Los ciberdelitos crecen año tras año, pero las estadísticas oficiales solo muestran una parte de lo que ocurre. En España, el Ministerio del Interior registró más de 472.000 infracciones penales en el ciberespacio durante 2023, un aumento del 26% respecto al año anterior. Y aun así, los expertos en criminología digital coinciden en que esa cifra representa, como mucho, entre el 10% y el 20% de los delitos reales. El resto sencillamente no se denuncia.
Hay varias razones para ese silencio. La vergüenza de haber caído en una estafa. La creencia de que la denuncia no servirá para nada. El desconocimiento de que lo que ha pasado es, en realidad, un delito. Y en algunos casos, el miedo a consecuencias adicionales. Todo esto dibuja un mapa del cibercrimen con una parte visible y otra sumergida que duplica o triplica la primera.
¿Cuáles son los ciberdelitos que más crecen?
El fraude online es, con diferencia, la categoría que más crece en volumen absoluto. Según el informe de cibercriminalidad del Ministerio del Interior, los delitos de estafa representan más del 89% de todas las infracciones penales registradas en el ciberespacio en España. No son ataques sofisticados a infraestructuras críticas: son timos dirigidos a personas corrientes, a través del móvil, el correo electrónico o las aplicaciones de mensajería.
Dentro de ese bloque, el smishing (estafas por SMS) y el vishing (fraudes por llamada telefónica) han multiplicado su presencia en los últimos tres años. Los SMS que imitan a Correos, Hacienda, el banco o la Seguridad Social se han vuelto tan frecuentes que ya forman parte del paisaje digital cotidiano. Lo que cambia es la sofisticación: los mensajes son cada vez más creíbles, con nombres reales de entidades, números de referencia inventados pero plausibles y urgencia artificial. Algo que encaja directamente con el fenómeno del fraude que ya suena como tu banco, donde la imitación es tan precisa que resulta casi imposible detectarla a simple vista.
Otro segmento en auge es el de la sextorsión. La Europol y el FBI han emitido alertas específicas en 2023 y 2024 sobre el crecimiento de casos en los que alguien recibe un correo amenazando con publicar imágenes íntimas reales o fabricadas si no paga una cantidad en criptomonedas. En muchos casos, las imágenes no existen: es puro farol. Pero funciona, porque el miedo actúa antes que la razón y pocas víctimas se detienen a verificar si la amenaza es real.
El fraude en comercio electrónico también mantiene una trayectoria ascendente sostenida. Tiendas falsas que imitan a marcas reales, vendedores fantasma en marketplaces y páginas que desaparecen después de cobrar. La Agencia Española de Consumo, Seguridad Alimentaria y Nutrición (AECOSAN) ha registrado un incremento notable de reclamaciones vinculadas a compras en plataformas de terceros. El problema es que, cuando el vendedor está en otro país, la trazabilidad legal se complica mucho.
¿Por qué hay ciberdelitos que casi nadie denuncia?
Algunos ciberdelitos tienen tasas de denuncia cercanas al 5%, según estimaciones de organizaciones como la Internet Crime Complaint Center (IC3) del FBI para el mercado norteamericano, extrapolables en tendencia al europeo. El acoso online, el robo de credenciales y la sextorsión están entre los más silenciados.
El acoso y el ciberacoso en particular generan una respuesta paradójica: quien lo sufre siente que denunciar lo expone más. Publicar capturas de pantalla en una comisaría, explicar a un agente qué plataforma es esa o qué significa tal término, pasar por un proceso que puede durar meses sin resultado visible. Para muchas personas, el coste emocional de la denuncia supera al beneficio percibido. Y cuando el acosador tiene acceso a datos personales de la víctima, el miedo a represalias añade otra capa de inhibición.
El robo de credenciales es quizás el ciberdelito más invisible. Millones de combinaciones de usuario y contraseña circulan en foros de la dark web después de cada gran brecha de seguridad. La mayoría de afectados ni siquiera saben que sus datos están comprometidos hasta que alguien usa esa información semanas o meses después. Y cuando se enteran, la reacción más habitual es cambiar la contraseña, no ir a denunciar. El resultado es que las contraseñas inseguras siguen siendo un problema extendido porque las consecuencias del robo raramente llegan a ser visibles para quien las sufre.
