Las estafas que circulan a través de WhatsApp siguen adaptándose a funciones habituales de la aplicación para intentar engañar a los usuarios. En algunos casos, los delincuentes aprovechan herramientas que forman parte del uso cotidiano de la plataforma y las convierten en el punto de partida de una situación que busca presionar a su víctima. Según la Policía Nacional, una de las últimas estafas utiliza fotografías de visualización única para iniciar el contacto con la víctima.

Este tipo de imágenes 'efímeras' desaparece después de abrirse y, precisamente por eso, puede despertar más curiosidad cuando llega desde un número desconocido. El contenido no es el objetivo final del fraude, sino un recurso para provocar una reacción y conseguir que el destinatario continúe pendiente de la conversación. A partir de ahí, los responsables intentan generar una sensación de culpa y urgencia que facilite la extorsión posterior.

La clave está en no actuar por impulso ante archivos o mensajes que llegan sin contexto. La recomendación pasa por desconfiar de fotografías, vídeos, enlaces o documentos enviados desde números que no se reconocen y evitar responder a conversaciones sospechosas. Si el contacto ya ha sido iniciado y aparecen amenazas o peticiones de dinero, lo aconsejable es cortar la comunicación, no pagar y utilizar las herramientas de bloqueo y reporte disponibles en WhatsApp.

El engaño empieza con una foto que solo puede verse una vez

El fraude comienza cuando una persona recibe una fotografía de visualización única desde un número que no figura entre sus contactos. Normalmente, no hay una explicación previa que permita saber qué contiene el archivo, y esa falta de contexto forma parte del propio engaño. La intención es provocar el impulso de abrir la imagen antes de pensar si tiene sentido hacerlo o quién puede estar detrás del envío.

Una vez visualizada, la fotografía suele mostrar contenido sensible, comprometido o íntimo. Ese material no tiene por qué pertenecer a quien ha enviado el mensaje y sirve únicamente para preparar la siguiente fase. Cuando el remitente comprueba que la imagen se ha abierto, vuelve a escribir y asegura que la mandó por error. A partir de ese momento, el tono cambia y la conversación deja de parecer un simple envío equivocado.

El siguiente paso consiste en responsabilizar al destinatario por haber visto el contenido. La acusación parte de una idea falsa: presentar como una conducta indebida el hecho de abrir una fotografía que el propio desconocido ha enviado de forma voluntaria. Con ello se intenta generar inseguridad y hacer creer a la víctima que ha cometido algo reprochable, aunque la situación haya sido provocada desde el principio por quien está detrás del fraude.

Después aparece la extorsión. El delincuente suele amenazar con presentar una denuncia, tomar represalias o provocar algún tipo de consecuencia si no recibe un dinero a cambio. La presión busca aprovechar el desconcierto y conseguir que la persona actúe antes de analizar lo ocurrido. El contenido inesperado, la acusación y la exigencia económica se utilizan así de forma encadenada para aumentar el miedo y reducir el margen de reacción.

El funcionamiento de esta modalidad se apoya principalmente en la manipulación psicológica. Primero se utiliza la curiosidad para lograr que la imagen se abra y, después, la culpa y el miedo para mantener la conversación activa. El estafador necesita que la víctima responda, se justifique o acepte la idea de que ha hecho algo incorrecto. Por eso, entrar en explicaciones o intentar razonar con quien envía las amenazas solo prolonga una situación creada para ejercer presión.

Cuando la extorsión es a tus contactos

En los últimos días, la Policía Nacional también ha alertado de otra modalidad de estafa que aprovecha las vulnerabilidades de los dispositivos móviles para acceder a una cuenta de usuario en WhatsApp. En concreto, el atacante explota los fallos de seguridad del móvil por carecer de la versión más actualizada del sistema operativo y logra utilizar la aplicación al mismo tiempo que su víctima sin que ella se dé cuenta.

Una vez obtenido el acceso a WhatsApp, los ciberdelincuentes pueden enviar mensajes a los contactos de familiares solicitándoles dinero para hacer un pago en concreto o a través de una transferencia bancaria. Al manipular la aplicación, los atacantes logran interactuar con los familiares sin que la víctima vea reflejada esas mismas conversaciones en su dispositivo.

Qué conviene hacer si te llega uno de estos mensajes

La principal medida preventiva es no abrir imágenes, vídeos, archivos ni enlaces que lleguen desde contactos desconocidos. En el caso de las fotografías de visualización única, su carácter efímero puede aumentar la curiosidad porque solo existe una oportunidad para verlas. Precisamente por eso, conviene no dejarse llevar por ese impulso y desconfiar de cualquier contenido inesperado que aparezca sin una explicación clara.

También es recomendable no responder a mensajes sospechosos aunque, en un primer momento, parezcan inofensivos. Contestar confirma al remitente que el número está activo y puede facilitar que el contacto continúe. Si la fotografía ya se ha abierto y comienzan las amenazas, no conviene discutir, explicar por qué se vio el archivo ni intentar convencer a la otra persona de nada. Mantener el intercambio solo da más oportunidades para seguir presionando.

Si aparece una petición de dinero, la recomendación es no realizar ningún pago ni aceptar las condiciones planteadas. La estrategia del fraude consiste precisamente en generar urgencia para conseguir una reacción rápida. Salir de esa dinámica implica detener la conversación, bloquear el número y reportarlo dentro de WhatsApp, evitando cualquier nueva interacción con la cuenta desde la que se están enviando los mensajes.

La actuación recomendada cambia poco aunque el engaño ya haya avanzado. Si la imagen se abrió, eso no obliga a seguir participando en la conversación ni a responder ante las amenazas. Cortar el contacto evita que el estafador siga utilizando la culpa como herramienta de presión, mientras que el bloqueo impide que continúe escribiendo desde ese número y el reporte permite señalar la cuenta dentro de la propia plataforma.

La advertencia principal consiste, por tanto, en no reaccionar de manera inmediata ante contenidos inesperados enviados por desconocidos. Si la fotografía no se abre, el fraude pierde el recurso que utiliza para iniciar la acusación. Y si ya se ha visualizado, la mejor respuesta sigue siendo no pagar, no negociar y no mantener el contacto. El engaño depende en buena medida de que la víctima continúe participando en una conversación diseñada para generar miedo y conseguir dinero.

La carta dejó de pasar de mano en mano y muchos locales buscaron una forma rápida de enseñar sus platos sin tocar papel. Durante la pandemia de coronavirus, los códigos QR se pusieron de moda porque resolvían una necesidad inmediata: permitir que una persona abriera información en su móvil sin recibir un objeto usado antes por otros clientes.

Ese cambio encajó bien con bares, restaurantes y comercios, ya que bastaba apuntar con la cámara del móvil para consultar una carta, pagar o entrar en una web. La costumbre se extendió porque ahorraba contacto, reducía esperas y convertía una acción pequeña en una rutina diaria.

El código QR almacena datos con una estructura bidimensional

Un código QR es una etiqueta óptica que contiene información y que una máquina puede leer. Su nombre viene de Quick Response code, expresión que en español se traduce como código de respuesta rápida, porque nació para acelerar el acceso a datos frente al código de barras tradicional.

La diferencia está en la forma de guardar la información. El código de barras trabaja en una sola dirección, mientras que el QR reparte los datos en horizontal y vertical dentro de un cuadrado formado por módulos pequeños.

La creación de un QR empieza con el contenido que se quiere entregar al usuario, ya sea una web, un texto, un teléfono o los datos de una red Wi-Fi. El generador transforma ese contenido en bits, los coloca dentro de la cuadrícula y añade zonas técnicas que ayudan a reconocer la orientación del código.

También incorpora corrección de errores, de manera que una pequeña mancha o un deterioro parcial no inutilicen siempre la lectura. Al final, el sistema lo convierte en una imagen que puede imprimirse, descargarse o integrarse en un diseño.

Los modelos estático y dinámico ofrecen usos distintos

Dentro de ese proceso aparecen dos opciones muy usadas. Un QR estático guarda el contenido de forma fija, así que cualquier cambio obliga a crear otro código y repartirlo otra vez. Por eso funciona mejor con datos que apenas cambian, como un número de serie, una identificación o un registro puntual.

El QR dinámico trabaja de otra manera, porque apunta a una redirección corta y permite cambiar el destino después de haberlo impreso. Esa flexibilidad resulta útil para menús, cupones o campañas que necesitan actualizarse.

La ventaja más evidente aparece en el momento de uso. Casi cualquier móvil actual puede leer un QR con la cámara, de manera que el usuario no necesita escribir una dirección larga ni buscar una página concreta. La lectura suele ser rápida, admite más datos que un código de barras y aguanta ciertos daños gracias a la corrección de errores.

Para quien lo crea, el coste es bajo y el mantenimiento resulta fácil, sobre todo cuando se usa un QR dinámico y el destino puede cambiar sin tocar el cartel, la factura o el documento impreso.

Un mal diseño reduce la lectura del código

El móvil no interpreta el QR como una fotografía normal. Primero localiza los tres cuadrados grandes de las esquinas, calcula la perspectiva y recompone la cuadrícula aunque la cámara esté algo inclinada. Después traduce los módulos negros y blancos en unos y ceros, reconstruye la información codificada y ejecuta la acción prevista. En el caso de un restaurante, por ejemplo, ese patrón no contiene el menú como imagen, sino la dirección web que lo aloja, que el teléfono reconoce y muestra para que pueda abrirse.

Esa manera de leer el código explica por qué el diseño no se puede dejar al azar. Si el contraste es flojo, el tamaño se queda corto o falta ese margen blanco alrededor, el móvil empieza a dudar y le cuesta reconocerlo.

Pasa mucho cuando se intenta hacerlo más vistoso con un logotipo, colores suaves o algún recorte: en el cartel queda bien, pero la cámara pierde referencias y el escaneo falla. Por eso merece la pena probarlo antes de imprimirlo. Un QR puede llamar la atención, pero en cuanto el teléfono tarda en reaccionar o no abre nada, deja de tener sentido.

Los ciberdelincuentes aprovechan la facilidad para crear códigos

Crear un código QR es tan sencillo que ahí aparece el problema. Cualquiera puede generar uno en segundos y esconder detrás una web falsa, un archivo peligroso o una acción que el usuario no espera al escanear. La dificultad está en que el patrón de cuadrados no da ninguna pista sobre lo que hay dentro, así que el gesto de apuntar con el móvil se hace a ciegas.

Por ejemplo, un código pegado en una farola, colocado encima de otro o enviado sin contexto puede abrir una página engañosa, preparar un correo o añadir un contacto sin que se note. Por eso conviene parar un segundo antes de escanear y confiar solo en códigos que tengan un origen claro.

Los distintos formatos amplían los usos del QR

El formato más extendido es el QR modelo 2, habitual en bares, tiendas, revistas y campañas de marketing y pueden contener enlaces, ubicaciones de Google Maps, galerías, PDF o tarjetas de contacto.

También existen Micro QR para superficies pequeñas, Data Matrix para texto o datos numéricos, iQR en formato cuadrado o rectangular, SQRC para información confidencial, FrameQR con espacio para imágenes y HCC2D, una propuesta de código bidimensional en color de alta capacidad.

La variedad de formatos ha llevado el QR a casi cualquier situación cotidiana. Permite acceder a documentos y vídeos, pagar, usar entradas digitales, obtener información en museos, compartir ubicaciones, comprobar documentos o conectarse a una red Wi-Fi sin escribir la contraseña. Su facilidad para pasar del papel al móvil explica que siga usándose aunque ya no responda a una necesidad sanitaria.

Se ha vuelto a detectar una masiva y peligrosa campaña de mensajes de texto fraudulentos que suplanta, de forma directa, a la Tesorería General de la Seguridad Social. Los ciberdelincuentes esta vez envían un SMS al teléfono móvil de los ciudadanos informándoles de que disponen de una supuesta actualización pendiente en el sistema. El mensaje insta de manera urgente a pulsar sobre un enlace de internet adjunto para gestionar dicho trámite administrativo de forma inmediata. Sin embargo, este enlace redirige a una página web falsa que suplanta la identidad de la propia Tesorería General.

Esta estafa ha sido identificada y calificada con un nivel de importancia alta por el Instituto Nacional de Ciberseguridad (INCIBE), así como por la Guardia Civil, que ha utilizado sus redes oficiales para alertar a la ciudadanía sobre este engaño que busca hacerse con datos confidenciales de los usuarios mediante enlaces maliciosos. Este tipo de ciberataque es conocido bajo la denominación técnica de smishing, una modalidad de fraude que se basa en el envío de mensajes de texto simulando ser una entidad legítima. El objetivo principal de estos mensajes es confundir a los receptores para robarles información privada o realizarles un cargo económico en sus cuentas de forma fraudulenta.

