últimos años sus unidades de delitos tecnológicos, con despliegue territorial y trabajo coordinado con Mossos d’Esquadra, Ertzaintza, Policía Foral y policías locales. Las cifras de 2024 —más casos esclarecidos, más detenidos— hablan de ese músculo. En paralelo, el ecosistema institucional —INCIBE, CCN-CERT, Centro Nacional para la Protección de Infraestructuras y Ciberseguridad y los CERT sectoriales— ha consolidado canales de alerta temprana, respuestas coordinadas y campañas de prevención. Se cuida el detalle aparentemente menor: guías sobre suplantaciones bancarias, avisos sobre falsos servicios de paquetería, simulacros con ayuntamientos y organismos que, en demasiadas ocasiones, han aprendido la lección tarde.

En el frente regulatorio, la Directiva NIS2 —que amplía y endurece obligaciones de ciberresiliencia— ha marcado el ritmo de 2025. El Gobierno aprobó en enero de 2025 un anteproyecto para su trasposición y el despliegue sigue en curso. El esquema que se dibuja es conocido por el sector: categorías de entidades esenciales e importantes, gestión de riesgos obligatoria, responsables claros de seguridad, plazos estrictos de notificación de incidentes y régimen sancionador más contundente. No es un asunto de compliance con firma y olvido; para muchas pymes —el 98,8 % del tejido empresarial— implica inventariar activos, segmentar redes, implantar MFA, practicar restauraciones y ordenar la relación con proveedores. La gobernanza de la ciberseguridad ya no es un anexo técnico: forma parte de la continuidad de negocio.

Qué cambia de verdad para empresas y administraciones

Lo primero es la velocidad. NIS2 y las guías nacionales empujan a notificar incidentes con un horizonte corto, a veces de 24 horas, para que la inteligencia colectiva juegue a favor: si un proveedor ha sido comprometido y distribuye una actualización maliciosa, hay que cortar en minutos, no en semanas. Lo segundo es la trazabilidad: quién decide, con qué criterios, cómo se documenta y cómo se comunica hacia fuera para no convertir un incidente en crisis de confianza. El tercero es probarse. Los ejercicios de mesa con direcciones y equipos de TI, las pruebas reales de restauración y la rotación de credenciales privilegiadas evitan el clásico “teníamos copia, pero no arranca”. Nada es glamuroso: es rutina. Pero es lo que separa volver a operar el lunes de improvisar hasta el jueves.

En ayuntamientos y organismos con menos músculo, el enfoque cambia vidas: copias desconectadas, segmentación mínima, parches programados y un protocolo básico para cortar accesos cuando salta la alarma. Un consistorio sin plan de continuidad paga doble: por recuperar y por la factura política de una sede electrónica inactiva. El 2024 ha dejado suficientes avisos para no mirar hacia otra parte.

Menos denuncias, más riesgo sistémico: cómo conviven las dos curvas

Volvamos a las cifras para no perdernos en abstracciones. Los ciberdelitos conocidos bajan un 1,6 % tras años de subida. Las estafas, que son casi el 90 % del total, se reducen un 3,5 %. Los delitos sexuales en el entorno digital caen un 7 %. Hay más detenidos y más casos esclarecidos (+6,4 %). La otra curva describe un escenario distinto: los incidentes críticos en operadores esenciales se casi duplican hasta 160, con ataques de disponibilidad (40,6 %) y compromisos de información (38,7 %) como técnicas predominantes, y Transporte, Sistema Financiero y Tributario y Energía como sectores más tocados. Ambas fotografías son reales. Juntas explican por qué la sensación de “no hay tregua” convive con mejoras objetivas en detección y respuesta.

La tensión entre fraude masivo y riesgo sistémico marca la agenda. El fraude erosiona ahorros y cuenta de resultados, alimenta mercados de datos robados y mantiene ocupadas a unidades policiales y servicios antifraude. El riesgo sistémico, en cambio, examina la capacidad del país para mantener en marcha el transporte, los pagos, los servicios públicos y el suministro. Cuando el adversario sabe que parar un servicio duele más que robar cien contraseñas, cambia de objetivo. Y cuando el mercado negro ofrece ransomware como servicio, infraestructura de bots y kits de intrusión a la carta, el salto de escala está a un paso.

Policía Nacional, Guardia Civil, Mossos, Ertzaintza, Policía Foral y cuerpos locales han demostrado que investigar y tirar del hilo da frutos, especialmente cuando las entidades financieras se mueven rápido para congelar fondos y colaborar en la trazabilidad. INCIBE multiplica campañas y recursos formativos, CCN-CERT fortalece la defensa en las administraciones, y los CERT sectoriales consolidan un sistema de avisos que evita que un problema individual se convierta en una epidemia silenciosa. Falta, sin embargo, terminar de coser el marco regulatorio para que nadie pueda quedar fuera por falta de etiqueta o por tamaño. La homologación de estándares y la auditoría real no buscan castigar, sino alinear incentivos: al final, lo único que importa es seguir operando después de un domingo malo.

Hay una lectura más prosaica que asoma en el detalle mes a mes. El enero de 2024 mastica la hiperactividad navideña; octubre y noviembre son el corredor de descuentos y promociones; agosto baja revoluciones. La criminalidad oportunista mapea ese calendario igual que lo hace cualquier campaña comercial. Y, por cierto, el perfil del agresor —hombre joven, español— desmonta esa idea de que todo viene de fuera. Lo que llega de fuera existe y preocupa, claro; pero la economía delictiva local se ha profesionalizado, organiza redes de mulas, alquila herramientas y se reparte el trabajo como cualquier pyme. No hay exotismo, hay industria.

En la letra pequeña asoman las áreas que más crecen. Falsificaciones por Internet (+28,7 %), acceso e interceptación ilícita (+32 %) y propiedad industrial e intelectual (+94 %). Ahí se mezclan documentos falsos, identidades sintéticas, cuentas abiertas con credenciales prestadas y la intrusión que prepara el terreno para un chantaje o un robo selectivo de información. No todo termina en ransomware; muchas campañas buscan persistencia, movimientos laterales y exfiltración silenciosa. El incidente que no aparece en titulares es, tantas veces, el que deja una puerta abierta.

Un descenso que no despeja el tablero

2024 deja un respiro estadístico y un aviso. Descienden los ciberdelitos conocidos, mejora la eficacia policial, crece la experiencia social para esquivar los anzuelos de siempre. Al mismo tiempo, aumentan de forma notable los incidentes que ponen a prueba la continuidad de servicios esenciales. No es un asunto de o–o, sino de y–y. La protección del bolsillo y la defensa del sistema conviven en la misma mesa. La primera se acelera con rutinas ya interiorizadas por bancos, comercios y ciudadanos; la segunda exige que el marco NIS2 termine de aterrizar, que empresas y administraciones conviertan manuales en procesos y que la cooperación público-privada no dependa del estado de ánimo del día.

El país tiene capacidades —unidades especializadas, CERT, proveedores más maduros— y una fotografía precisa de por dónde muerde el delito. Tiene también un calendario conocido, un mercado criminal que se industrializa y sectores donde pararse unos minutos tiene coste. La salida no pasa por discursos grandilocuentes, sino por hacer los básicos siempre, probarlos a menudo y comunicarlos bien cuando algo falla. Ese es, a estas alturas, el único cortafuegos que no envejece al ritmo del próximo cebo.