El cibercrimen crece: qué capacidad tiene España para frenarlo

España afronta un crecimiento claro de los delitos en línea, aunque eso no significa que el país sea hoy más peligroso en todos los sentidos. En 2024, el Instituto Nacional de Ciberseguridad gestionó más de 97.000 incidentes, un 16,6% más que el año anterior; cerca de dos tercios afectaron a ciudadanos y el resto a empresas. La cifra describe una presión creciente, pero no equivale por sí sola a un recuento de delitos denunciados ni mide todo el daño sufrido.

La preparación del país tampoco se resume en disponer de tecnología o de organismos especializados. Depende de que administraciones, empresas y usuarios puedan detectar una intrusión, limitar sus consecuencias y recuperar los sistemas sin dejar desprotegidas a las personas afectadas. España cuenta con instituciones dedicadas a esa respuesta y con un sector profesional especializado; a la vez, la dimensión del problema pone a prueba los hábitos cotidianos y los procesos internos, especialmente en pequeñas organizaciones.

Una criminalidad que cambia de forma, no una inseguridad uniforme

Las estadísticas generales ayudan a poner el auge digital en contexto. La tasa de criminalidad registrada en España fue de 4,94 infracciones por cada 100 habitantes en 2010; descendió durante varios años y volvió a subir a partir de 2017, con una interrupción durante la pandemia. En 2023 llegó a 5,13. Ese repunte, sin embargo, se explica por el crecimiento de las infracciones cometidas en línea, no por una subida equivalente de los delitos convencionales.

El cibercrimen casi se quintuplicó en el periodo recogido por esos datos y superó las 400.000 infracciones en 2023, el 17,3% del total. Si se excluyen esos delitos, la criminalidad convencional pasó de 4,9 infracciones por cada 100 habitantes en 2019 a 4,24 en 2023. En números absolutos, descendió en algo más de 200.000 infracciones, pese a que la población española había aumentado en unos dos millones de personas. El aumento del riesgo digital no permite afirmar que hayan crecido a la vez los robos o las agresiones.

También importa qué delitos se cuentan y cómo. Los hechos conocidos incluyen infracciones denunciadas o detectadas por la investigación policial, por lo que no abarcan necesariamente todos los fraudes que no llegan a notificarse. Además, hasta 2019 las estadísticas estatales no incorporaban los robos con violencia registrados por los Mossos d’Esquadra y la Ertzaintza; desde entonces sí aparecen, con unos 32.000 casos de ese tipo en 2023. La comparación exige, por tanto, atender a los cambios de cobertura estadística y no leer cada variación como si reflejara una transformación idéntica en la vida diaria.

España mantiene, además, indicadores bajos en delitos graves. La tasa de homicidios de 2022 fue de 0,62 por cada 100.000 habitantes, la cuarta más baja de la región según los datos citados. Ese dato no reduce la importancia de una estafa digital ni permite medir la ciberseguridad, pero evita mezclar amenazas distintas: la seguridad física y la protección frente al fraude en línea necesitan indicadores diferentes.

Una amenaza que ya tiene escala y organización

El recuento de INCIBE da una referencia concreta de la actividad que llega a uno de los organismos nacionales de respuesta. Durante 2024 gestionó más de 97.000 incidentes, un aumento del 16,6% respecto a 2023. De ellos, 65.808 afectaron a ciudadanos —el 67,6%— y 31.540 a empresas, entre ellas pymes, micropymes y autónomos. Los casos más recurrentes incluyeron malware, software que actúa sin autorización y puede causar daños, y phishing, mensajes que suplantan a entidades conocidas para robar información.

La cifra no debe confundirse con el total de ataques ocurridos en España. Cuenta incidentes gestionados por INCIBE, no cada intento bloqueado ni todos los hechos denunciados ante las fuerzas policiales, y no determina por sí sola cuántos terminaron en pérdidas económicas. Aun con ese límite, la subida muestra una carga considerable para los equipos que deben atender consultas, analizar incidentes y ayudar a contener daños. Medir la capacidad de respuesta requiere mirar tanto el volumen como el tiempo y la eficacia con que se resuelve cada caso.

El modelo de los atacantes también ha cambiado. Ya no siempre hace falta que una persona tenga conocimientos técnicos avanzados o desarrolle sus propias herramientas: el mercado clandestino ofrece credenciales robadas, accesos a redes y programas maliciosos. Esta división de tareas permite que unos preparen herramientas, otros consigan información y otros ejecuten el fraude. El resultado se parece menos a la figura del intruso solitario y más a una cadena de suministro criminal que reduce el coste y la dificultad de lanzar campañas.