Por lo general, los ciberdelincuentes aprovechan la confianza que los usuarios depositan en las instituciones públicas o de servicios esenciales para hacerlos picar en el anzuelo de manera rápida. La Seguridad Social constituye uno de los cebos más utilizados por estas organizaciones cibernéticas, junto con otras entidades públicas de gran relevancia como la Agencia Tributaria, los ayuntamientos locales o los servicios postales de Correos, con el fin de maximizar el número de víctimas y obtener un mayor impacto económico ilícito. De esta forma, la víctima asume falsamente la autenticidad del remitente.

Una vez que el usuario hace clic en el enlace que acompaña al mensaje de texto, es redirigido a un sitio web fraudulento que copia con gran precisión el portal real. La página falsa imita a la perfección los logotipos de la Seguridad Social, las tipografías corporativas, los colores institucionales y la disposición visual para lograr una apariencia de absoluta verosimilitud ante el público. Con el propósito de dar mayor credibilidad al fraude y tranquilizar al usuario, el sitio web malicioso exige superar un supuesto control de seguridad. Este filtro falso consiste en una verificación para confirmar que la persona no es un robot, lo que imita las medidas habituales que se encuentran en entornos seguros y legítimos en internet, logrando así que la víctima disminuya su nivel de alerta y continúe con los pasos del trámite.

Asimismo, este tipo de mecanismos interactivos pretenden convencer al usuario de la legalidad de las operaciones antes de solicitar datos. En el interior de este portal web falso, se muestra una notificación que informa sobre la disponibilidad de una supuesta prestación económica que está pendiente de revisión. Concretamente, en los casos reportados por los afectados a organizaciones de consumidores como la OCU, se ofrece un total pendiente de cobro de 305 euros. Para supuestamente gestionar el abono y proceder al trámite, la página solicita de manera sucesiva el ingreso de datos personales como el nombre completo y el número del DNI. Una vez introducidos estos datos, el sistema fraudulento solicita de forma obligatoria los datos bancarios completos y el número de la tarjeta de crédito bajo el falso pretexto de realizar un ingreso directo de esa cantidad de dinero. El usuario no sospecha que está entregando sus claves en bandeja.

A pesar del cuidado diseño visual de la página web falsa, existen múltiples elementos técnicos que delatan el engaño si se realiza una observación atenta y analítica. Los enlaces de internet que circulan en esta campaña masiva utilizan diferentes direcciones que imitan dominios legítimos del Estado, pero que en realidad son completamente extraños. Entre los dominios fraudulentos detectados y denunciados por portales de verificación figuran ejemplos con errores ortográficos como portelsegscoial punto click, seg guion social guion gob punto us, portaliseg guion socolsegob punto click o portaeliseg guion socailbgob punto click. Estas direcciones sospechosas no guardan ninguna relación con la única dirección web oficial de la Seguridad Social.

La Seguridad Social ha recordado de manera tajante a todos los ciudadanos que bajo ninguna circunstancia solicita el pago de deudas ni la actualización de datos mediante enlaces recibidos por SMS. Para acceder de manera completamente segura a cualquier tipo de trámite de la Tesorería General y evitar cualquier engaño, es necesario utilizar únicamente las vías oficiales autorizadas. Los usuarios deben abrir de forma directa en sus navegadores la aplicación de Importass, el portal web oficial de la Tesorería General de la Seguridad Social, o bien acceder a su área personal a través de la Sede Electrónica. Desde estas aplicaciones del Estado se pueden consultar de forma verídica todas las notificaciones pendientes sin correr el riesgo de sufrir una estafa financiera ni comprometer los datos de las tarjetas.

Rapidez y capturas

Para aquellas personas que hayan accedido al enlace y facilitado datos de carácter personal o bancario, se recomienda actuar de forma rápida siguiendo un protocolo de seguridad. El primer paso indispensable es ponerse en contacto inmediato con su entidad financiera para proceder al inmediato bloqueo de las tarjetas y evitar cargos económicos no autorizados. En segundo lugar, es muy importante reunir y guardar de manera ordenada todas las evidencias posibles del fraude informático, como capturas de pantalla, los mensajes recibidos y las direcciones web de los enlaces maliciosos. La rapidez en la reacción y el acopio de pruebas digitales resultan cruciales para minimizar el impacto del fraude y reclamar devoluciones bancarias.

Una vez recopiladas todas las evidencias necesarias sobre la estafa, el afectado debe presentar una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado. Asimismo, es aconsejable reportar el mensaje fraudulento al buzón de incidentes del INCIBE para alertar sobre la campaña activa y evitar que otras personas resulten estafadas. Como medida preventiva adicional, los expertos recomiendan practicar el egosurfing de manera periódica durante los meses posteriores al incidente para verificar que la información personal expuesta no esté siendo utilizada de forma indebida en la red.

La Guardia Civil ha alertado de una modalidad de estafa telefónica en la que los delincuentes se hacen pasar por agentes del cuerpo para ganarse la confianza de las víctimas. Este tipo de fraude se apoya en la apariencia de una comunicación oficial para conseguir que la persona siga las indicaciones de quien llama sin comprobar antes si realmente está hablando con un miembro de la institución.

La suplantación de organismos públicos puede resultar especialmente convincente cuando durante el contacto aparecen elementos que parecen legítimos. Por este motivo, la Guardia Civil recomienda extremar las precauciones ante cualquier llamada inesperada y comprobar siempre por canales oficiales quién está detrás de ella antes de facilitar información personal, realizar una gestión o seguir instrucciones relacionadas con cuentas bancarias.

El objetivo de estas llamadas es conseguir datos personales o financieros mediante engaño. La forma de actuar puede cambiar de un caso a otro, pero la recomendación general es desconfiar de cualquier petición de información sensible y finalizar la comunicación cuando existan dudas sobre su procedencia. Para dar credibilidad al fraude, los estafadores recurren a diferentes métodos con los que intentan mantener el contacto con la víctima.

En qué consiste la estafa

Uno de los recursos utilizados para que la llamada parezca legítima es el número que aparece en la pantalla. Según la agencia EFE, en este caso las víctimas habían recibido llamadas del número de teléfono de la Comandancia de Madrid (918073900) en las que un supuesto agente del cuerpo les informaba de que habían sido víctimas de una estafa y de los pasos a realizar para evitar que esta se materializara.

Pero, según ha informado la propia Guardia Civil, aunque el teléfono pueda mostrar una numeración aparentemente vinculada a este organismo, esto no significa que el contacto proceda realmente del cuerpo. Los autores aprovechan esa apariencia para presentarse como agentes e intentar ganarse la confianza de la víctima. Por tanto, el teléfono que figura durante la llamada forma parte del engaño y no permite confirmar por sí solo quién está al otro lado.

Una vez iniciada la conversación, los delincuentes plantean una situación relacionada con el dinero de la persona. Pueden asegurar que ha sufrido una estafa, que existe algún problema con sus cuentas o que mantiene una deuda pendiente. Después, ofrecen una supuesta ayuda para recuperar fondos o evitar pérdidas y empiezan a solicitar información personal y bancaria, como contraseñas, códigos de verificación recibidos por SMS o los datos completos de una tarjeta. Todo ello suele ir acompañado de presión para actuar rápidamente e incluso de amenazas sobre posibles consecuencias legales, una detención o el embargo de fondos, con el objetivo de generar miedo y evitar que la víctima compruebe la información por su cuenta.

El engaño puede continuar mediante una segunda comunicación. Los supuestos agentes pueden facilitar otro número de teléfono para seguir desde allí con las gestiones, bajo el argumento de proteger el dinero o bloquear determinados movimientos. En realidad, se busca continuar recopilando información que pueda facilitar el acceso a las cuentas bancarias de la víctima. El cambio de número ayuda además a transmitir la sensación de que se está siguiendo un procedimiento oficial, aunque el contacto sigue siendo con las personas que están detrás de la estafa.

Otra de las variantes consiste en llevar la conversación a WhatsApp. A través del chat, los estafadores pueden pedir la instalación de una aplicación de asistencia remota, que presentan como necesaria para solucionar el supuesto problema. Si se descarga siguiendo sus instrucciones y se conceden los permisos solicitados, los delincuentes pueden llegar a controlar el dispositivo a distancia. En ese momento, el riesgo ya no se limita a los datos facilitados durante la llamada, sino que puede afectar también a la información y los servicios disponibles en el teléfono.

Qué hacer ante una de estas llamadas

La principal recomendación es colgar cuando durante la conversación aparezcan amenazas, peticiones de dinero o solicitudes de información sensible. No deben facilitarse datos personales, contraseñas, credenciales bancarias, códigos de verificación enviados por SMS ni números completos de tarjetas en una llamada de estas características. Tampoco conviene seguir las indicaciones de alguien que diga actuar en nombre de la Guardia Civil únicamente porque el teléfono que aparece en pantalla parezca pertenecer a un organismo oficial.

Si durante la llamada se habla de una cuenta bancaria o de un posible movimiento fraudulento, la comprobación debe hacerse directamente con la entidad a través de sus canales habituales. De esta forma se puede confirmar si existe realmente alguna incidencia y comunicar una posible operación sospechosa sin continuar el contacto con los estafadores. La misma precaución debe aplicarse ante cualquier supuesto aviso oficial: la identidad de quien llama debe comprobarse de manera independiente antes de proporcionar datos o realizar una gestión.

También debe rechazarse cualquier petición para instalar aplicaciones de soporte o control remoto en el teléfono. Las autoridades no solicitarán contraseñas ni pedirán descargar este tipo de herramientas como requisito para solucionar una incidencia comunicada mediante una llamada. Si se indica que hay que instalar un programa, conceder permisos en el dispositivo o realizar algún paso para permitir el acceso a distancia, lo recomendable es cortar la comunicación y no seguir ninguna de esas instrucciones.

Por último, conviene comprobar siempre que se está utilizando un canal oficial. Que un número parezca legítimo, que la persona conozca algunos datos básicos o que plantee una situación urgente no demuestra que la llamada sea auténtica. Ante cualquier duda, lo adecuado es finalizar el contacto y buscar por separado los teléfonos o canales oficiales de la Guardia Civil. De este modo se puede confirmar si existe realmente algún problema antes de facilitar información o realizar cualquier acción.

Cada vez más empresas abandonan el tradicional sistema de claves alfanuméricas para adoptar las denominadas passkeys como nuevo estándar de seguridad. Esta tecnología surge para solucionar el eslabón más débil de la ciberseguridad corporativa: las contraseñas que los empleados olvidan, reutilizan o comparten inadecuadamente. Las passkeys representan una revolución en la autenticación que ya están integrando algunos gigantes tecnológicos en sus plataformas. El cambio no es meramente estético, sino una respuesta directa a la creciente vulnerabilidad de los sistemas tradicionales frente a ataques masivos.

Actualmente, millones de trabajadores utilizan este método para acceder a sus herramientas diarias sin tener que memorizar complejos códigos de acceso. Es el inicio de una era sin contraseñas donde la comodidad y la protección avanzada convergen finalmente para el usuario. La adopción masiva está transformando la manera en que las organizaciones protegen sus activos digitales más críticos y confidenciales. El éxito de esta transición depende de entender que la seguridad informática ha cambiado para siempre gracias a esta solución.

Una passkey es fundamentalmente una credencial criptográfica diseñada para sustituir definitivamente a las contraseñas tradicionales en el entorno laboral. En lugar de teclear una clave, el trabajador confirma su identidad utilizando los mismos métodos que ya emplea para desbloquear su smartphone personal. Esto incluye el reconocimiento facial, la huella dactilar o un número PIN específico configurado previamente en su dispositivo de trabajo. Al eliminar la necesidad de memorizar caracteres complejos, se reduce drásticamente el error humano que suele comprometer la seguridad de la red.

El proceso de inicio de sesión se vuelve mucho más ágil, pasando de minutos de espera a apenas unos pocos segundos. Este método se basa en estándares globales para garantizar una interoperabilidad total entre diferentes sistemas y navegadores. Los dispositivos modernos ya están listos para implementar esta tecnología de forma nativa. Así, la biometría se convierte en la llave digital definitiva que abre las puertas de las aplicaciones y servicios corporativos.

El funcionamiento técnico de estas credenciales se asienta sobre un sistema robusto de criptografía asimétrica basado en dos claves distintas. Cuando un empleado crea una passkey, su dispositivo genera automáticamente una clave pública y otra clave privada que están interconectadas. La clave pública se almacena de forma segura en el servidor de la empresa o del servicio al que se desea acceder. Por el contrario, la clave privada nunca abandona el dispositivo del usuario y permanece protegida en componentes de hardware aislados. Durante el inicio de sesión, el servidor envía un desafío que solo puede resolverse mediante el uso de la clave privada local. Esta validación se realiza internamente en el equipo tras verificar la identidad del trabajador mediante su biometría o su código PIN.

Es importante destacar que el servicio externo nunca recibe la huella dactilar ni la imagen del rostro del usuario durante este proceso. Este aislamiento garantiza que la información sensible del empleado permanezca siempre bajo su control directo y fuera de servidores externos. Uno de los mayores atractivos de las passkeys empresariales es su resistencia absoluta frente a los ataques de phishing más convencionales. Una passkey está vinculada intrínsecamente al dominio específico para el que fue creada, impidiendo su uso en sitios web fraudulentos o imitaciones.

