¿Cuántos ataques informáticos sufre España cada día?

España vive bajo cientos de incidentes digitales al día y miles de ciberdelitos al mes: así se mueven el fraude, el phishing y el ransomware.

Con los últimos balances anuales consolidados sobre la mesa, España soporta una presión digital constante que ya no cabe en la vieja idea del “gran hackeo” aislado. Los datos más sólidos sitúan el volumen en 97.348 incidentes de ciberseguridad gestionados en un año, lo que equivale a unos 267 al día, cerca de 1.870 a la semana y más de 8.100 al mes. Si la medida se amplía y se mira el terreno penal, el de los ciberdelitos registrados por Interior, la fotografía se dispara: 464.801 hechos conocidos en un año, alrededor de 1.273 al día, casi 8.940 a la semana y más de 38.700 al mes. España, dicho sin dramatismo de escaparate pero sin rebajar un milímetro el problema, vive bajo un goteo permanente de ataques, fraudes e intrusiones.

La cifra exacta cambia según qué se esté contando. No es lo mismo un incidente de ciberseguridad que un ciberdelito denunciado o detectado por las autoridades. Tampoco es lo mismo un correo fraudulento bloqueado a tiempo que un ransomware que paraliza una empresa, ni una suplantación de identidad que se queda en tentativa que un fraude consumado con dinero volando de cuenta en cuenta. Por eso la pregunta sobre cuántos ataques sufre España no admite una respuesta simple ni una cifra mágica que sirva para todo. La respuesta seria es otra: España recibe cientos de incidentes cada día y miles de delitos digitales cada semana, y una parte nada despreciable ni siquiera entra en el recuento público porque no se detecta, no se denuncia o se resuelve en silencio.

Dos contadores que no dicen exactamente lo mismo

El primer error habitual consiste en mezclar estadísticas que nacen para cosas distintas. Los 97.348 incidentes corresponden al trabajo de gestión y respuesta ante problemas de ciberseguridad. Ahí caben desde malware, phishing e intrusiones hasta webs fraudulentas, campañas maliciosas o vulnerabilidades que se detectan antes de convertirse en un incendio total. Es una cifra durísima porque refleja actividad real, volumen real y desgaste real. No habla solo de amenazas teóricas, habla de episodios que alguien ha tenido que atender, contener o analizar. Y además deja un detalle importante: de ese total, 65.808 incidentes afectaron a ciudadanos y 31.540 a empresas, incluidas pymes, micropymes y autónomos. El relato de que esto va solo de ministerios, IBEX 35 y hackers con presupuesto de Estado hace tiempo que no se sostiene.

El segundo contador, el de los 464.801 ciberdelitos, es todavía más contundente porque muestra lo que ya ha entrado en la órbita penal o policial. Dentro de esa masa, el bloque dominante es el de las estafas informáticas, que superan con mucha distancia al resto. Es decir, la cibercriminalidad en España no se parece tanto a una película de sabotaje industrial permanente como a una economía del engaño muy afinada, muy insistente y muy rentable. Menos teclado verde de cine, más mensaje de paquetería, más correo que imita al banco, más llamada que suplanta a una operadora, más web clonada y más pago desviado por un correo supuestamente legítimo. El cibercrimen español, visto de cerca, tiene bastante de estafa vieja con ropa nueva.

A partir de ahí aparece una tercera cifra, menos vistosa pero muy reveladora: los 183.851 sistemas vulnerables detectados. No son ataques cerrados ni delitos ya consumados, pero sí indican algo igual de incómodo. España tiene una superficie de exposición enorme, con máquinas, servicios, accesos y configuraciones que pueden servir de puerta de entrada. A veces no ha ocurrido todavía el golpe; simplemente está el escaparate sin persiana. Ese dato importa porque recuerda que la estadística no solo cuenta lo que explota, también insinúa lo que está esperando turno.

El tramo oscuro entre sufrirlo y denunciarlo

La parte más opaca del problema empieza justo donde terminan las cifras oficiales. No todo se denuncia. No todo se comunica. No todo se reconoce públicamente. Y no hace falta ponerse conspiranoico para entenderlo. Muchas organizaciones detectan un incidente y tratan de apagarlo por dentro antes de que trascienda. Otras ni siquiera saben durante días, semanas o meses que han sido comprometidas. Algunas prefieren describir lo ocurrido como una “incidencia técnica”, una “caída del sistema” o una “anomalía operativa” mientras consultan con abogados, proveedores, aseguradoras y equipos externos. El resultado es un paisaje estadístico serio, sí, pero inevitablemente incompleto.