Los datos filtrados alimentan esa cadena. El artículo original recoge que, durante el primer semestre de 2025, se registraron más de 1,15 millones de alertas por exposición de datos en foros de la web oscura y 33.700 en la web abierta. También señalaba que Italia figuraba entre los países con más direcciones de correo comprometidas y que más del 36% de sus internautas había recibido al menos un aviso de filtración. Son referencias internacionales, no una medición directa de víctimas españolas, pero ilustran cómo credenciales y datos personales pueden circular y reutilizarse en ataques posteriores.

Por qué un dato filtrado puede abrir varias puertas

Una dirección de correo o un número de teléfono aislados pueden parecer poca cosa. Combinados con contraseñas reutilizadas, datos bancarios o información personal, permiten construir mensajes con apariencia legítima y dirigidos a una víctima concreta. El correo electrónico tiene un papel especialmente delicado: suele servir para restablecer las claves de otros servicios y recibir avisos de seguridad. Si alguien toma su control, puede intentar encadenar accesos a redes sociales, almacenamiento en la nube o cuentas financieras.

El teléfono también se convierte en un objetivo porque interviene en mensajes de verificación, llamadas y aplicaciones de mensajería. Una contraseña robada puede dar paso a intentos de suplantación; un código de acceso compartido puede facilitar el secuestro de una cuenta. En ciertas estafas, el delincuente no necesita vulnerar un servidor: le basta con convencer a la persona de que entregue el dato que falta. La ingeniería social convierte información ordinaria en una llave si consigue que la víctima actúe con prisa.

En las empresas, el reconocimiento previo puede apoyarse en información pública: nombres de empleados, cargos, proveedores y formas habituales de comunicarse. Con esos detalles, un correo falso puede parecer una instrucción rutinaria de un superior o una factura legítima. La suplantación de correo empresarial, conocida como BEC, suele buscar que se transfiera dinero o se cambie una cuenta bancaria. No siempre requiere entrar en el sistema de la compañía: a veces basta con imitar una dirección o intervenir una conversación que ya existe.

Por eso, la pregunta sobre preparación no se resuelve solo con saber cuántos ordenadores tienen antivirus. Una empresa puede contar con software actualizado y seguir expuesta si un cambio de cuenta se acepta por correo sin comprobarlo por otra vía. Del mismo modo, un usuario puede recibir una alerta de filtración sin que eso pruebe que alguien esté usando ahora mismo su cuenta. Una exposición de datos eleva el riesgo, pero no es automáticamente una intrusión activa.

Los engaños cotidianos que aprovechan la confianza

Entre las modalidades que han ganado presencia están el smishing, que llega por SMS o mensajería, y el fraude mediante códigos QR. Un código QR es, en esencia, una forma de abrir un enlace sin escribirlo. Si alguien sustituye el código legítimo de un parquímetro por una pegatina falsa, la cámara puede llevar a una página que imita un servicio de pago y pide datos bancarios. El mismo mecanismo puede aparecer en carteles, cartas o documentos digitales.

El riesgo no está en la tecnología del código, sino en no poder ver fácilmente la dirección a la que conduce antes de abrirla. Una página fraudulenta puede copiar logotipos y colores con suficiente fidelidad para parecer auténtica. También hay mensajes que piden instalar una aplicación fuera de las tiendas oficiales o descargar un archivo para consultar una supuesta factura. La apariencia visual de una web no acredita que sea el servicio legítimo, sobre todo cuando el enlace llega sin contexto o exige actuar de inmediato.

Otra fórmula combina pequeñas recompensas con promesas de ingresos fáciles. Las llamadas estafas de los likes ofrecen dinero por seguir cuentas o comentar publicaciones; después de una primera tarea remunerada, pueden pedir depósitos para desbloquear supuestas comisiones. El inicio parece inofensivo y hasta convincente, pero el paso decisivo llega cuando se solicita dinero a cambio de una ganancia futura. La confianza no se construye de golpe: se obtiene con pagos pequeños y se explota cuando la víctima ya ha aceptado la dinámica.

En el fraude empresarial, la presión adopta otro rostro. Un mensaje que aparenta proceder de un directivo puede pedir una transferencia urgente, o un proveedor puede comunicar un cambio de IBAN justo antes de un pago. Los atacantes se apoyan en la rutina, la jerarquía y el miedo a retrasar una operación. La urgencia es parte del mecanismo del engaño, no una prueba de que la petición sea auténtica.