La infradenuncia tiene también una dimensión empresarial. Las empresas que sufren un ataque, ya sea ransomware, phishing dirigido o robo de datos de clientes, tienen incentivos muy pocos para hacerlo público. La reputación, la cotización en bolsa si son empresas cotizadas, o simplemente la confianza de los clientes, son activos que un incidente de seguridad puede erosionar. Muchas organizaciones prefieren gestionar el problema internamente, pagar el rescate en silencio y seguir adelante. Eso significa que las estadísticas de ciberdelitos empresariales también están sistemáticamente por debajo de la realidad.
¿Qué dice la cifra negra sobre el sistema de denuncia?
La “cifra negra” es el término criminológico para los delitos que ocurren pero no se registran. En el cibercrimen, esa cifra negra es especialmente grande por razones estructurales, no solo culturales. Los sistemas de denuncia actuales en muchos países, incluida España, no están adaptados a la escala ni a la naturaleza de los delitos digitales.
Denunciar una estafa online en España implica, en la mayoría de los casos, personarse en una comisaría o cuartel de la Guardia Civil. El proceso puede durar horas. El agente que atiende la denuncia puede tener formación muy dispar en materia digital. Y al final, si el importe defraudado es pequeño, las probabilidades de que el caso llegue a juicio son bajas. El sistema desincentiva la denuncia de delitos menores, aunque esos delitos menores, sumados, representen millones de euros y afecten a cientos de miles de personas.
Existen canales alternativos. El portal de denuncia online de la Policía Nacional permite reportar ciertos delitos sin desplazamiento físico. La Guardia Civil tiene el Grupo de Delitos Telemáticos (GDT) con formularios específicos. El INCIBE, Instituto Nacional de Ciberseguridad, gestiona un servicio de ayuda en ciberseguridad para ciudadanos y empresas a través del número 017. Pero el conocimiento de estos recursos entre la población general es muy limitado. No es que la gente no quiera denunciar: muchas veces simplemente no sabe cómo ni a quién.
Lo que circula por la red también deja rastros de datos que pocas personas consideran parte del problema. Cuando alguien usa una red wifi pública, por ejemplo, los datos que quedan expuestos pueden ser el punto de partida de un fraude posterior, aunque la víctima no lo relacione nunca con ese momento concreto.
¿Cómo afectan las tendencias globales a los ciberdelitos en España?
España es uno de los países europeos con mayor volumen de ciberdelitos registrados, en parte porque la Policía Nacional y la Guardia Civil tienen sistemas de registro relativamente desarrollados en comparación con otros países del sur de Europa. Pero también porque el tejido económico español, con millones de pymes y autónomos con recursos limitados para ciberseguridad, es un blanco accesible.
El ransomware, el secuestro de archivos a cambio de un rescate, sigue siendo la amenaza más costosa para las organizaciones. Según datos de la empresa de ciberseguridad Sophos publicados en su informe State of Ransomware 2024, el coste medio de recuperación de un ataque de ransomware para organizaciones medianas supera el millón de dólares, incluyendo tiempo de inactividad, recuperación de sistemas y, en algunos casos, el pago del rescate. En España, hospitales, ayuntamientos y universidades han sido víctimas documentadas de este tipo de ataques en los últimos años. El Hospital Clínic de Barcelona sufrió uno en marzo de 2023 que obligó a cancelar miles de consultas y operaciones.
Las redes sociales generan su propio ecosistema de fraude. Las cuentas falsas que suplantan a personalidades conocidas para promover inversiones fraudulentas, los perfiles que se hacen pasar por amigos para pedir dinero urgente, o los grupos que distribuyen malware disfrazado de contenido entretenido forman una categoría en expansión. Conviene recordar que muchas cuentas que parecen reales no tienen ningún dueño humano, y que ese anonimato facilita el fraude a gran escala.
El robo de identidad digital también crece. Alguien usa tus datos para solicitar un crédito, contratar una línea de teléfono o abrir una cuenta bancaria. La víctima lo descubre cuando llega una deuda que no ha contraído o cuando Hacienda le comunica ingresos que nunca ha tenido. El problema es que rastrear el origen de ese robo de identidad requiere recursos que pocas personas tienen y un proceso burocrático largo. Los datos de salud son especialmente valiosos en este mercado, como explica detalladamente el mercado de datos médicos, donde la información personal puede venderse y revenderse varias veces.