Aunque un ciberdelincuente logre engañar al trabajador para que acceda a una URL falsa, la credencial simplemente no funcionará allí. Además, al no existir un texto que memorizar, el empleado no puede entregar accidentalmente sus datos de acceso a terceros malintencionados. Por otro lado, este sistema elimina el riesgo asociado a las filtraciones masivas de bases de datos de contraseñas corporativas. Los servidores solo guardan claves públicas que resultan inútiles para un atacante sin acceso físico al dispositivo donde reside la clave privada. Esto neutraliza los ataques de fuerza bruta y el uso de credenciales robadas que circulan masivamente en la internet oscura. La seguridad ya no depende de la complejidad de una palabra, sino de la robustez de un algoritmo criptográfico avanzado.

La implementación de passkeys conlleva beneficios operativos significativos que van más allá de la mera protección de los datos de la empresa. El departamento de soporte técnico suele dedicar una gran parte de su tiempo a gestionar incidencias relacionadas con el olvido de claves. Al adoptar este nuevo método, las solicitudes de restablecimiento de contraseñas disminuyen drásticamente, liberando recursos valiosos para tareas de mayor impacto. La productividad de la plantilla también mejora, ya que el acceso a las herramientas de trabajo es mucho más rápido y fluido. El ahorro en costes administrativos y de soporte justifica por sí solo la inversión tecnológica necesaria para realizar esta importante transición. Además, las empresas pueden cumplir más fácilmente con las normativas europeas de protección de datos que exigen métodos de autenticación fuertes.

Dos modalidades

Y es que, como afirma Jordi Alarcón, responsable de IT de Esofitec, empresa especializada en soluciones tecnológicas de facturación, contabilidad, gestión y recursos humanos, “cuando hablamos de contraseñas siempre existe la vulnerabilidad. Este sistema las elimina, ofrece más seguridad y hace el acceso más sencillo. Desde el punto de vista de un departamento de IT son un gran avance, ya que reduce el problema que suponen los errores humanos, el eslabón más débil en las estructuras de ciberseguridad”.

Dentro del ámbito empresarial, existen dos modalidades principales de passkeys que las empresas deben evaluar según sus políticas de seguridad internas. Las passkeys sincronizadas permiten utilizar la misma credencial en varios dispositivos autorizados a través de servicios en la nube de confianza. Esta opción ofrece una gran comodidad y flexibilidad para empleados que cambian constantemente entre su ordenador portátil, su tablet y su móvil. Sin embargo, para entornos con requisitos de seguridad extremos, existen las passkeys vinculadas estrictamente a un único dispositivo físico. Estas credenciales no pueden copiarse ni sincronizarse, actuando como guardianes de fortaleza que exigen el uso exclusivo de un hardware concreto. Muchas empresas optan por estas últimas para proteger accesos críticos a infraestructuras sensibles o datos financieros de alta confidencialidad.

El periodo estival suele asociarse a la desconexión y al descanso vacacional, pero para los departamentos de tecnología representa una etapa de máxima alerta. Los expertos en ciberseguridad advierten que los ataques informáticos a empresas experimentan un incremento aproximado del 30% durante estos meses de calor. Esta tendencia responde a una estrategia deliberada de los ciberdelincuentes, quienes aprovechan que las organizaciones operan con personal reducido y protocolos de vigilancia menos estrictos. No bajar la guardia resulta fundamental para garantizar la continuidad del negocio tras el regreso de las vacaciones.

Y es que la ciberdelincuencia no descansa cuando el resto de la sociedad se toma un respiro necesario, intensificando sus campañas de intrusión. Por ello, el nivel de protección debe ser una prioridad estratégica dentro del cumplimiento corporativo de cualquier empresa. Mantener la vigilancia activa es la única forma de evitar que un descanso merecido se transforme en una crisis reputacional. La vulnerabilidad de las compañías aumenta sobre todo debido a la combinación de plantillas bajo mínimos y una relajación general de las medidas preventivas. Durante el verano, muchos empleados trabajan de forma remota desde ubicaciones poco habituales, lo que multiplica los vectores de entrada para posibles intrusiones. Los atacantes son plenamente conscientes de que el departamento de informática puede estar vacío o con menos recursos técnicos disponibles.

Esta situación crea un entorno perfecto para que los intentos maliciosos tengan una mayor probabilidad de éxito que en otros meses del año. Es común que los protocolos de acceso se vuelvan más laxos para facilitar la operatividad de quienes cubren las ausencias. Además, la contratación de personal temporal para sustituciones añade un riesgo extra si no existe una formación de seguridad adecuada. Por tanto, la seguridad no debe verse como algo técnico, sino como un pilar organizacional fundamental. La concienciación debe ser el primer cortafuegos ante cualquier amenaza que busque explotar el factor humano.

Entre las amenazas más recurrentes en esta temporada, el phishing se posiciona como la técnica preferida debido a su alta efectividad. Se estima que los intentos de suplantación de identidad por correo electrónico aumentan significativamente, especialmente los dirigidos a individuos específicos. Los delincuentes utilizan ganchos relacionados con reservas de hoteles, billetes de avión y ofertas turísticas para engañar a los trabajadores desprevenidos. Además del fraude al consejero delegado y el robo de identidad, el ransomware sigue siendo una preocupación crítica para los expertos. Estos ataques buscan cifrar la información sensible de la empresa para exigir un rescate económico por su posterior liberación. La sofisticación de estos mensajes maliciosos hace que incluso el personal más experimentado pueda caer en la trampa.

Para mitigar estos riesgos, implementar la autenticación multifactor en todas las cuentas corporativas se considera una medida de primer orden. Este sistema añade una capa de verificación adicional que dificulta enormemente el acceso no autorizado a los recursos críticos. Asimismo, es imperativo realizar una actualización exhaustiva de todos los sistemas y software antes de iniciar el periodo de vacaciones. Los parches de seguridad corrigen vulnerabilidades conocidas que los hackers intentarán explotar si no están debidamente cerradas. La automatización de las copias de seguridad es otro pilar fundamental para asegurar la recuperación de datos ante un desastre.

El uso de conexiones remotas seguras es indispensable para aquellos trabajadores que mantienen su actividad laboral durante el periodo estival. Desde el Instituto Nacional de Ciberseguridad recuerdan que “durante las vacaciones de verano se visitan aeropuertos, hoteles, etc. En casi todos estos lugares existe la posibilidad de conectarse a Internet a través de redes Wi-Fi públicas. Como no sabemos quién las gestiona, ni quién puede estar conectado, es preferible no conectarse a ellas. Antes de acceder a servicios online con usuario y contraseña, asegurarse de que la dirección empieza por ”https“, y mucho mejor emplear una ”VPN“.

Además, se debe ejercer un control estricto sobre los dispositivos móviles que se utilizan para fines laborales. Implementar políticas de cifrado, contraseñas robustas y la capacidad de borrado remoto es vital en caso de pérdida o robo. Limitar los accesos al personal estrictamente autorizado reduce significativamente el radio de impacto de una posible brecha. El principio de mínimo privilegio asegura que cada usuario solo acceda a lo que realmente necesita.

“La seguridad depende, sobre todo, de las personas”, afirma Jordi Alarcón, responsable de IT de Esofitec, empresa especializada en soluciones tecnológicas de facturación, contabilidad, gestión y recursos humanos: “Nos relajamos, asumimos la carga de compañeros de vacaciones o seguimos revisando el correo corporativo desde el móvil, sin estar tan alerta, lo que facilita que acabemos haciendo clic en enlaces maliciosos. Por eso, si vas a teletrabajar desde un entorno no habitual, evita conectarte a wifis abiertas y mantén el Bluetooth o el AirDrop desactivados. Y, si eres responsable de ciberseguridad, aprovecha para revisar el protocolo de copias de seguridad y activar protocolos de ciberresiliencia.”

Cómo reaccionar

La formación del personal, incluyendo a los sustitutos temporales, constituye una de las mejores inversiones en materia de seguridad informática. Es crucial que los nuevos empleados conozcan los protocolos de la empresa y sepan identificar los ataques más comunes. No descargar aplicaciones de origen dudoso ni archivos adjuntos sospechosos son pautas básicas que deben reforzarse constantemente. La curiosidad por ofertas vacacionales o guías de viaje en formato PDF puede esconder virus informáticos altamente peligrosos. Además, se recomienda moderar la información que los empleados publican en sus perfiles personales de redes sociales. Compartir la ubicación en tiempo real o las fechas exactas del viaje puede dar pistas valiosas a los atacantes.

Contar con un plan de respuesta ante incidentes bien definido permite actuar con rapidez si ocurre una intrusión accidental. Todos los miembros de la organización deben saber a quién contactar y qué pasos iniciales seguir de forma inmediata. La detección temprana de comportamientos anómalos en los equipos puede evitar un desastre de mayor impacto reputacional. Antes de cerrar por vacaciones, realizar una búsqueda proactiva de brechas de seguridad ayuda a blindar el entorno digital. Por eso, en verano la ciberseguridad sigue siendo una necesidad imperativa para la supervivencia empresarial. Proteger la infraestructura tecnológica significa salvaguardar la confianza de los clientes y la reputación de la marca. Los ciberdelincuentes no se toman vacaciones y su actividad se intensifica precisamente cuando detectan una menor vigilancia.

La digitalización avanza a pasos agigantados. Su mayor ventaja es que permite a las pymes adaptar sus modelos de negocio, innovar y competir en mercados que antes parecían inalcanzables.

En ese contexto, la ciberseguridad se convierte en un factor clave para garantizar la continuidad y la reputación de cualquier empresa, sea cual sea su sector de actividad y su tamaño.

En un encuentro en Toledo, bajo el lema Ciberseguridad: hackeando la mente. Conoce los riesgos, cuida la seguridad de tu pyme, tres especialistas vinculados tanto al sector público como al sector privado han intercambiado experiencias y han ofrecido recomendaciones de buenas prácticas para la pequeña y mediana empresa.

¿Cómo proteger el negocio en la era de la Inteligencia Artificial a través del conocimiento de los nuevos riesgos? La seguridad digital en las pequeñas y medianas empresas se plantea hoy como una necesidad porque convivimos con algoritmos y con tecnología cada vez más desarrollada que beneficia a las empresas, pero que también utilizan los ciberdelincuentes.

La mesa redonda, organizada por elDiario.es Castilla-La Mancha, en colaboración con BBVA, ha reunido a Andrés Prado, director TIC en la Universidad de Castilla-La Mancha, y coordinador de este sector en la Conferencia de Rectores de las Universidades Españolas (CRUE), Mario Martín, CEO de la empresa UNITEL Ciberseguridad y Laura del Pino, Discipline Leader Information Security en BBVA España, en una conversación moderada por la directora del medio, Carmen Bachiller.

¿A qué tipos de fraude digital se enfrentan las empresas? ¿Cuáles son las claves de la prevención? Estas son algunas de las preguntas que deben plantearse las pymes frente a unas amenazas que evolucionan de forma constante y con un ingrediente añadido: la IA.

Pregunta.- La Universidad de Castilla-La Mancha sufrió ciberataque, allá por el año 2021. ¿Cómo fue darse cuenta de que algo no iba bien y cuál fue la reacción?

Respuesta (Andrés Prado).- Lo primero que pensamos es cómo nos podía estar pasando eso a nosotros. Nos cambió la forma de pensar y de abordar la ciberseguridad porque la cuestión no es si puede pasar sino cuándo pasará.

Ocurrió un domingo por la noche y este tipo de situaciones no lo son por azar. Hay que olvidar el romanticismo del hacker porque hay quien ha convertido la ciberdelincuencia en una industria.

Después de la sorpresa inicial, fuimos muy conscientes de nuestras capacidades y también fuimos muy honestos con la situación que estábamos abordando, por eso contamos con especialistas. También establecimos un plan de comunicación muy claro con nuestra comunidad universitaria.

Pregunta.- Si hablamos de amenazas, ¿cuáles son las tendencias en el ámbito de los ciber fraudes, especialmente en pymes?

Respuesta.- (Mario Martín).- En UNITEL creamos hace unos cuatro años un área específica de ciberseguridad tras confirmar que la ciberdelincuencia va en aumento. Desde 2020 sabemos que la aplicación de la IA está suponiendo algo bueno para frenar los ataques (a través de los SOC o centros de operaciones de seguridad que gestionan ciberataques masivos para contenerlos y neutralizarlos), pero también hay quien la utiliza, precisamente, para provocarlos.

Una de las amenazas más frecuentes ahora es el ransomware, un código malicioso que penetra en la red para escalar privilegios, secuestrar datos y después pedir un rescate. Siempre recomendamos que no se pague. Después está el phishing, por ejemplo, a través del correo electrónico, con ataques ahora muy dirigidos a determinados sectores o personas, y que busca suplantar para robar datos o dinero.

Además, hay mucho robo de credenciales que se venden en la Dark Web y los usuarios tenemos la manía de usar la misma contraseña para todo. No es un buen hábito.