La inteligencia artificial mejora el disfraz, no elimina las señales

Las herramientas de inteligencia artificial pueden facilitar la redacción de mensajes pulidos y la adaptación de un engaño a distintos destinatarios. También pueden ayudar a producir voces o imágenes convincentes. Eso reduce algunas señales tradicionales, como las faltas de ortografía o las frases torpes, pero no convierte cada llamada o correo bien escrito en una amenaza ni vuelve infalible al atacante. La IA abarata y perfecciona la suplantación, pero no cambia el principio básico: alguien intenta inducir una acción favorable a sus intereses.

Por eso, detectar errores de escritura ya no basta como defensa. Conviene prestar atención a la petición en sí: si solicita una clave, un código de verificación, la instalación de una aplicación o un pago excepcional, la apariencia cuidada del mensaje no resuelve la duda. La comprobación debe hacerse por un canal independiente y conocido, no utilizando el teléfono o el enlace incluidos en la comunicación sospechosa. En una empresa, la instrucción de una persona con autoridad no debería saltarse los controles ordinarios.

El riesgo también se amplifica en momentos de atención colectiva. Grandes acontecimientos, campañas comerciales o trámites que generan muchas búsquedas ofrecen oportunidades para crear páginas falsas y anuncios engañosos. No hace falta que exista una ola dirigida exclusivamente a España para que los usuarios españoles queden expuestos: una campaña internacional puede llegar por correo, redes sociales o buscadores. La escala global de internet hace que las amenazas no respeten fronteras, aunque su impacto dependa de la preparación local.

Qué capacidad tiene España para responder

España dispone de organismos públicos con funciones complementarias. INCIBE gestiona incidentes y presta atención en el ámbito de la ciberseguridad ciudadana y empresarial; el Centro Criptológico Nacional, a través de CCN-CERT, trabaja en la respuesta a incidentes que afectan a los sistemas dentro de su ámbito. A ellos se suman las unidades especializadas de las fuerzas de seguridad y los organismos responsables de proteger infraestructuras y servicios públicos. Esa arquitectura ofrece canales de conocimiento y coordinación, aunque la existencia de instituciones no garantiza por sí sola que toda organización esté igualmente protegida.

La respuesta efectiva depende de que la información circule con rapidez entre quienes pueden contener un ataque. En una empresa, por ejemplo, una incidencia en el correo puede afectar a pagos, datos de clientes y sistemas compartidos. Si los equipos no saben quién decide, qué cuentas bloquear o cómo conservar la evidencia, se pierde tiempo precisamente cuando más importa. La preparación se prueba en la coordinación y la recuperación, no solo en los planes escritos.

Las pequeñas empresas afrontan una dificultad particular: suelen tener menos margen para mantener especialistas y revisar procesos de seguridad. Eso no significa que sean necesariamente menos cuidadosas, sino que compiten por recursos con tareas inmediatas y pueden depender de proveedores externos. La exposición aumenta cuando no hay inventario claro de sistemas, las actualizaciones se aplazan o las copias de seguridad existen, pero nunca se comprueba si permiten recuperar los datos.

También hay una brecha entre la protección técnica y las decisiones operativas. La autenticación multifactor añade una segunda comprobación al inicio de sesión; los filtros pueden analizar archivos y enlaces; y las políticas de correo ayudan a dificultar la suplantación de dominios. Pero ninguna de esas barreras sustituye la verificación independiente de una transferencia o de un cambio de cuenta. La tecnología reduce oportunidades de ataque; los procesos evitan que una petición fraudulenta se convierta en una pérdida.

La preparación empieza en los puntos donde se decide

Para los usuarios, las contraseñas únicas y la autenticación en dos pasos dificultan que una filtración en un servicio abra otras cuentas. Un gestor de contraseñas ayuda a no reutilizar claves, mientras que las actualizaciones corrigen fallos conocidos en móviles y ordenadores. Las copias de seguridad, por su parte, solo son útiles si se pueden restaurar. Son medidas poco vistosas, pero hacen que robar una contraseña o cifrar un equipo no implique necesariamente perderlo todo.

Los avisos de operaciones bancarias permiten advertir movimientos que no encajan, y cerrar sesiones activas puede ser importante si se sospecha que una cuenta está comprometida. Si un mensaje pide un código recibido por SMS, la regla de fondo es no compartirlo: esos códigos sirven para demostrar el control de una cuenta y pueden dar acceso a quien ha iniciado el intento de secuestro. La prevención más eficaz suele consistir en interrumpir la cadena antes de que el engaño llegue al pago o al robo de identidad.

