El fraude en pagos digitales alcanza los 300 millones de euros anuales en España y abre un frente legal para las empresas.
Detrás de la cifra hay un marco europeo. Los datos de 2024 del Banco Central Europeo (BCE) y de la Autoridad Bancaria Europea (EBA) sitúan el valor de las operaciones fraudulentas en 4.200 millones de euros en el conjunto del Espacio Económico Europeo. La parte española ronda los 300 millones de euros anuales, un volumen que mide el daño económico de una delincuencia cada vez más sofisticada.
El perfil del delito es mayoritariamente de estafa. El 87,3% de los ciberdelitos registrados corresponde a ciberestafas, según los datos expuestos por Grant Thornton en la jornada «Fraude digital en la empresa: prevención, respuesta y defensa jurídica», celebrada en Barcelona. En Cataluña son ya el segundo delito más denunciado tras los hurtos, con más de 80.000 denuncias anuales y más de 200.000 víctimas entre 2024 y agosto de 2026.
Cómo se ejecuta el fraude en pagos digitales
El viejo correo mal redactado ha dejado paso a un ataque seleccionado. La inteligencia artificial permite a los delincuentes estudiar a sus objetivos, conocer sus relaciones comerciales y reproducir el estilo de comunicación de un directivo o de un proveedor habitual. «Con la llegada de la inteligencia artificial igual hay menos víctimas pero están más seleccionadas e identificadas y se les puede atacar más fácilmente», advirtió Eloi Font, socio del área Legal de Grant Thornton.
Ese salto de calidad traslada el problema al consejo de administración. El artículo 225 de la Ley de Sociedades de Capital impone a los administradores un deber general de diligencia: no se les exige garantizar que nunca habrá un ciberataque, sino acreditar controles razonables para prevenirlo. Es una obligación de medios, no de resultado. La CNMV incorpora ya recomendaciones en ese sentido y los marcos europeos NIS2 y DORA elevan las exigencias de ciberseguridad en los sectores afectados.
«La responsabilidad de los órganos de administración en materia de prevención de la ciberdelincuencia es cada vez más clara», señaló Ignacio Ripol, socio de Grant Thornton. La prueba es lo que decide después: auditorías, formación de empleados, seguros especializados, sistemas de doble o triple comprobación cuando cambian las cuentas bancarias de proveedores o clientes y la regla de que ninguna persona pueda ordenar y ejecutar un pago sin supervisión.
La Policía Nacional y la Guardia Civil sitúan el fraude en pagos digitales entre los principales frentes de la ciberdelincuencia económica.
La vía bancaria: qué dice la ley y qué dicen los tribunales
Cuando el fraude se consuma, la reclamación frente a la entidad financiera puede ofrecer más recorrido que la investigación penal. El artículo 45 del Real Decreto-ley 19/2018 obliga, como regla general, a devolver las operaciones de pago no autorizadas de inmediato o, como máximo, al finalizar el siguiente día hábil. La distinción decisiva es si el pago lo ordenó un tercero sin consentimiento o si fue la propia víctima quien transfirió el dinero engañada.
La jurisprudencia reciente refuerza esa vía. La sentencia 571/2025, de 9 de abril, del Tribunal Supremo recuerda que el registro correcto de una operación no demuestra por sí solo que el cliente la autorizase. Y el TJUE, en la sentencia de 15 de octubre de 2026 (asunto C-70/25, Tukowiecka), establece que el banco no puede rechazar el reembolso inicial de una operación no autorizada alegando negligencia grave del cliente, aunque podrá reclamarla después si la acredita.
El protocolo de actuación es corto y urgente: avisar de inmediato al banco, intentar bloquear la transferencia, conservar correos, mensajes y justificantes y presentar denuncia. Si el incidente afecta a datos personales y puede suponer un riesgo para los derechos y libertades de los afectados, el artículo 33 del RGPD exige notificar la brecha a la autoridad competente sin dilación indebida y, de ser posible, dentro de las 72 horas.
El panorama de la ciberseguridad
El fraude en pagos digitales combina dos tendencias que los cuerpos policiales señalan desde hace años: la migración del delito patrimonial clásico al canal digital y la profesionalización de estructuras que operan por encima de las fronteras. El Ministerio del Interior sitúa de forma reiterada la cibercriminalidad como la tipología delictiva de mayor crecimiento en sus balances anuales, y las ciberestafas concentran la mayor parte de esas denuncias.
En esa respuesta trabaja la Policía Nacional con la UDEF (Unidad de Delincuencia Económica y Fiscal, especializada en delitos económicos y blanqueo de capitales) y sus grupos de delitos tecnológicos, junto a la Guardia Civil. La coordinación internacional corresponde a Europol y, en la notificación de incidentes, al INCIBE (Instituto Nacional de Ciberseguridad, el organismo que atiende a empresas y ciudadanos).
La previsión es de crecimiento. La inteligencia artificial abarata el ataque dirigido, y el despliegue de NIS2 y DORA amplía la obligación de documentar medidas de prevención, lo que a su vez genera la prueba que los tribunales exigen tanto para depurar responsabilidades como para recuperar los fondos sustraídos.
