El fraude digital cuesta ya 300 millones de euros al año en España

El fraude digital ha pasado de ser un riesgo tecnológico marginal a convertirse en un problema económico y legal de primer orden para las empresas españolas. Según los datos del Banco Central Europeo (BCE) y la Autoridad Bancaria Europea (EBA) presentados en una jornada organizada por la firma de servicios profesionales Grant Thornton en Barcelona el pasado 5 de noviembre de 2026, el fraude en los pagos digitales genera pérdidas anuales de 300 millones de euros en España, dentro de un total de 4.200 millones de euros que esta modalidad de delincuencia costó en 2024 al conjunto del Espacio Económico Europeo.

La jornada, titulada "Fraude digital en la empresa: prevención, respuesta y defensa jurídica", reunió a Ignacio Ripol y Eloi Font, socios del área Legal de Grant Thornton, quienes expusieron tanto la magnitud del fenómeno como sus implicaciones jurídicas para administradores y compañías. Según los datos manejados en el encuentro, los ciberengaños (cyber-scams) representan el 87,3% de los ciberdelitos registrados, y en Catalunya constituyen ya el segundo delito más denunciado, solo por detrás del hurto, con más de 80.000 denuncias anuales —unas 220 diarias— y más de 200.000 víctimas contabilizadas entre 2024 y agosto de 2026.

Eloi Font advirtió de que la inteligencia artificial está cambiando el perfil del fraude: "con la llegada de la IA puede haber menos víctimas, pero están más seleccionadas e identificadas, por lo que resultan más fáciles de atacar". Font subrayó además que la exposición al riesgo es ya prácticamente universal: "es evidente que todos los ciudadanos y empresas van a sufrir un incidente cibernético, por lo que hay que estar preparados para reaccionar con agilidad".

En el plano regulatorio, Ignacio Ripol señaló que la Comisión Nacional del Mercado de Valores (CNMV) está incorporando nuevas recomendaciones dirigidas a los consejos de administración para que establezcan medidas preventivas frente a estos riesgos, lo que traslada una responsabilidad de gobierno corporativo explícita a los órganos de dirección de las compañías, más allá de los departamentos técnicos de seguridad. Ripol añadió que la vía penal tiene un recorrido muy limitado en este tipo de fraude, por lo que la reclamación a las entidades bancarias se perfila como la principal vía para intentar recuperar los fondos sustraídos.

Entre las medidas preventivas, los ponentes recomendaron a las empresas reforzar sus controles internos mediante auditorías, formación a empleados, pólizas de seguro específicas y sistemas de doble verificación para cualquier cambio en datos bancarios, en línea con las nuevas exigencias normativas europeas NIS2 y DORA. Citaron además el Real Decreto-ley 19/2018, que obliga a las entidades a reembolsar de forma inmediata —o como máximo al día hábil siguiente— las operaciones de pago no autorizadas, salvo excepciones legales tasadas.

Como primeras medidas ante un fraude ya consumado, los expertos aconsejan avisar de inmediato al banco, intentar bloquear la transferencia, conservar correos, mensajes y justificantes como prueba, presentar denuncia ante la Policía, y, si se han visto afectados datos personales, notificarlo a la Agencia Española de Protección de Datos en el plazo de 72 horas que exige el RGPD.