Pregunta.- BBVA lleva mucho tiempo trabajando en la concienciación y la cultura de ciberseguridad. ¿Hay errores recurrentes en las pymes, humanos u organizativos, que dejan la puerta abierta al fraude? ¿Cómo les estáis ayudando a integrar la seguridad en su día a día?

Respuesta (Laura del Pino).- Hay que desmontar mitos. El primero es que los ciberdelincuentes solo atacan a empresas grandes. La realidad es que hay una industria del cibercrimen que funciona como una empresa. Al final es coste/beneficio.

Las empresas más pequeñas suelen estar menos protegidas y les cuesta menos atacarlas. Las pymes son un objetivo.

El otro mito es que en la ciberseguridad se soluciona todo con tecnología. Es cierto que es fundamental tener algunos básicos (como un antivirus), pero también es importante la formación.

P.- ¿En qué sentido?

R (Laura del Pino).- Por ejemplo, hay una amenaza que es el fraude por cambio de cuenta del proveedor. Consiste en suplantar la identidad de un proveedor de la empresa a través del correo electrónico. Incluye una cuenta de pago de facturas, que previamente habrá cambiado para que el dinero llegue al ciberdelincuente. Cualquier empresa debe saber cómo actúan los ciberdelincuentes para poder actuar.

Las empresas más pequeñas suelen estar menos protegidas y les cuesta menos atacarlas. Las pymes son un objetivo

Laura del Pino — Discipline Leader Information Security en BBVA España

¿Cómo proteger tu empresa?

P.- ¿Qué medidas pueden ponerse en práctica ante un ciber ataque?

R (Laura del Pino).- Una cosa sencilla es contar con un protocolo interno de doble verificación. Si un proveedor me pide que le pague en una cuenta nueva hay que verificarlo. Basta una simple llamada para evitar el engaño. La concienciación y formación es muy relevante.

Desde BBVA ofrecemos información y formación. Ofrecemos cursos online y gratuitos sobre ciberseguridad a través de la plataforma Coursera a cualquiera. No tiene que ser cliente.

En breve estrenaremos un espacio de noticias sobre ciberseguridad en la web y ponemos a disposición de los clientes herramientas que les ayuden a identificar posibles fraudes en la relación con el banco. Incluso monitorizamos operaciones no habituales. Hay también productos como los ciberseguros que incluyen un análisis de riesgos para comprobar cómo está la empresa en cuanto a protección.

P.- ¿Cuál es el punto de vista de UNITEL?

R (Mario Martín).- Es necesario concienciar y formar, como decía Laura. Como empresa nos encontramos a menudo en Castilla-La Mancha con mucha falta de cultura de la ciberseguridad entre las pymes. No quieren invertir en algo que no sea tangible, porque creen que no va con su negocio y eso es un error.

Nos encontramos a menudo en Castilla-La Mancha con mucha falta de cultura de la ciberseguridad entre las pymes. No quieren invertir en algo que no sea tangible, porque creen que no va con su negocio y eso es un error

Mario Martín — CEO de UNITEL Ciberseguridad

Nos ocurrió con un cliente que contactó con nosotros para recibir ayuda sobre ciberseguridad tras sufrir el engaño de una falsa factura. Quien se dio cuenta y lo paró fue precisamente el banco. El personal de las empresas debe tener formación. Eso les puede evitar muchos problemas.

P.- ¿Y la opinión de un experto en TIC?

R (Andrés Prado).- Se debe valorar mucho cuál es la exposición al fraude digital para abordar la protección. Hay que tener copias de seguridad, y blindar la identidad digital. Después, más allá del trabajo de prevención, es necesario tener clara la capacidad de reacción ante un ataque. Es algo que nosotros teníamos más adormecido cuando nos ocurrió.

Coincido en que hay que trabajar en la concienciación y en la formación. Los ataques que se han comentado son muy habituales y hay otro más: es el fraude del CEO, que cada vez se depura más gracias a la IA. Se trata de suplantar la identidad del directivo, solicitando al personal de administración hacer una transferencia urgente. El correo está redactado en el estilo del jefe.

Es importante saber el impacto que tiene perder la identidad digital de una empresa porque estará vendida. Hay que concienciar a las empresas y a quienes forman parte de ellas.

P.- ¿Qué papel juega en todo esto la IA?

R (Laura del Pino).- La IA ha democratizado el acceso a lanzar ciberataques que antes eran imposibles si uno no tenía herramientas a mano. Es absolutamente necesario tener protocolos de seguridad en la empresa.

Una empresa no puede sobrevivir en el mundo digital sin unas mínimas medidas, también relacionadas con la IA: hay que tener la última versión, lo que se llama el parcheado, de las herramientas que manejamos porque tiene vulnerabilidades que se corrigen con esos ‘parches’.

Y no bastan las contraseñas, hay que tener una doble verificación con un código que nos llegará al correo o al móvil, cuando hablamos de accesos remotos de las empresas, ahora que tanto usamos el teletrabajo. Debemos tener hábitos seguros en nuestro día a día. Es como cuando subimos al coche y nos ponemos el cinturón de seguridad.

Después está la gestión de incidentes, con un protocolo sobre qué hacer y a quién llamar. Eso es un diferencial en el impacto que puede tener en la empresa. O romper con la necesidad de urgencia en las operaciones. Los ciberdelincuentes usan ingeniería social para engañar. Antes de hacer nada, si hay algo fuera de lo habitual, hay que comprobar.

P.- Claro porque, en realidad, con el internet de las cosas todo está conectado

R (Andrés Prado).- Sí, y en ese mundo tan conectado debemos saber qué tenemos expuesto en el mundo digital. No solo afecta a las personas, sino también a las cosas. Cada vez hay más elementos industriales conectados. A las pymes también empieza a afectarles.

En un mundo tan conectado debemos saber qué tenemos expuesto en el mundo digital. No solo afecta a las personas, sino también a las cosas. Cada vez hay más elementos industriales conectados. A las pymes también empieza a afectarles

Andrés Prado — Responsable TIC en la Universidad de Castilla-La Mancha

R (Mario Martín).- Efectivamente, en UNITEL tenemos clientes en los que el 90% del trabajo de la empresa está robotizado. Un ciberataque a esas máquinas supone parar la producción. Y después, software no mantenido, software vulnerable.

También hay que probar de forma previa lo que se pone en internet. Hacemos muchos test previos de vulnerabilidad.

P.- Pese a todo, la IA nos puede ayudar a defendernos…

R (Laura del Pino).- Tiene muchas ventajas y nos ayuda a ser más eficientes. En el banco llevamos usando IA desde hace mucho tiempo, con muy buenos resultados. Desde la parte preventiva hay herramientas para detectar patrones anómalos. Y se puede usar además para formar y concienciar. Sí, hay que apostar por ello.

La Guardia Civil ha detenido en Alicante a un ciberdeprededador sexual en serie al que se le imputan 36 delitos contra la libertad sexual a más de una veintena de víctimas menores de 16 años durante una década, y a quien se le han intervenido 200 dispositivos de almacenamiento de imágenes.

El autor utilizaba técnicas de 'grooming' (hacerse pasar por un menor de edad para ganarse la confianza de otros menores y que le enviasen imágenes íntimas), donde combinaba el engaño y manipulación emocional para conseguir la explotación sexual infantil, ha informado la Guardia Civil en un comunicado.

Los agentes encargados de esta operación, de nombre 'Achillea', han conseguido identificar a más de 20 víctimas especialmente vulnerables, con edades desde los ocho años, por todo el territorio nacional y en distintos puntos del extranjero.

La investigación comenzó gracias a la denuncia de una víctima residente en la isla de Gran Canaria, interpuesta ante la Guardia Civil en 2024.

Durante las primeras actuaciones se realizó el registro del domicilio del acusado, donde se intervino una gran cantidad de dispositivos de almacenamiento con capacidad para almacenar 18.000 gigabytes.

El Equipo de Policía Judicial de la Guardia Civil en Santa María de Guía inició el análisis de los más de 200 dispositivos de datos intervenidos, entre teléfonos móviles, discos duros externos, ordenadores y pen drives, donde hallaron una gran cantidad de archivos de vídeo e imágenes pedófilas.

Como resultado del análisis de la información recabada, los guardias civiles han conseguido por el momento identificar a más de 20 víctimas menores de 16 años.

Según las investigaciones, el ciberpederasta se dedicó a contactar durante más de una década con las víctimas por aplicaciones de mensajería y redes sociales.

Se hacía pasar por un menor de edad llamado Juan, ganándose la confianza de las víctimas, y después de un tiempo manipulándolas emocionalmente, llegando incluso a hacerse 'novio' de alguna de ellas, consiguió que las menores de edad se grabaran o fotografiaran realizando actos de carácter sexual y que le enviaran los archivos.

El acusado guardó esos archivos pedófilos para su propio consumo sexual, organizando una colección privada, han señalado las mismas fuentes.

Como resultado de las investigaciones, se ha conseguido detener al autor, una persona natural de Alicante, y la Sección Civil y de Instrucción del Tribunal de Instancia de Santa María de Guía ha decretado su ingreso en prisión, comunicada y sin fianza.

Recomendaciones contra el 'grooming'

Desde la Guardia Civil recomiendan mantener perfiles cerrados y no aceptar solicitudes de desconocidos, incluso si tienen amigos en común, y evitar publicar la ubicación, el nombre del colegio o números de teléfono en redes públicas.

También sugieren la supervisión parental de las actividades 'online' y mantener una comunicación abierta para que el menor sienta confianza si algo le incomoda.

El consejero de Seguridad, Bingen Zupiria, insiste en que la Ertzaintza “está preparada a nivel técnico y operativo para efectuar con éxito cualquier tipo de investigación de ciberdelitos”. Responde así, en el Parlamento Vasco, a una pregunta de EH Bildu por una operación en que se eligió como Policía judicial a la Guardia Civil. La formación abertzale lleva ya meses insistiendo en la necesidad de dotar adecuadamente al cuerpo para poder responder a una creciente realidad. Recientemente, ha trascendido que, por ejemplo, las cuentas en redes sociales de dos miembros del Gobierno han sido 'hackeadas', las de la vicelehendakari Ibone Bengoetxea y las del consejero de Vivienda, Denis Itxaso.

Sobre el caso concreto —un registro de la Guardia Civil en Vitoria por orden del Tribunal de Instancia de Getxo por una estafa de unos 416.000 euros en criptoactivos—, Zupiria indica que “no se tuvo conocimiento de la denuncia”, como tampoco de la investigación posterior. Preguntado por si la competencia debería haber sido de la Ertzaintza, Zupiria no se moja. En Euskadi, las Fuerzas de Seguridad del Estado pueden operar en investigaciones de ámbito superior al autonómico o con ramificaciones internacionales. De lo contrario, el resto de asuntos deberían ser dirigidos exclusivamente por la Policía vasca.

El consejero señala, en todo caso, que existe una “coordinación fluida” con el resto de cuerpos en el marco del CITCO, que es un foro de ámbito estatal para compartir información sobre terrorismo, crimen organizado y otras grandes causas. Igualmente, Zupiria señala que la Ertzaintza opera en “colaboración con Europol e Interpol”, lo que “es esencial en casos transfonterizos”. Eso permite, por ejemplo, el “acceso a redes internacionales de expertos”. “Esta alianza policial resulta fundamental no sólo para la resolución efectiva de los casos sino también para la prevención mediante el análisis de patrones globales”, asegura.

Los últimos datos apuntan a que la unidad especializada contra la ciberdelincuencia de la Ertzaintza tiene una dotación de 26 efectivos. Con un subcomisario al frente, hay dos oficiales, tres suboficiales, cuatro cabos o agentes primeros y 16 ertzainas rasos. Adicionalmente, existe una entidad externa llamada Cyberzaintza.

“Sólo 26 ertzainas para investigar 28.000 delitos; es obvio que no son suficientes”, dijo EH Bildu en el Parlamento Vasco, donde promovió una moción para reforzar esos equipos. El Gobierno matiza que, además de ese grupo especializado, todas las comisarías y equipos de investigación dan cobertura a estos casos. Como ejemplo, Zupiria cita que la unidad central emite “informes técnicos de trazabilidad de criptomonedas” cuando la “complejidad” de un asunto “sobrepasa los conocimientos” del personal de las comisarías. En 2025 la Ertzaintza conoció 541 denuncias relacionadas con esta materia.

El Instituto Nacional de Ciberseguridad (INCIBE), ha lanzado una alerta de importancia alta debido a una nueva campaña de fraude digital. Esta vez la amenaza se basa en una técnica denominada smishing, donde los ciberdelincuentes utilizan mensajes de texto para engañar a los ciudadanos. El objetivo principal de estos atacantes es suplantar la identidad de la Agencia Tributaria. Mediante el envío masivo de estos SMS, los estafadores buscan que las víctimas entreguen información delicada de carácter personal y financiero. Es fundamental que los usuarios estén al tanto de esta maniobra para proteger sus cuentas bancarias. El INCIBE subraya que la sofisticación de estos ataques está aumentando para atrapar a los más desprevenidos.  