Una tendencia que los analistas señalan con preocupación creciente es el uso de inteligencia artificial generativa para escalar los ataques. Antes, una campaña de phishing masiva tenía errores ortográficos, frases extrañas o traducciones deficientes que actuaban como señales de alerta. Ahora los modelos de lenguaje permiten generar correos y mensajes perfectamente redactados, personalizados con datos reales de la víctima extraídos de redes sociales, y en cualquier idioma. La barrera técnica para cometer fraude digital ha bajado de forma considerable en los últimos dos años.
Todo esto convive con un mercado paralelo de datos robados que es, en sí mismo, una industria. Credenciales, números de tarjeta, historiales médicos, información de geolocalización: cada brecha de seguridad alimenta ese mercado. Y muchas de esas brechas ocurren en dispositivos conectados que nadie vigila, desde cámaras de seguridad hasta routers domésticos mal configurados.
¿Tiene solución la estadística del cibercrimen que nunca vemos?
La estadística de ciberdelitos que manejamos hoy es, en el mejor de los casos, una aproximación a la realidad. Mejorarla requeriría dos cosas que van en paralelo: simplificar radicalmente el proceso de denuncia para que reportar una estafa de 200 euros no cueste tres horas, y aumentar la alfabetización digital de la población para que la gente sepa que lo que le ha pasado tiene nombre y que denunciarlo sirve para algo, aunque su caso concreto no prospere.
Los datos agregados de denuncias, incluso cuando no llevan a condenas individuales, permiten a las fuerzas de seguridad identificar patrones, detectar campañas coordinadas y desmantelar redes. Cada denuncia que no se hace es información que falta en ese mapa. Y un mapa incompleto produce respuestas incompletas.
La pregunta que queda en el aire es si las instituciones tienen verdadero interés en conocer la magnitud real del problema. Porque unas estadísticas más altas implican más recursos, más presión política y más responsabilidad. Algunas dinámicas de ocultación institucional que parecían teoría han resultado ser, en otros ámbitos tecnológicos, completamente documentadas. En el cibercrimen, la pregunta sigue abierta.
Preguntas frecuentes
¿Cuál es el ciberdelito más denunciado en España?
El fraude online es, con diferencia, el ciberdelito más registrado en España. Según el Ministerio del Interior, las estafas informáticas representan más del 89% de todas las infracciones penales en el ciberespacio. Dentro de ese grupo, las más frecuentes son las estafas por SMS, correo electrónico y plataformas de compraventa online.
¿Merece la pena denunciar una estafa online si el importe es pequeño?
Sí, aunque la posibilidad de recuperar el dinero sea baja. Las denuncias individuales, aunque no prosperen, generan datos estadísticos que permiten a las fuerzas de seguridad identificar campañas coordinadas y actuar contra redes de fraude. En España puedes denunciar online a través del portal de la Policía Nacional o contactar con el INCIBE en el 017.
¿Por qué la sextorsión tiene una tasa de denuncia tan baja?
La sextorsión combina vergüenza, miedo al juicio ajeno y temor a represalias, tres factores que inhiben fuertemente la denuncia. Muchas víctimas tampoco saben que en la mayoría de los casos las imágenes amenazadas no existen y que se trata de una técnica de presión sin contenido real. Eso hace que el silencio sea la respuesta más común.
¿Cómo sé si mis datos han sido robados en alguna brecha de seguridad?
Puedes comprobarlo en servicios como Have I Been Pwned (haveibeenpwned.com), que indexa bases de datos filtradas y permite buscar por dirección de correo electrónico. Si tu dirección aparece en alguna brecha, cambia la contraseña de esa cuenta y de cualquier otra donde uses la misma combinación.
¿El ransomware afecta solo a grandes empresas?
No. Aunque los casos más mediáticos implican hospitales o grandes organizaciones, las pymes y los autónomos son objetivos frecuentes precisamente porque tienen menos recursos de seguridad. Los atacantes saben que una empresa pequeña tiene menos capacidad de recuperar sus sistemas y más presión para pagar el rescate rápidamente.
¿Es cierto que la inteligencia artificial está facilitando el fraude digital?
Sí, está documentado. Los modelos de lenguaje permiten generar mensajes de phishing sin errores, perfectamente adaptados al idioma y al perfil de la víctima, con un coste cercano a cero. No es especulación: varias empresas de ciberseguridad, entre ellas Sophos y Proofpoint, han publicado informes en 2023 y 2024 confirmando esta tendencia.