En materia de brechas de datos personales, las obligaciones de notificación existen y son claras cuando hay riesgo para los afectados. Eso empuja a que parte de los casos termine aflorando ante la autoridad competente. Pero una cosa es la notificación regulatoria y otra muy distinta la exposición pública completa del incidente. La primera puede producirse dentro del marco legal; la segunda se mide con el miedo reputacional, el tamaño del daño, la presión contractual y la estrategia de crisis. Ahí se explica una parte del silencio. La otra parte es más áspera: muchas empresas temen perder clientes, valor, credibilidad o contratos si se sabe que han sido atacadas. En sectores muy competitivos, el secreto se vuelve casi tan importante como la recuperación técnica.

Ese tramo oscuro entre sufrirlo y contarlo es, precisamente, el lugar donde mejor prospera el crimen digital. No hay una cifra oficial cerrada que permita afirmar cuántas compañías pagan y callan. Sería irresponsable inventarla. Lo que sí se sabe, por la experiencia acumulada del sector y por los informes europeos y nacionales, es que el subregistro existe, que la opacidad sigue siendo alta y que en el caso del ransomware muchas decisiones se toman en un margen de discreción enorme. A veces por prudencia jurídica. A veces por puro pánico. Y a veces porque nadie quiere pasar a la historia reciente de su sector como la empresa que dejó a media plantilla parada y a miles de clientes en vilo.

Los ataques que más se repiten en España

Cuando se baja al detalle, el patrón español se ve con bastante nitidez. El tipo de incidente más numeroso es el malware, con 42.136 casos gestionados en el último gran balance anual conocido. Ese cajón incluye virus, troyanos, programas espía, herramientas para robar credenciales y piezas diseñadas para preparar ataques posteriores. No todo el malware monta un espectáculo visible. Mucho funciona como una gotera lenta: entra, observa, roba, se mueve lateralmente, prepara el terreno y espera. En muchas intrusiones, el problema serio no es el primer archivo malicioso sino el tiempo que permanece dentro sin ser detectado.

El segundo gran bloque es el fraude online, que supera los 38.000 incidentes y concentra una parte central del daño cotidiano. Dentro de él manda el phishing, con 21.571 casos, seguido por otras variantes del engaño digital que aprovechan marcas conocidas, urgencias falsas y hábitos perfectamente reconocibles. El objetivo no siempre es “hackear” en el sentido que usa la calle. Muchas veces basta con conseguir una clave, interceptar un pago, clonar una identidad o convencer a una persona de que haga el trabajo sucio por el delincuente. Esa es una de las grandes verdades del cibercrimen contemporáneo: el eslabón más atacado no es el servidor, es la confianza.

También aparecen con fuerza las intrusiones e intentos de acceso no autorizado, con 7.470 casos, y las tiendas online fraudulentas, que superan las 2.100 incidencias. Son cifras que ayudan a desmontar otro tópico cómodo: el problema no está solo en los correos raros ni en los archivos sospechosos, también está en el comercio falso, en el portal convincente, en el anuncio que ofrece una ganga demasiado bonita para ser verdad y en la infraestructura criminal que sabe presentarse como negocio perfectamente normal. A ratos, el delito digital se parece más a un escaparate bien iluminado que a un ataque clásico.

El secuestro digital que más daño hace

El ransomware no es el ataque más numeroso en términos absolutos, pero sí uno de los más destructivos. En el recuento oficial aparece con 357 incidentes dentro del universo del malware, una cifra modesta frente al alud de phishing o de fraude masivo, aunque engañosa si se lee sin contexto. Porque el ransomware rara vez se mide solo por cantidad. Se mide por parálisis, por interrupción del negocio, por datos cifrados, por chantaje económico y, cada vez más, por doble extorsión: no solo se bloquea la información, también se amenaza con filtrarla.

