En febrero de 2026, la Ertzaintza encendió una alarma que recorrió toda España: las denuncias por estafas se habían disparado un 125% en enero respecto al mismo mes del año anterior — de 56 a 126 casos solo en el País Vasco. No es un dato aislado: el Ministerio del Interior registró 489.248 ciberdelitos en España durante 2025, un 5,3% más que el año anterior, de los cuales 430.493 fueron estafas informáticas — el 88% de toda la cibercriminalidad del país. Un estudio de Mastercard publicado en febrero de 2026 sitúa a España entre los cuatro países europeos con mayor volumen de fraude financiero digital, junto a Reino Unido y Francia.
Estas cifras no están para asustar, sino para poner en contexto algo importante: el fraude online en 2026 ya no es un riesgo hipotético que «le pasa a otros» — es, con diferencia, el tipo de delito más común en España, y sigue creciendo.
Lo que de verdad ha cambiado: no es solo el volumen, es la sofisticación
Según el INCIBE, en 2025 se gestionaron más de 122.000 incidentes de ciberseguridad en España, con 25.133 casos específicos de phishing —una media de casi 70 ataques al día—, un 26% más que el año anterior. Pero lo que el propio INCIBE destaca de 2026 no es la cantidad, sino la calidad del engaño: los correos y SMS fraudulentos ya no tienen faltas de ortografía evidentes, replican el tono exacto de organismos como la Agencia Tributaria, e incluso llegan con un número de referencia que parece real.
Dos técnicas concretas han crecido especialmente este año. El SMS spoofing, que consigue que un mensaje fraudulento aparezca en el mismo hilo de conversación que los SMS legítimos de tu banco, manipulando el identificador del remitente. Y el vishing, llamadas telefónicas donde el estafador se hace pasar por un empleado bancario o de Hacienda y ya conoce datos parciales de la víctima —obtenidos de filtraciones previas—, lo que hace mucho más creíble la petición de «verificar» credenciales. A esto se suma el quishing, phishing a través de códigos QR falsos colocados en menús, aparcamientos o accesos a eventos, una modalidad que el propio INCIBE ha empezado a señalar activamente en 2026.
La inteligencia artificial ya no es una amenaza futura, es una herramienta actual del fraude
El artículo original hablaba de la IA como algo que «veremos en los próximos años» en el mundo del fraude. Esa previsión ya se ha cumplido: la clonación de voz y los deepfakes se utilizan activamente en 2026 para hacer más creíbles las llamadas fraudulentas —incluyendo casos en los que se imita la voz de un familiar para solicitar dinero de forma urgente—, y los mensajes de phishing generados con IA son notablemente más difíciles de distinguir de una comunicación legítima que los de hace apenas dos años.
Un dato legal que muchas víctimas desconocen: el banco puede estar obligado a devolver el dinero
Esta es, probablemente, la información más útil que el artículo original no incluía. La directiva europea PSD2, traspuesta al ordenamiento español mediante el Real Decreto-ley 19/2018 sobre servicios de pago, establece que si una operación no fue autorizada por el cliente —es decir, si no hizo la transferencia ni aprobó la compra— y este lo notifica a su banco dentro del plazo establecido, la entidad está obligada a devolver el dinero en el día hábil siguiente a la notificación, salvo que existan indicios de fraude cometido por el propio cliente o negligencia grave.
Esto no cubre todos los casos —por ejemplo, si la víctima autorizó voluntariamente una transferencia engañada por un estafador, la protección es distinta y más limitada—, pero es una herramienta legal real que muchas personas desconocen y que puede marcar la diferencia entre recuperar el dinero o perderlo definitivamente. Por eso la rapidez al notificar el fraude al banco no es solo una buena práctica: en algunos casos, es literalmente lo que activa o no esa protección legal.
Las cuatro señales técnicas que el INCIBE recomienda comprobar
Más allá de la regla general de detenerse antes de reaccionar, el INCIBE ha publicado señales técnicas concretas que cualquier persona puede aplicar sin conocimientos especializados antes de pulsar un enlace: comprobar que el dominio de la web coincide exactamente con el oficial (no solo que se parece), verificar que la comunicación llega por el canal habitual que usa esa entidad contigo, desconfiar de cualquier mensaje que combine urgencia con una petición de credenciales o códigos de verificación, y, ante la duda, acceder siempre escribiendo la dirección web directamente en el navegador en lugar de pulsar el enlace recibido.
Por qué tantos casos nunca llegan a denunciarse
Un dato revelador: se estima que por cada denuncia formal de fraude online existen entre 3 y 5 casos que nunca se denuncian, muchas veces por vergüenza o por la sensación de que «ya no hay nada que hacer». Esto tiene dos consecuencias prácticas importantes: primero, que las cifras oficiales —ya de por sí alarmantes— probablemente están por debajo de la realidad; y segundo, que no denunciar reduce directamente las posibilidades de recuperar el dinero, precisamente por la protección legal de la PSD2 que solo se activa con la notificación correspondiente.
Qué hacer si ya has caído en una estafa
Los pasos siguen siendo los mismos que planteaba el artículo original, pero ahora con más razones concretas para actuar rápido: cambiar de inmediato las contraseñas afectadas, contactar con el banco sin demora —recordando que la ley puede obligar a la devolución si se notifica a tiempo—, guardar capturas de pantalla y cualquier prueba disponible sin borrar nada, y presentar denuncia ante la Policía Nacional, la Guardia Civil o a través del portal 017 del INCIBE, disponible todos los días del año de forma gratuita y confidencial.
La protección básica sigue siendo la misma, con dos matices para 2026
Contraseñas distintas por servicio, autenticación en dos pasos, dispositivos actualizados y revisión periódica de movimientos bancarios siguen siendo la base. A esto conviene añadir dos hábitos concretos para el panorama actual: desconfiar también de los códigos QR en espacios públicos, no solo de los enlaces en correos y SMS, y verificar de forma independiente cualquier llamada o audio que solicite dinero con urgencia —incluso si la voz parece reconocible—, dado que la clonación de voz ya no es una tecnología reservada a películas de ciencia ficción.
Si te preocupa haber sido víctima de una estafa, puedes llamar de forma gratuita y confidencial al 017 del INCIBE para recibir orientación.
Fuentes: Moncloa.com (Ministerio del Interior, Ertzaintza), Que.es (INCIBE), Digital Perito (Mastercard, INCIBE), Sure Service, Lambda Estudio Jurídico, Recovera.