En las organizaciones, los controles de pago merecen especial atención. Un cambio de cuenta bancaria debe contrastarse mediante un teléfono previamente conocido, no con el número que aparece en el correo que anuncia el cambio. Las transferencias extraordinarias pueden requerir una segunda aprobación; las cuentas con acceso a información sensible necesitan una autenticación más sólida. Estas reglas introducen una pausa deliberada allí donde el atacante busca velocidad.

La protección del correo empresarial combina medidas técnicas y humanas. Configurar correctamente SPF, DKIM y DMARC ayuda a reducir la suplantación de dominios; la autenticación multifactor limita el efecto de una contraseña robada; y la revisión de reglas de reenvío puede revelar cambios introducidos por un intruso. También importan los registros de actividad, la segmentación de accesos y las actualizaciones periódicas. Un control aislado puede fallar; varias barreras bien mantenidas hacen más difícil que un engaño alcance su objetivo.

Qué hacer cuando una cuenta o un dispositivo queda expuesto

Las señales no siempre son espectaculares. Pueden aparecer códigos de acceso que nadie ha solicitado, avisos de cambios de contraseña, sesiones abiertas desde ubicaciones desconocidas o reglas de reenvío nuevas en el correo. En un móvil, una aplicación que pide permisos que no necesita o que se instaló fuera de una tienda oficial merece atención. Ninguno de esos indicios confirma por sí solo un ataque, pero sí justifica comprobar la actividad y evitar seguir interactuando con el mensaje sospechoso.

Si hay indicios de acceso indebido, cambiar la contraseña desde un dispositivo confiable y cerrar sesiones activas ayuda a cortar el acceso, pero no siempre basta. Si el equipo está infectado, las credenciales nuevas también podrían quedar expuestas; en una organización, conviene implicar a quienes gestionan sus sistemas y preservar correos, archivos y horarios relevantes. Si hay movimientos bancarios no reconocidos, la entidad financiera es quien puede informar sobre el bloqueo de la tarjeta y las medidas relativas a la cuenta. La respuesta adecuada depende de qué dato o servicio se haya comprometido.

Una filtración publicada en internet tampoco implica que todos los datos sean actuales o que se hayan utilizado. Aun así, si se trata de una contraseña reutilizada, el peligro se extiende a los servicios donde se repite; si la información incluye datos personales, puede facilitar intentos de suplantación más convincentes. Guardar avisos y comunicaciones permite reconstruir lo ocurrido, mientras que en una empresa la cronología del incidente ayuda a determinar qué sistemas se vieron afectados.

La notificación de una brecha que afecte a datos personales y la valoración de sus consecuencias se rigen por obligaciones específicas. Las organizaciones deben atender a la normativa aplicable y a las indicaciones de sus responsables de protección de datos; el análisis de un caso concreto corresponde a profesionales competentes, no puede resolverse con una regla idéntica para todos. Comunicar con claridad y a tiempo forma parte de la gestión del daño, además de la respuesta técnica.

La seguridad digital se mide también por lo que se recupera

Los datos disponibles describen dos realidades que conviven: España mantiene cifras bajas en algunos delitos violentos y, al mismo tiempo, registra una expansión marcada de las infracciones digitales. El aumento de incidentes atendidos por INCIBE y el peso creciente del cibercrimen en las estadísticas generales justifican tomar en serio la amenaza, sin convertirla en una afirmación imprecisa de que toda forma de delincuencia esté disparada.

El país cuenta con organismos especializados y herramientas para responder, pero la preparación es desigual y no se demuestra con el nombre de una institución ni con la compra de un programa. Se demuestra cuando un correo comprometido no termina en una transferencia, cuando una copia permite recuperar un sistema y cuando una persona puede comunicar un incidente sin que la organización pierda horas en decidir quién debe actuar. La resiliencia digital depende de convertir la prevención y la respuesta en parte de la rutina.

Los delincuentes explotan la prisa y las costumbres, no solo los fallos sofisticados. Por eso, la mejor defensa no es prometer riesgo cero, sino reducir las oportunidades de engaño, proteger las cuentas que abren otras puertas y practicar la recuperación antes de que haga falta. España tiene capacidades para afrontar el auge del cibercrimen; el reto consiste en que esa capacidad llegue, con medidas concretas y coordinación real, a los ciudadanos, las empresas y los servicios de los que depende la vida cotidiana.