Ese mecanismo resulta especialmente cruel en el tejido empresarial español, tan lleno de pymes, empresas familiares, proveedores medianos y compañías que no tienen grandes colchones para soportar varios días de producción detenida, facturación interrumpida o logística colapsada. Ahí entra en juego la pregunta más incómoda de todas: si una empresa queda de rodillas, paga o no paga. La recomendación técnica y policial es conocida: pagar no garantiza recuperar los datos, no asegura que la información robada desaparezca y, además, alimenta el negocio criminal. El problema es que la vida real no se parece a una circular perfecta. Cuando el sistema de gestión no arranca, las nóminas no salen y los clientes empiezan a llamar, el chantaje deja de ser una hipótesis ética y se convierte en una negociación bajo presión.

Por eso la afirmación de que muchas empresas pagan y se callan no puede darse como un dogma con cifra cerrada, pero tampoco puede despacharse como una leyenda urbana. Hay demasiados incentivos para el silencio: reputación, contratos, litigios potenciales, auditorías, miedo al castigo del mercado y simple instinto de supervivencia. La opacidad, en estos casos, no es una anécdota; forma parte del ecosistema delictivo. El atacante juega también con eso. Sabe que el daño público puede pesar tanto como el técnico.

El país perfecto para el fraude pequeño y el gran sabotaje

España reúne varias condiciones que explican por qué soporta tanto volumen de ataque. Tiene una economía enormemente digitalizada en las rutinas diarias, millones de operaciones bancarias en móvil, mucho comercio electrónico, un ecosistema de pagos instantáneos cada vez más extendido, un tejido turístico gigantesco, administraciones muy presentes en la vida cotidiana y una red empresarial donde abundan organizaciones con recursos limitados para blindarse. Traducido al lenguaje menos fino: hay muchísima actividad, muchísimas puertas y no siempre hay suficientes cerrojos.

Esa combinación favorece dos niveles de amenaza a la vez. Por un lado, el fraude masivo, que se alimenta de campañas de gran escala y de rutinas previsibles. Si media España espera paquetes, aparecerán mensajes que suplanten a empresas de reparto. Si media España usa banca online, proliferarán las campañas que imitan a entidades financieras. Si todo el mundo convive con notificaciones de la Administración, habrá correos y SMS que reproduzcan ese tono burocrático casi a la perfección. El ciberdelincuente no necesita inventar mundos nuevos; le basta con copiar lo que ya forma parte del día a día.

Por otro lado, España también resulta atractiva para ataques más serios contra infraestructuras esenciales y sectores especialmente sensibles. El balance oficial contabiliza 341 incidentes atendidos en operadores esenciales e importantes, con presencia en ámbitos como el financiero y tributario, las tecnologías de la información y la comunicación, el transporte, la energía o el agua. Son menos casos en volumen, pero con una gravedad potencial mucho mayor. Una estafa online duele. Un golpe serio contra un operador crítico cambia por completo la conversación, el tono político y la escala del riesgo.

La empresa atacada no siempre habla

Hay una imagen bastante ingenua, casi administrativa, según la cual una empresa sufre un ataque, activa protocolo, informa de forma impecable, denuncia, comunica con transparencia y restablece la actividad con orden casi escandinavo. A veces ocurre. Muchas veces no. Lo que suele haber es una fase confusa en la que se cruzan técnicos, dirección, asesores jurídicos, comunicación corporativa, aseguradoras y proveedores externos, mientras cada minuto cuenta y nadie quiere asumir más exposición de la necesaria. El resultado puede ser una respuesta correcta; también puede ser una cadena de silencios, medias verdades y mensajes deliberadamente blandos.

El motivo principal es económico y reputacional. Una intrusión grave amenaza ventas, continuidad operativa, imagen de marca, relaciones con clientes, cumplimiento normativo y confianza interna. En empresas cotizadas o especialmente visibles, además, aparece el miedo a la lectura del mercado. En compañías medianas y pequeñas, el golpe es incluso más áspero porque el margen financiero es menor y la dependencia de unos pocos sistemas puede ser absoluta. Una pyme sin ERP, sin acceso al correo, sin trazabilidad logística o sin facturación es una empresa con el reloj corriendo muy deprisa.