De hecho, la prevención es actualmente la mejor herramienta de defensa disponible para toda la ciudadanía afectada. El impacto de este tipo de estafas puede ser devastador para la economía de los usuarios. La mecánica del fraude es directa y engañosa, aprovechando la autoridad que proyecta una institución pública como la Agencia Tributaria. Los mensajes recibidos por las víctimas suelen informar sobre un supuesto comunicado pendiente de consultar o una devolución. Para acceder a dicha información, se incluye un enlace que redirige a una página web fraudulenta. Este sitio web está diseñado cuidadosamente para imitar la apariencia visual de la sede electrónica oficial de Hacienda. 

Una vez que el usuario se encuentra en el portal falso, se le solicita que introduzca datos bancarios. Es común que pidan números de tarjetas de crédito o credenciales de acceso a la banca electrónica. Sin embargo, se trata simplemente de un anzuelo para capturar información confidencial de forma ilícita. La rapidez con la que operan estos sitios temporales dificulta en ocasiones su cierre inmediato. Por ello, el INCIBE insiste en la importancia de verificar siempre el origen de cualquier enlace.

Uno de los puntos clave para detectar el engaño reside en analizar detenidamente la dirección URL del enlace proporcionado. Los expertos señalan que las páginas oficiales de la administración pública siempre terminan en dominios .gob.es o .es. En cambio, las plataformas utilizadas por los ciberdelincuentes suelen emplear extensiones mucho más genéricas. Dominios acabados en .top o .click son señales claras de que nos encontramos ante una web de estafa. Estas extensiones son preferidas por los atacantes porque permiten crear y descartar sitios web de forma muy rápida. Cualquier carácter extraño o extensión inusual debe ponernos inmediatamente en estado de máxima alerta. La vigilancia del navegador puede ser la primera barrera efectiva para evitar caer en esta trampa.

Otro elemento que induce al error es el nombre del remitente que aparece en la pantalla del teléfono móvil. Los atacantes emplean una técnica conocida como SMS spoofing para camuflar el número de teléfono de origen. Esto permite que en el dispositivo del usuario aparezca el nombre legítimo de la AEAT como remitente. Lo más peligroso es que el mensaje fraudulento puede colarse en el mismo hilo de mensajes auténticos. Ver mensajes anteriores legítimos en la misma conversación genera una falsa sensación de seguridad en la víctima. No obstante, el INCIBE advierte que no debemos fiarnos únicamente de la etiqueta que identifica al remitente. Esta suplantación técnica es una de las razones por las que este fraude está teniendo éxito. 

Es imperativo desconfiar incluso si el mensaje parece provenir de una fuente de confianza habitual. La tecnología actual permite estas manipulaciones con relativa sencillez para los grupos de ciberdelincuencia organizada. La redacción y el nivel de personalización del mensaje son otros indicadores fundamentales que delatan la falsedad de la comunicación. Las notificaciones reales de la administración pública suelen incluir el nombre, apellidos o parte del NIF. En esta campaña de smishing, los mensajes son extremadamente genéricos y carecen de cualquier identificación personal. Se utilizan expresiones extrañas como “dirigida a usted” o “que usted recibe en calidad de titular”. 

Además, es frecuente encontrar errores tipográficos, como espacios innecesarios antes de los signos de puntuación. La redacción suele ser redundante, artificial y alejada de los estándares comunicativos de la Agencia Tributaria. Estos fallos son típicos en plantillas automatizadas que se traducen o generan de manera masiva por atacantes. Si el tono del mensaje suena forzado o no incluye sus datos básicos, es casi seguro un fraude. La observación detallada de la gramática puede salvarnos de un problema financiero mayor.

Es vital recordar la política oficial de comunicación que sigue la Agencia Tributaria. La AEAT ha reiterado en numerosas ocasiones que jamás solicitará información confidencial por SMS o correo electrónico. Esto incluye números de tarjetas bancarias, claves de acceso o cualquier dato sensible de cuentas corrientes. Tampoco se envían enlaces directos para cobrar devoluciones de impuestos o consultar expedientes específicos. Todas las gestiones relacionadas con devoluciones se tramitan exclusivamente a través de la sede electrónica oficial. Otro canal legítimo es la declaración de la renta presentada formalmente por los cauces establecidos cada año. Cualquier mensaje que prometa un reembolso rápido mediante un simple clic en un enlace es falso.

Actuar rápido

Para aquellos que reciban el mensaje pero aún no hayan interactuado con el enlace, existen pasos preventivos recomendados. Lo más aconsejable es reportar el mensaje al buzón de incidentes del INCIBE para su análisis. Esta acción colaborativa permite recopilar datos que sirven para alertar y proteger a otros usuarios vulnerables. Posteriormente, se debe proceder a bloquear al remitente en el dispositivo móvil de forma permanente. El último paso preventivo es la eliminación definitiva del mensaje para evitar pulsaciones accidentales en el futuro. Si existe alguna duda real sobre una deuda o comunicación, se debe contactar por canales oficiales. Acceder directamente a la web de la Agencia Tributaria sin usar enlaces externos es la mejor práctica. 

En el caso de que un usuario ya haya facilitado sus datos en la web fraudulenta, debe actuar con celeridad. Lo primero es contactar con la entidad bancaria para bloquear tarjetas y movimientos no autorizados. Es fundamental reunir todas las evidencias posibles, como capturas de pantalla de los mensajes y enlaces. Se recomienda presentar una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado con estas pruebas. Además, el INCIBE aconseja realizar egosurfing periódicamente para comprobar si nuestra información ha sido expuesta. Actuar con rapidez puede minimizar el impacto del robo de identidad y de los fondos bancarios. La concienciación ciudadana sigue siendo el pilar fundamental para erradicar estas prácticas delictivas en internet.

Agentes de la Policía Autonómica – Cuerpo General de la Policía Canaria han localizado y detenido en Tenerife a un hombre sobre el que pesaba una requisitoria internacional por ciberdelincuencia y estafa, tras una investigación centrada en sus movimientos clandestinos y su entorno de apoyo.

Las pesquisas permitieron constatar que el ahora detenido habría llegado incluso a perjudicar económicamente a personas de su entorno más cercano, estafando presuntamente a un familiar directo por un importe aproximado de 20.000 euros.

El investigado llegó a ocultarse en la zona de Benijos, en la parte alta del término municipal de La Orotava, tratando de mantenerse alejado de cualquier exposición pública. Finalmente, los agentes lograron localizarlo en el municipio de Candelaria, donde presuntamente se refugiaba en el domicilio de un familiar lejano.

Según la investigación, el prófugo adoptaba medidas para dificultar su detección, evitando el uso de documentación personal, registros administrativos o movimientos fácilmente rastreables.

Debido a su presunta vinculación con actividades relacionadas con la ciberdelincuencia y el blanqueo de capitales, apenas abandonaba el domicilio, limitando al máximo sus desplazamientos y extremando las medidas para evitar dejar cualquier tipo de rastro.

Los agentes consideran que esta forma de actuar respondía a una estrategia deliberada para reducir al máximo tanto su huella física como digital mientras permanecía oculto.

La operación culminó con la localización y detención del investigado, procediéndose a su ingreso en prisión y poniendo fin a su evasión de la acción judicial.

Se ha consolidado como una herramienta fundamental para millones de usuarios que buscan inmediatez y sencillez en sus transacciones financieras diarias. Sin embargo, la popularidad de Bizum no ha pasado inadvertida para los ciberdelincuentes, quienes explotan la agilidad del sistema para ejecutar fraudes cada vez más sofisticados. El Banco de España, de hecho, ha emitido alertas advirtiendo sobre el incremento de estas prácticas delictivas que afectan directamente a la seguridad de los usuarios. 

Los atacantes emplean diversas técnicas con el fin de manipular y presionar a sus víctimas en momentos de distracción o urgencia. Este entorno digital cambiante exige que la ciudadanía esté plenamente informada sobre los riesgos asociados a las nuevas funcionalidades de pago instantáneo. La clave para no caer en el engaño reside en comprender profundamente el funcionamiento técnico de las herramientas que utilizamos en nuestros dispositivos móviles.

Ante la creciente vulnerabilidad, las autoridades financieras insisten en la necesidad de extremar la precaución durante cualquier operación monetaria realizada de forma telemática. El núcleo de esta estafa emergente, conocida como Bizum inverso, reside en un cambio sutil pero letal de la operación financiera estándar. Mientras que en un envío normal el emisor transfiere fondos, en este fraude el delincuente utiliza deliberadamente la opción de solicitud de dinero. La víctima recibe una notificación en su terminal que, a primera vista, parece un ingreso de fondos pendiente de ser aceptado por el usuario. Sin embargo, al pulsar sobre el mensaje para confirmar la acción, el usuario está autorizando realmente un cargo directo en su propia cuenta bancaria. 

El dinero se transfiere de manera instantánea al estafador, dejando al estafado con un saldo negativo inesperado y con pocas posibilidades de reversión. Los criminales aprovechan que muchos usuarios desconocen que Bizum permite tanto enviar como pedir cantidades específicas de dinero a cualquier contacto. Este desconocimiento técnico es el pilar fundamental sobre el que se construye el éxito de esta peligrosa y habitual modalidad de robo digital. Es fundamental leer con extremo detenimiento cada palabra de las notificaciones bancarias antes de proceder a cualquier validación.

Las plataformas de compraventa de artículos de segunda mano son el escenario predilecto donde estos ciberdelincuentes despliegan sus anzuelos más efectivos. Aplicaciones populares suelen ser el canal de comunicación inicial entre el estafador y su víctima potencial. El proceso comienza cuando un supuesto comprador contacta con un vendedor mostrando un interés inmediato y excesivo por un producto anunciado recientemente. Para asegurar la reserva, el atacante propone realizar un pago rápido a través de Bizum como una supuesta señal de buena voluntad. En lugar de efectuar el ingreso prometido, envía una solicitud de cobro bajo el pretexto de que es el trámite necesario para la transacción. El vendedor, ansioso por cerrar la venta, suele actuar con rapidez y acepta la notificación sin revisar los detalles financieros del mensaje. Al finalizar el proceso, la persona descubre con asombro que no ha recibido ninguna señal, sino que ha regalado su propio capital. 

Este tipo de engaño se repite con frecuencia debido a la confianza ciega que los usuarios depositan en la aplicación del banco. La efectividad del Bizum inverso no se debe a un fallo técnico de la aplicación, sino a la manipulación psicológica del individuo. Los estafadores suelen utilizar excusas de urgencia extrema o problemas técnicos ficticios para presionar al usuario y evitar que este reflexione. Al generar una sensación de prisa, logran que la víctima actúe de manera impulsiva sin analizar la veracidad de la notificación recibida. 

Los mensajes a menudo están redactados de forma confusa o contienen enlaces externos que redirigen a sitios web maliciosos y fraudulentos. En ocasiones, los delincuentes incluso suplantan la identidad de empresas conocidas o servicios oficiales para ganar una capa extra de credibilidad. El Banco de España subraya que estos criminales son expertos en detectar la falta de familiaridad de las personas con la tecnología. Por ello, el factor humano sigue siendo el eslabón más débil en la cadena de seguridad de las transacciones financieras online.

Un concepto fundamental que todo usuario debe interiorizar es que recibir dinero mediante este sistema no requiere ninguna acción adicional. Cuando alguien nos envía fondos de forma legítima, el ingreso se refleja automáticamente en nuestro saldo bancario sin intervenciones manuales del receptor. Cualquier notificación que nos inste a aceptar, confirmar o validar un ingreso recibido debe ser tratada de inmediato como una alarma. La aplicación de Bizum únicamente solicita la intervención del usuario cuando este va a realizar un pago o autorizar una solicitud ajena. Por lo tanto, si uno está esperando cobrar una venta, jamás debería tener que pulsar botones de confirmación en su pantalla móvil.

Bloquear y denunciar

Para prevenir estos incidentes, es vital adoptar una serie de hábitos de seguridad robustos en nuestra interacción con las finanzas digitales. Siempre se debe desconfiar de compradores que acepten precios elevados de inmediato sin negociar ni preguntar por el estado del objeto. Es recomendable verificar el perfil, la antigüedad y las valoraciones de cualquier persona que nos contacte en una red de compraventa. Nunca se deben compartir datos personales sensibles ni información bancaria privada con individuos desconocidos a través de chats o llamadas telefónicas. Si un supuesto conocido nos pide dinero, es prudente confirmar su identidad mediante otro canal de comunicación como una llamada directa.

Si desgraciadamente ya se ha producido la estafa, el tiempo de reacción es un factor crítico para intentar mitigar el daño económico. Lo primero que debe hacer el afectado es contactar inmediatamente con su entidad bancaria para informar de la transacción fraudulenta realizada. Es fundamental solicitar el bloqueo preventivo de las cuentas o tarjetas si se sospecha que las credenciales han sido comprometidas seriamente. Aunque las operaciones en este sistema suelen ser irreversibles, el banco evaluará si existe alguna posibilidad legal de recuperar el dinero. El siguiente paso obligatorio es interponer una denuncia formal ante las Fuerzas y Cuerpos de Seguridad del Estado, como la Policía. Para que la investigación sea efectiva, se deben aportar todas las pruebas posibles como capturas de mensajes y números de teléfono.