De ahí que la denuncia no siempre llegue, o llegue tarde, o llegue de manera parcial. Y de ahí también que no exista una equivalencia simple entre ataques sufridos y ataques conocidos públicamente. Ese desajuste atraviesa toda la estadística. No invalida los datos oficiales; al contrario, los vuelve más elocuentes. Si ya son altos con todo lo que queda fuera, la dimensión real del fenómeno es todavía más severa. No porque España sea un caso exótico, sino porque el crimen digital se ha convertido en una industria mundial con filiales invisibles por todas partes.

Cuando el engaño entra por el móvil y se hace pasar por rutina

El retrato más fiel del ciberataque corriente en España no es un experto encapuchado escribiendo líneas imposibles de código, sino un móvil vibrando. Ahí entran el smishing, el vishing, las falsas alertas bancarias, los avisos de paquetería, las supuestas multas, las llamadas que imitan a una operadora o a un servicio técnico y los mensajes que empujan a actuar con prisa. El éxito de estas campañas no depende tanto de una gran sofisticación técnica como de algo más sencillo y más peligroso: conocen muy bien los automatismos de la vida diaria. Nadie se sorprende ya de recibir una alerta, una verificación, una gestión pendiente. El fraude se cuela precisamente por esa familiaridad.

En el entorno empresarial, el equivalente a ese engaño cotidiano es la suplantación de identidad corporativa y el fraude BEC, el del correo que parece legítimo y pide cambiar una cuenta bancaria, mover un pago, revisar una factura o enviar documentación sensible. Son ataques que explotan el tono interno, la jerarquía, el estrés operativo y la costumbre. Si el delincuente acierta con el momento y con el lenguaje, no necesita forzar una cerradura: consigue que alguien le abra. Y ahí la inteligencia artificial empieza a jugar cada vez más a favor del atacante, afinando textos, corrigiendo errores, imitando estilos y elevando el nivel medio del engaño.

El CCN-CERT lleva tiempo advirtiendo sobre tendencias que ya no son futuristas, sino presentes: malware como servicio, auge de los infostealers, incremento de ataques contra móviles, explotación de vulnerabilidades de día cero y uso de IA para perfeccionar campañas. Todo eso significa algo muy concreto. Delinquir se ha abaratado, el acceso a herramientas se ha democratizado y la sofisticación mínima exigida para poner en marcha ciertos fraudes ha bajado. El crimen digital, en algunos segmentos, se ha “normalizado” como un mercado con sus proveedores, sus kits, sus manuales y sus clientes.

El contador nunca se pone a cero

La pregunta por cuántos ataques sufre España al día acaba llevando a una respuesta que incomoda por sencilla: demasiados para seguir tratándolos como excepciones. Si se habla de incidentes gestionados, la media ronda los 267 diarios. Si se habla de ciberdelitos conocidos por las autoridades, la cifra sube a 1.273 al día. Si se añadiera lo no detectado, lo no denunciado y lo resuelto en la penumbra, el número real sería con casi total seguridad bastante mayor. Y no, no se trata solo de un problema de grandes corporaciones o de organismos públicos. Afecta a ciudadanos, pequeños negocios, servicios críticos y empresas medianas que sostienen trozos enteros de la economía sin salir en portada.

El dato más duro, en el fondo, no es una sola cifra. Es la continuidad. El ciberataque en España ya no aparece como un suceso raro que irrumpe una vez al año; funciona como un ruido de fondo permanente. A ratos adopta forma de timo bancario, a ratos de secuestro de sistemas, a ratos de robo de identidad, a ratos de intrusión silenciosa. Cambia la técnica, cambia el disfraz, cambia la víctima. Lo que no cambia es la persistencia. Por eso cualquier retrato serio del fenómeno tiene que asumir dos verdades al mismo tiempo: que los datos oficiales son muy altos y que, aun así, siguen contando menos de todo lo que realmente pasa.

Eso explica también por qué el debate sobre ciberataques en España no puede limitarse a un puñado de nombres ruidosos ni a la fascinación por el caso más espectacular del mes. El problema real está en la suma de lo masivo y lo invisible. En el phishing que roba credenciales sin hacer ruido. En la pyme que paga para volver a funcionar y no lo proclama. En la web falsa que opera unos días y desaparece. En la llamada que suplanta a una entidad conocida. En el malware que se instala, observa y espera. España no vive una temporada de sustos digitales; vive una normalidad nueva, áspera, insistente, en la que el contador no se detiene y el crimen online ha encontrado un terreno fértil, rentable y, demasiadas veces, silencioso.