Sufrir un caso de ciberdelincuencia no siempre representa necesariamente el final del calvario para el afectado, sino el inicio de un nuevo riesgo. En muchos casos, este suceso es solo el preámbulo de una estafa secundaria conocida técnicamente como Recovery Room o sala de recuperación. Este método delictivo se ceba con personas que ya han sufrido un quebranto económico previo, buscando explotar su desesperación por recuperar lo perdido, de ahí que la Organización de Consumidores y Usuarios (OCU) haya alertado del incremento de estos casos detectados recientemente en el entorno financiero. Los estafadores operan bajo una lógica perversa al convertir la vulnerabilidad emocional de la víctima en su principal herramienta de manipulación y engaño.

No se trata de un contacto fortuito, sino de un ataque dirigido que suele basarse en bases de datos obtenidas de estafas anteriores. En este escenario, la esperanza de recuperar los ahorros perdidos se transforma rápidamente en una nueva trampa económica de difícil salida. Es vital entender que esta práctica busca asestar un segundo golpe financiero a quienes ya se encuentran en una situación crítica y vulnerable.

El funcionamiento de este fraude se basa íntegramente en la falsa promesa de rescatar fondos que ya se consideraban definitivamente perdidos por el usuario. Los delincuentes aseguran poseer medios tecnológicos o legales muy avanzados para rastrear el dinero estafado en primer lugar. Según detalla el Instituto Nacional de Ciberseguridad (INCIBE), los atacantes suelen presentarse falsamente como expertos auditores o incluso como abogados de gran prestigio. El contacto inicial con la potencial víctima se realiza de forma proactiva mediante llamadas telefónicas, correos electrónicos o mensajes privados en redes sociales. La narrativa construida por estos grupos criminales es extremadamente convincente, utilizando un lenguaje técnico que simula una solvencia profesional totalmente inexistente. 

Al dirigirse a víctimas de fraudes previos, los estafadores suelen conocer detalles específicos sobre el engaño original que sufrió el afectado en el pasado. Esta información privilegiada les permite generar una falsa pero potente sensación de confianza y legitimidad desde el primer momento de la charla. Sin embargo, el objetivo final es siempre el mismo: solicitar el pago de cantidades adicionales bajo conceptos que son totalmente inventados.

La OCU subraya con firmeza que ninguna entidad legítima o despacho de abogados serio solicita nunca pagos por adelantado para realizar estas gestiones. Los estafadores justifican estas peticiones de dinero alegando supuestos gastos administrativos, tasas legales de última hora o impuestos de salida pendientes. También es sumamente común que mencionen comisiones bancarias internacionales o costes específicos necesarios para el desbloqueo de los fondos recuperados. Todos estos argumentos carecen de cualquier tipo de base real y forman parte del guion diseñado para extraer el máximo capital posible. 

Una vez que la víctima realiza la transferencia solicitada, los delincuentes suelen desaparecer de forma inmediata rompiendo cualquier vía de contacto. En otras ocasiones, si detectan que el afectado aún posee recursos disponibles, inventan nuevas incidencias burocráticas para seguir pidiendo más fondos. Este ciclo de extorsión económica puede prolongarse mientras la víctima mantenga la esperanza de recuperar su inversión inicial. Es fundamental desconfiar sistemáticamente de cualquier persona que prometa resultados garantizados en la recuperación de estafas digitales complejas.

Para dotar al engaño de una apariencia altamente profesional, los grupos criminales utilizan identidades suplantadas de empresas reales y organismos oficiales. El INCIBE advierte que es habitual el uso fraudulento de logotipos reales, sellos institucionales falsificados y páginas web con un diseño muy sofisticado. Estas plataformas fraudulentas a menudo incluyen testimonios de éxito e historias de recuperación que son completamente ficticias y manipuladas. Los delincuentes también pueden llegar a hacerse pasar por representantes de las fuerzas de seguridad del estado o de agencias gubernamentales. Esta táctica busca intimidar a la víctima o hacerle creer de forma errónea que el proceso cuenta con un respaldo legal oficial. 

La presión psicológica sobre el usuario se intensifica mediante el uso de plazos cortos y una falsa sensación de extrema urgencia. Se advierte al ciudadano que la celeridad demandada es solo un método para forzar decisiones impulsivas y evitar que reflexione. La verificación independiente de la existencia de estas empresas es un paso crítico que nunca debe ser omitido por el consumidor. Existen variantes de esta estafa que van mucho más allá de la simple petición de dinero. En algunos casos, los atacantes solicitan a la víctima que instale software de acceso remoto en sus dispositivos personales bajo pretextos técnicos. El INCIBE señala que esta maniobra permite a los delincuentes observar contraseñas en tiempo real y vaciar las cuentas bancarias directamente. 

También es frecuente que pidan la creación de nuevas billeteras digitales con la excusa de recibir en ellas los supuestos fondos rescatados. En realidad, los estafadores mantienen el control total sobre estas carteras y se apropian de cualquier ingreso que se realice en ellas. Este tipo de intrusión maliciosa compromete no solo las finanzas, sino también toda la seguridad digital y la privacidad del usuario afectado. Los expertos recomiendan encarecidamente no permitir nunca el acceso de terceros desconocidos a ordenadores o teléfonos móviles personales. La protección de las claves privadas y las credenciales bancarias es siempre la última línea de defensa ante estos ataques.

Cortar y bloquear, lo primero

Ante la recepción de una oferta de este tipo, las recomendaciones de los especialistas son claras, directas y eminentemente preventivas para el usuario. En primer lugar, se debe proceder a cortar cualquier tipo de comunicación de forma inmediata con el remitente de la propuesta. No se debe facilitar bajo ningún concepto documentos personales, contraseñas bancarias ni realizar pagos por supuestas tasas o comisiones de gestión. Nunca se debe confiar ciegamente en los datos de contacto o enlaces proporcionados por la misma persona que ha iniciado el contacto. Es prudente bloquear los números de teléfono, los perfiles en redes sociales y marcar los correos electrónicos sospechosos como basura. Además, si se ha llegado a instalar algún programa sugerido por los estafadores, es estrictamente necesario revisar técnicamente el dispositivo. Por último, el cambio inmediato de todas las contraseñas expuestas y la activación de la doble autenticación son ahora pasos de seguridad obligatorios.

La colaboración ciudadana y el reporte activo de estos incidentes son elementos esenciales para combatir la actual impunidad de estas redes. El INCIBE pone a disposición de todos los ciudadanos su Línea de Ayuda en Ciberseguridad gratuita a través del número marcado como 017. Este servicio ofrece una orientación especializada y confidencial para gestionar correctamente situaciones de fraude, robo de datos o extorsión. Es fundamental recopilar todas las pruebas posibles del contacto, como capturas de pantalla de chats, correos recibidos y justificantes de pago. Esta documentación será de vital importancia al presentar la denuncia formal ante las Fuerzas y Cuerpos de Seguridad del Estado. Denunciar permite a las autoridades rastrear los patrones delictivos y bloquear los recursos financieros que utilizan habitualmente los estafadores.

La presente campaña de la Declaración de la Renta, iniciada oficialmente el pasado 8 de abril, representa un periodo crítico tanto para contribuyentes… como para los profesionales de la ciberdelincuencia que buscan lucrarse ilícitamente. Durante estas semanas de trámites fiscales, los ataques de phishing y smishing se multiplican aprovechando el volumen de comunicaciones oficiales y la urgencia de los ciudadanos por cumplir con sus obligaciones. Solo en la campaña anterior, instituciones como el INCIBE gestionaron decenas de miles de incidentes relacionados con fraudes online, confirmando que estas fechas son un señuelo recurrente. Los expertos advierten que la presión psicológica es el arma principal para que el usuario actúe rápido y sin cuestionar la veracidad del mensaje recibido. 

Desde organismos como INCIBE insisten en que es fundamental entender que el engaño puede comenzar con un simple correo electrónico que parece legítimo, pero que en realidad busca robar credenciales de acceso fiscales. Se trata de uno de los cebos más efectivos en la actualidad, un mail que simula una “nueva notificación electrónica”, utilizando un lenguaje administrativo muy convincente. Estos mensajes suelen incluir asuntos alarmistas sobre referencias de expedientes que invitan a una reacción inmediata para evitar supuestos problemas legales. Los ciberdelincuentes redirigen a las víctimas a páginas web clonadas que imitan con precisión milimétrica la sede electrónica de la Agencia Tributaria. En estos entornos fraudulentos, los usuarios introducen datos sensibles como su DNI o claves de acceso, que pasan directamente a manos de los atacantes. 

La rapidez con la que se ejecutan estas campañas dificulta muchas veces la detección por parte de los filtros de seguridad convencionales de los usuarios. Por ello, se recomienda desconfiar de cualquier comunicación que no haya sido esperada o que no siga los cauces habituales de la administración pública. La irrupción de la inteligencia artificial generativa ha elevado la sofisticación de estos ataques a niveles nunca vistos en campañas de años anteriores. Actualmente, los mensajes de fraude ya no contienen los errores gramaticales o de diseño que antes servían como señales de alerta evidentes. La IA permite crear interfaces idénticas a las oficiales y redactar textos con un tono profesional impecable, incluyendo incluso datos personalizados del contribuyente. Esto genera una falsa sensación de seguridad que facilita que incluso los usuarios más prevenidos puedan bajar la guardia ante una supuesta notificación.

Además, los ciberdelincuentes utilizan ahora ataques multicanal, coordinando correos electrónicos, SMS y llamadas telefónicas para construir una historia creíble y coherente. El objetivo final es siempre el mismo: obtener información confidencial o forzar un pago indebido bajo la apariencia de una gestión oficial necesaria. Pero afortunadamente existen señales de advertencia críticas que todo contribuyente debe aprender a identificar para proteger su información personal y bancaria durante este ejercicio fiscal. Entre ellas destaca el uso de un lenguaje alarmista que menciona bloqueos de expedientes, sanciones inminentes o embargos para provocar miedo en el receptor. También son frecuentes las promesas de reembolsos inmediatos de importes exactos, enviadas a través de enlaces acortados en mensajes de texto SMS. 

Desde Hacienda se recuerda de forma insistente que la Agencia Tributaria nunca solicita pagos urgentes ni datos bancarios a través de medios no seguros como el correo electrónico. Es vital revisar siempre el dominio del remitente, buscando variaciones sutiles que intentan imitar la dirección oficial agenciatributaria.gob.es de forma fraudulenta. Cualquier mensaje que incite a descargar archivos adjuntos, como supuestas facturas o PDFs de notificaciones, debe ser tratado con extrema precaución.

La Organización de Consumidores y Usuarios (OCU) también ha alzado la voz para alertar a los ciudadanos sobre la proliferación de estos engaños estacionales. Según la OCU, los argumentos de los estafadores cambian periódicamente, pasando de requerimientos de pago a peticiones de documentación imprescindible para recibir una devolución. La organización insiste en que la primera pista de fraude es el propio mensaje, especialmente si promete una devolución de dinero totalmente inesperada. Recomiendan encarecidamente no hacer clic en los enlaces recibidos y, en su lugar, pasar el cursor por encima para verificar la dirección de destino real. Si la dirección web no coincide con los dominios oficiales del Estado, se debe eliminar el mensaje de inmediato sin interactuar con él. La OCU recalca que mantenerse alerta es la mejor defensa ya que, una vez introducidos los datos, el proceso de reclamación puede ser complejo.

Para operar con total seguridad, es imprescindible conocer cuáles son los únicos dominios y canales oficiales que utiliza la Agencia Tributaria en sus comunicaciones. Las direcciones web legítimas incluyen siempre dominios como sede.agenciatributaria.gob.es o variantes que finalizan estrictamente en aeat.es o agenciatributaria.es. Además, la administración utiliza sistemas de identificación robustos y oficiales como el certificado digital, el DNI electrónico o el sistema Cl@ve Móvil. Hacienda ha dejado claro que nunca utiliza servicios de mensajería instantánea ni solicita información económica personal a través de plataformas como Bizum. Por otro lado, las llamadas telefónicas de supuestos agentes solo se producen si el contribuyente ha solicitado previamente una cita para ser atendido. Cualquier llamada inesperada que solicite datos bancarios o presione para realizar un trámite en el momento debe considerarse un intento de fraude telefónico o vishing.

Rapidez y pruebas

Otros métodos de engaño incluyen la oferta de servicios de pago para gestionar citas previas que, en realidad, son trámites totalmente gratuitos. Páginas web fraudulentas se presentan como intermediarios para aprovechar la saturación del sistema y la urgencia de los usuarios por resolver su situación. Igualmente, la presencia de formularios excesivamente simples que solicitan la contraseña del correo electrónico es una señal inequívoca de que se trata de una estafa. Ningún organismo oficial pedirá jamás las claves de acceso a servicios personales de mensajería o redes sociales bajo ningún concepto. Los delincuentes también utilizan documentos adjuntos maliciosos que, al ser abiertos, instalan malware en el dispositivo de la víctima para monitorizar su actividad bancaria. 

Ante cualquier duda sobre la autenticidad de un documento, lo más seguro es acudir directamente a la sede electrónica para cotejarlo mediante el código seguro de verificación. En el caso de que un ciudadano sospeche que ha podido caer en la trampa o haya introducido datos en un enlace sospechoso, debe actuar con rapidez. Lo primero es recopilar todas las pruebas posibles, como capturas de pantalla, enlaces y mensajes recibidos, para facilitar una posterior denuncia. Es fundamental cambiar de inmediato las contraseñas comprometidas y contactar con la entidad bancaria para solicitar el bloqueo preventivo de tarjetas o cuentas. El incidente debe reportarse a las Fuerzas y Cuerpos de Seguridad del Estado y a la propia Agencia Tributaria a través de sus canales de denuncias. Además, el INCIBE pone a disposición de los usuarios la Línea de Ayuda en Ciberseguridad (017) para recibir orientación experta sobre cómo proceder tras el ataque. La celeridad en estas acciones, insisten, es determinante para minimizar el impacto financiero y evitar que los delincuentes hagan un uso extensivo de la información robada. 

Anthropic, la startup que compite con OpenAI por el liderazgo de la inteligencia artificial, afirma que ha desarrollado un modelo demasiado peligroso para ser liberado al público. La compañía ha anunciado esta semana que su nueva tecnología, denominada Claude Mythos, posee una capacidad sin precedentes para identificar y explotar vulnerabilidades de ciberseguridad. Según sus datos internos, el sistema ha localizado miles de fallos en los principales programas, incluyendo todos los grandes sistemas operativos y navegadores web.

La startup ha expresado en un comunicado que teme que si publica el modelo en abierto este pueda ser utilizado por grupos de ciberdelincuentes para aprovecharse de agujeros en el código que hasta ahora habían pasado inadvertidos. Claude Mythos es un modelo general que también puede generar texto como los chatbots más conocidos, pero han sido su capacidad de analizar software lo que lo que ha desatado las alarmas.

“Los modelos de IA han alcanzado un nivel de capacidad de codificación que les permite superar a todos, salvo a los humanos más habilidosos, a la hora de encontrar y explotar vulnerabilidades de software”, asegura Anthropic en su comunicado.

Los modelos de IA han alcanzado un nivel que les permite superar a todos, salvo a los humanos más habilidosos, a la hora de encontrar y explotar vulnerabilidades de software

Anthropic

Entre los hitos del modelo, presume Anthropic, está el descubrimiento de una vulnerabilidad de 27 años de antigüedad en OpenBSD, un sistema operativo diseñado específicamente para ser difícil de hackear. Logan Graham, responsable del equipo de pruebas de la empresa, ha calificado el avance como “un punto de inflexión” para la industria tecnológica.

Ante el temor de que la herramienta sea utilizada por los ciberdelincuentes, Anthropic ha optado por un despliegue restringido a través de una iniciativa llamada Project Glasswing. Se trata de una coalición de 40 organizaciones, entre las que se encuentran gigantes como Apple, Amazon, Microsoft, Google y la Linux Foundation, a los que ha dado acceso al modelo para que parcheen las posibles brechas que Claude Mythos pueda detectar en sus sistemas.

A pesar del revuelo generado en torno a las capacidades de esta nueva IA en las últimas horas, por el momento ninguna de estas compañías ha desmentido las capacidades de las que presume Anthropic. Amazon, Google y Microsoft son inversores oficiales de la startup, mientras que Apple y la Linux Foundation colaboran estrechamente con la empresa.

El secretario del Tesoro reúne a los bancos

El debate en torno a Claude Mythos ha escalado fuera de las fronteras de la industria tecnológica este viernes. Varios diarios económicos, entre ellos el Financial Times, han informado de que el secretario del Tesoro de Estados Unidos, Scott Bessent, convocó esta semana a los máximos responsables de algunos de los mayores bancos del país para abordar los riesgos asociados a esta IA.

Según el citado medio, que cita fuentes conocedoras del encuentro, a este asistieron directivos de Bank of America, Citigroup, Goldman Sachs, Morgan Stanley y Wells Fargo. También participó el presidente de la Reserva Federal, Jay Powell. El consejero delegado de JPMorgan Chase, Jamie Dimon también había sido invitado, aunque finalmente no pudo asistir.

Había sido precisamente Dimon el que, en su carta anual publicada esta semana, había escrito que los ciberataques “siguen siendo uno de nuestros mayores riesgos”, que “la IA casi con seguridad lo agravará” y que será necesaria una inversión significativa en defensa.

Según ha informado Anthropic, ya antes de esta reunión con los principales bancos, sus responsables habían iniciado conversaciones con el gobierno estadounidense para hablar de los riesgos de Claude Mythos para la seguridad nacional. La salida a la luz del modelo pilla a la startup en medio de una guerra abierta con la Casa Blanca: Donald Trump ordenó calificar a la empresa como un “riesgo para la cadena de suministro” después de que esta se negara a levantar algunas salvaguardas de seguridad en el uso de su IA en la guerra de Irán.

La sombra de una estrategia comercial

Sin embargo, no todos los expertos comparten el clima de pánico. El analista Gary Marcus, uno de los mayores críticos con el “autobombo” que rodea a la industria de la IA, ha señalado que el anuncio de Anthropic podría estar “inflado” y responder más a una maniobra de marketing que a una amenaza inmediata.

Marcus advierte que, en las pruebas de explotación del navegador Firefox presentadas por la empresa, se desactivó el “sandboxing” (un mecanismo de aislamiento de seguridad), lo que facilitó enormemente la tarea del modelo y lo convirtió más en una “prueba de concepto” que en un peligro real.

Además, Marcus subraya que modelos de código abierto mucho más pequeños y económicos ya han demostrado ser capaces de realizar análisis de vulnerabilidades similares a los de Mythos. Para el analista, el modelo está “en la tendencia” de evolución de la industria, pero no representa un salto fuera de los gráficos respecto a sus competidores.

El apartamento vacacional cerca de las ruinas romanas de Pompeya era “asqueroso” y olía a “una mezcla de humedad y alcantarilla”, según un usuario en Google Maps. Yo nunca lo visité, pero le puse cinco estrellas.

Hice lo mismo con un hotel DoubleTree de Hilton al otro lado del Támesis, un hotel Ibis budget en el este de Londres que forma parte del grupo Accor, un Travelodge céntrico y el cercano Hyatt Place; algunas de las marcas hoteleras más conocidas del mundo. Entre medias se mezclaban solicitudes de reseñas para hostales y pensiones en Génova, Nápoles, Maastricht, Cracovia y Bruselas. Durante unos días tuve un nuevo trabajo: escribir reseñas falsas en Google Maps a cambio de criptomonedas.

Todas las marcas hoteleras que respondieron a una solicitud de comentarios para este reportaje afirmaron que no tenían nada que ver con las reseñas y, de hecho, aseguraron no haber visto nunca nada parecido. Entonces, ¿qué está pasando? La respuesta parece ofrecer una pequeña pincelada sobre la enorme y creciente industria de las estafas online, que está socavando la confianza en las valoraciones de los clientes —una parte vital del comercio electrónico— y costando a los consumidores miles de millones de euros al año.

Pero las reseñas de hoteles podrían no ser el objetivo principal de la estafa: de hecho, el blanco principal de los estafadores era probablemente yo, al igual que todas las demás personas tentadas a escribir las reseñas.

“Es un placer conocerte”, fue el primer mensaje de “Sharon Roberts”, una cuenta de Telegram ya eliminada que era, casi con toda seguridad, un seudónimo. No era el primer mensaje que recibía: mi número está en alguna lista de víctimas potenciales, por lo que me llegan dos o tres ofertas de trabajo al mes. Esta vez decidí comprobar si las promesas de ganar hasta 800 libras (unos 916 euros) al día eran ciertas.

Tras responder, siguieron nueve días de insistencia, instrucciones y mensajes motivadores para intentar convencerme de que aceptara el trabajo. “¿Es esto legal?”, pregunté. La confusa respuesta de Sharon, en un inglés que no parecía propio de un hablante nativo, fue: “Colaboramos con operadores de SMS a través de la publicación de ofertas de trabajo en Telegram y SMS”.

Pero Sharon era solo una reclutadora. Los estafadores más profesionalizados han adoptado la división del trabajo, asignando cada fase del engaño a un especialista. Sharon me derivó a una “recepcionista” que se hacía llamar Victoria Castillo; de nuevo, no había pruebas de que el nombre perteneciera a la persona real. Victoria me guio en el proceso de configurar un monedero de criptomonedas en una plataforma de intercambio estadounidense y en cómo aceptar pagos en USDC, una stablecoin vinculada al valor del dólar. (Según la legislación británica, los receptores de pagos en criptomonedas deben declarar su origen. “Puedes ignorar eso”, fue el consejo de Victoria cuando le pregunté por la notificación).

Las fotos de perfil de Victoria mostraban a una mujer rubia frente al perfil de una ciudad no identificada, o con un impecable traje de esquí blanco junto a una pista nevada. Dijo que vivía en Nueva York pero que había nacido en el Reino Unido. Las búsquedas inversas de imágenes sugirieron que el rostro de esa persona coincidía con fotografías de varios sitios web pornográficos.

Internet ha permitido que el fraude se convierta en una industria verdaderamente global. Investigadores de todo el mundo han detectado un aumento de este tipo de estafas operadas desde países con leyes laxas, como Camboya, Myanmar o Rusia. En algunos casos, los propios estafadores son víctimas de trata y esclavitud en centros de estafas que funcionan como prisiones. Cuando más tarde le preguntamos a Victoria si corría algún peligro, su respuesta fue: “¿Ah? Siempre estoy a salvo”. Su perfil no daba ninguna indicación de dónde se encontraba.

Serpil Hall, una consultora de fraude que lleva 20 años luchando contra los estafadores, afirma haber visto un gran aumento en el volumen de estafas online en los últimos seis o siete años, impulsado por nuevas tecnologías que facilitan a los delincuentes la suplantación de empresas oficiales. “En lo que respecta a las estafas, se están volviendo muy hábiles”, señala. “Especialmente con la IA, la IA generativa y ahora la IA agéntica”, bots que pueden operar de forma independiente y realizar acciones en el mundo real, potencialmente contra las víctimas.

Suplantación de empresas

Mis empleadores no parecían estar utilizando las herramientas más sofisticadas, pero lo compensaban con el volumen. Victoria me dirigió a un canal de Telegram independiente, con el nombre y una imagen corporativa aproximada de Quad Marketing Agency, una gran empresa que cotiza en la bolsa de Nueva York.

Un portavoz de Quad declaró: “Quad no tenía información sobre este canal y no está afiliada a él de ninguna manera. Estamos revisando este asunto y tomaremos las medidas justificadas y apropiadas con respecto a este uso no autorizado del nombre de Quad y la consiguiente imitación de nuestro logotipo”.

El canal que pretendía ser Quad, fácilmente accesible para cualquier persona en Telegram, tiene 16.800 suscriptores, mientras que otro canal casi idéntico cuenta con 14.700, lo que permite vislumbrar la escala industrial de la operación. Un portavoz de Telegram afirmó que cuentan con un “robusto sistema antispam” que previene muchas estafas antes de que comiencen.

“Aunque lamentablemente las estafas están presentes en todas las redes sociales, Telegram elimina rutinariamente este tipo de fraudes de su plataforma como parte de sus procesos normales de moderación”, señaló el portavoz. “Los moderadores, apoyados por herramientas de IA personalizadas, supervisan proactivamente las partes públicas de la plataforma y aceptan denuncias para eliminar millones de contenidos dañinos cada día, incluyendo estafas de reseñas fraudulentas”.

Los moderadores, apoyados por herramientas de IA personalizadas, supervisan proactivamente las partes públicas de la plataforma y aceptan denuncias para eliminar millones de contenidos dañinos cada día

Portavoz de Telegram

Los canales publican un flujo constante de “trabajo” de 8:00 a 19:00 (hora del Reino Unido): hasta 14 reseñas, pagadas inicialmente a 5 dólares por cada una. Estas se intercalan con “tareas comerciales”, en las que el trabajador envía criptomonedas y los empleadores le devuelven la misma cantidad con una generosa comisión añadida. Desde el 12 de marzo, el canal había publicado casi 6.000 mensajes solicitando reseñas falsas.

Accor y Travelodge afirmaron que no tenían nada que ver con las reseñas falsas y que tratarían de garantizar que no se publicara ninguna. Un portavoz de Travelodge declaró: “Nos tomamos muy en serio la integridad de las valoraciones de los clientes y, como establece nuestra política, no creamos, encargamos ni publicamos reseñas falsas bajo ninguna circunstancia”. The Guardian también contactó con Hilton y Hyatt Place para obtener comentarios, pero no hubo respuesta.

Otra oferta de trabajo de reseñas falsas ligeramente diferente, también organizada a través de Telegram, utilizaba la imagen de HotelsCombined (parte del grupo Booking.com) para solicitar reseñas de hoteles en lugares tan distantes como Bucarest, Bali y Tailandia a través de un sitio web diseñado a medida por los estafadores.

Un portavoz de Booking.com señala que solo los clientes con estancias confirmadas pueden publicar reseñas, lo que sugiere que es poco probable que las falsas lleguen a publicarse. El portavoz añade: “Esas medidas, combinadas con equipos especializados y sistemas automatizados, significan que contamos con un procedimiento robusto para detectar y prevenir reseñas que no cumplan con nuestras directrices de contenido”.

Cómo utilizan a las víctimas

Había varias formas posibles en las que los estafadores podrían haber estado utilizando a víctimas como yo.

En primer lugar, las reseñas en internet han facilitado que los delincuentes vendan productos y servicios fraudulentos. La Autoridad de Mercados y Competencia del Reino Unido (CMA) descubrió en 2023 que los textos de reseñas falsas en productos causan un perjuicio anual de entre 50 y 312 millones de libras a los consumidores británicos (y eso sin incluir servicios como los hoteles). La CMA afirmó que entre el 11% y el 15% de todas las reseñas eran falsas en los productos que examinó, incluyendo auriculares Bluetooth, planchas, hervidores, sillas de escritorio, botellas de agua, esterillas de yoga y aspiradoras.

Ese es un dinero que, esencialmente, se embolsan los estafadores, lo que hace que el trabajo de los reseñadores falsos sea potencialmente valioso. Es poco probable que alguna de las grandes cadenas hoteleras haya pagado por reseñas falsas, pero el servicio está fácilmente disponible a través de búsquedas en internet y podría resultar tentador para un operador más pequeño.

Luego están las transacciones en sí mismas. Recibí 5 dólares en USDC por cada reseña falsa. Chainalysis, una firma que rastrea transacciones en blockchain —a menudo en colaboración con las fuerzas de seguridad—, señaló que los monederos que realizaron los pagos y otros vinculados a ellos siguen un patrón constante que revela la escala industrial de las estafas. Los monederos se recargan desde otros lugares antes de enviar decenas de miles de pequeños pagos, presuntamente a reclutas como yo. Estos monederos solían repartir entre 300.000 y 600.000 dólares en USDC antes de transferir el dinero restante.

Bajo las leyes introducidas en el Reino Unido el pasado abril, las plataformas web como Google que albergan reseñas deben tener políticas claras para la prevención y eliminación de valoraciones falsas e incentivadas, marcar actividades sospechosas y garantizar, en la medida de lo posible, que las reseñas publicadas sean auténticas y no engañosas.

Tras la presión de la CMA, Google acordó este año hacer más para identificar y eliminar reseñas falsas. Y, para mi tranquilidad, mi racha de valoraciones fraudulentas activó una respuesta automática. Al menos algunas parecen haber sido bloqueadas por los sistemas de Google.

Google afirmó que toma medidas rápidas contra los malos actores eliminando el contenido que infringe sus políticas, suspendiendo cuentas e incluso emprendiendo acciones legales. La empresa señaló que ha eliminado más de 240 millones de reseñas falsas desde 2024 —la gran mayoría antes de que fueran visibles— y que ha restringido 900.000 cuentas por violar sus normas.

La estafa del cerdo

Hall explica que quienes se dedican a las reseñas falsas han recurrido a “bots humanos” porque “las empresas se están adelantando y aplicando medidas” para detectar la actividad fraudulenta. Sin embargo, añadió que lo más probable es que los estafadores estuvieran haciendo un “doble juego”: usar mi trabajo, pero también utilizar los pagos para el blanqueo de capitales, antes de estafarme a mí al final del proceso.

Las criptomonedas desempeñan un papel crucial. Por diseño, los activos digitales registran todas las transacciones en una cadena de bloques pública. Pero el “tumbling” (unir dinero negro en una sola cuenta, dividirlo y recombinarlo muchas veces) puede ayudar a ocultar su origen, un servicio muy valioso para los grupos criminales.

Tras aprovecharse de mi trabajo, la atención de los estafadores se centró finalmente en sacarme dinero; una versión a menor escala de las estafas de “matanza del cerdo”, en las que los delincuentes “ceban” a sus objetivos ganándose su confianza para luego huir con grandes sumas de dinero. Victoria me dijo que la única forma de continuar sería realizar una “tarea comercial”, que consistía en pagar 50 dólares para recibir 60 de vuelta.

Una tabla publicada regularmente en el canal detallaba de forma muy útil lo que podía esperar si seguía adelante: pagos cada vez mayores reportarían beneficios cada vez más altos, alcanzando un máximo de 16.000 dólares por un desembolso inicial de 10.000.

Aunque el estafador pueda realizar unos pocos pagos iniciales para infundir confianza en las víctimas, el objetivo final es huir con los fondos

Jacqueline Burns Koven — jefa de inteligencia de ciberamenazas en Chainalysis

Jacqueline Burns Koven, jefa de inteligencia de ciberamenazas en Chainalysis, señala: “Esto parece similar a las estafas de empleo. Básicamente, un fraude donde la gente se registra para hacer 'tareas' y acumular un saldo, para luego tener que pagar si quieren retirar ese dinero o 'actualizar' su cuenta. Aunque el estafador pueda realizar unos pocos pagos iniciales para infundir confianza en las víctimas, el objetivo final es huir con los fondos”.

Victoria enviaba recordatorios motivacionales diarios para intentar que me involucrara, pero la cuenta de gastos de The Guardian no llega para enviar miles de libras a posibles estafadores, así que llegué al final del camino. Cuando le revelé que era periodista y le pregunté quién era realmente, se quejó de que estaba invadiendo su privacidad antes de dejar de responder. No contestó a una solicitud detallada de comentarios.

Gané 30 dólares por varias horas de trabajo repartidas a lo largo de semanas. Mientras tanto, un par de mensajes más han llegado a mi Telegram: mujeres jóvenes ofreciendo más trabajo.

Bankinter ha tenido que asumir la responsabilidad de una de las mayores brechas de seguridad de la banca digital reciente tras la absorción de EVO Banco. La Agencia Española de Protección de Datos (AEPD) ha impuesto a la entidad una multa de 400.000 euros como responsable última del agujero originado en EVO, aunque ha aceptado como atenuante el hecho que este se produjo con anterioridad a la fusión. Tras asumir la responsabilidad y acogerse al pago voluntario, la cuantía final ha sido de 240.000 euros.

La causa de la brecha fue un “error manual” de configuración durante un proceso de migración de software, según ha reconocido Bankinter. El fallo permitía realizar consultas masivas a la base de datos sin necesidad de credenciales válidas, algo que los sistemas de validación de la entidad no detectaron porque solo comprobaban que los datos se entregaran correctamente, pero no quién los solicitaba.

El agujero estuvo abierto desde febrero a abril de 2024. En marzo del mismo año, un ciberdelincuente descubrió la vulnerabilidad y durante cuatro días realizó hasta cinco millones de peticiones de datos. Más de 1,2 millones de esas consultas resultaron exitosas. No obstante, el informe pericial independiente citado en la resolución de la AEPD recoge que no existen pruebas de que el atacante pudiera exportar toda la información proporcionada por el sistema.

Esas fichas personales incluían números de cuenta IBAN, declaraciones de IVA del último ejercicio, ingresos mensuales, situación laboral y años trabajados de los afectados. La AEPD alerta en su resolución que esta combinación de datos permite construir un perfil “completo y detallado” de un individuo, lo que dispara las posibilidades de que sean víctimas de intentos de fraude o suplantaciones de identidad.

Sin embargo, los ciberdelincuentes no se detuvieron ahí. En una maniobra típica de estos grupos cuando tienen acceso a una brecha de alta gravedad, lanzaron una campaña de extorsión contra varios empleados del banco. Primero, publicaron los datos de 10 víctimas en un portal de la dark net como prueba de su ataque. Después, exigieron un pago a los responsables para retirar la información, entre ellos el jefe de ciberseguridad de EVO.

Al no obtener el dinero, los ciberdelincuentes cumplieron su amenaza y publicaron más paquetes de información de afectados, que incluían perfiles personales detallados de 958 clientes y cuatro trabajadores del banco.

En su resolución, la AEPD critica que la entidad careciera de medidas de cifrado o anonimizado adecuadas para este tipo de datos, lo que permitió que la información fuera visible para cualquiera que lograra acceso. “Los afectados confían en la entidad para el manejo seguro de su información personal, habiéndose erosionado la confianza y expectativas razonables de los afectados respecto al tratamiento de sus datos personales”, señala la Agencia.

Bankinter adquirió EVO Banco en 2019, pero ambas entidades continuaron operando como filiales separadas. El anuncio de la fusión definitiva llegó en abril de 2024, unas semanas después de que se produjera la brecha de seguridad ahora sancionada. La integración definitiva de los dos bancos concluyó el 14 de julio de 2025, fecha en la que EVO desapareció como entidad independiente y Bankinter asumió tanto la cartera de clientes como las responsabilidades legales derivadas de la gestión anterior.

Las víctimas de estafas digitales como el 'phishing' podrían contar pronto con una protección jurídica sin precedentes gracias a la Unión Europea. Y es que el Tribunal de Justicia de la Unión Europea (TJUE) estudia actualmente un caso que podría obligar a los bancos a agilizar las devoluciones de dinero sustraído. Según las conclusiones del Abogado General, las entidades financieras deberían realizar reembolsos automáticos incluso ante sospechas de descuido por parte del usuario afectado. Esta postura busca equilibrar la balanza en un escenario donde los ataques de ciberdelincuentes son cada vez más sofisticados y difíciles de detectar. Si el tribunal confirma este criterio, el proceso de recuperación de fondos dejará de ser una carrera de obstáculos para los ciudadanos estafados por la ciberdelincuencia.

El cambio normativo afectaría directamente a cómo los proveedores de servicios gestionan los fraudes por enlaces falsos o suplantación de identidad. En la actualidad, el principal escollo para los usuarios es que los bancos suelen rechazar sistemáticamente el reembolso alegando una supuesta negligencia grave del cliente. Esta práctica obliga a la parte más débil del contrato a soportar el golpe económico inicial y a iniciar procesos judiciales costosos. Muchas personas terminan renunciando a su dinero debido al desgaste emocional y al tiempo que conlleva litigar contra una gran entidad financiera. Organizaciones de consumidores como la OCU denuncian que las entidades usan este argumento de forma genérica y sin aportar pruebas concretas de la falta de cuidado.

Este vacío legal permite en la actualidad que los bancos desplacen la responsabilidad al consumidor desde el primer momento de la reclamación. La futura sentencia europea pretende acabar con esta indefensión estructural permitiendo que el afectado recupere su liquidez de forma inmediata y sencilla. El Abogado General del TJUE, Athanasios Rantos, ha defendido concretamente y con claridad que el reembolso debe ser la prioridad absoluta tras una estafa. Sus conclusiones, aunque no son vinculantes para el tribunal, suelen marcar la línea que seguirá la sentencia definitiva en los próximos meses. Rantos sostiene que la normativa europea de servicios de pago exige que el banco devuelva el importe el mismo día hábil de la queja. 

Bajo esta premisa, la entidad no podría bloquear el dinero basándose únicamente en su propia sospecha subjetiva sobre el comportamiento del usuario. Se trata de un cambio de paradigma: primero se restablece el saldo de la cuenta y después se discute la culpabilidad. Esta interpretación refuerza los derechos financieros de los consumidores frente a la creciente ola de fraudes en la banca electrónica actual. El origen de esta controversia legal se encuentra en un juzgado de Polonia que elevó una cuestión prejudicial al alto tribunal comunitario. El caso involucra a una mujer que fue víctima de un engaño tras recibir un enlace falso que imitaba a su entidad bancaria. Los estafadores consiguieron sus claves de acceso y realizaron un pago no autorizado que el banco se negó a cubrir inicialmente.

La entidad argumentó que la divulgación de las credenciales, incluso bajo engaño, constituía una infracción grave de las obligaciones de seguridad. La afectada defendió ante los tribunales que solo el fraude propio o la mala fe probada deberían impedir el reintegro inmediato. Esta disputa ha servido para que el TJUE defina si la negligencia es motivo suficiente para retener fondos sustraídos fraudulentamente. La tesis defendida por el Abogado General distingue nítidamente entre la devolución inmediata y la responsabilidad final del incidente económico. El banco debe reintegrar el dinero sin dilaciones, pero esto no significa que el cliente quede exento de toda responsabilidad posterior. 

Es decir, si más adelante se demuestra que el usuario actuó con un descuido inexcusable, el banco podrá reclamar legalmente el importe devuelto. Este mecanismo evita que la simple acusación de negligencia sirva como excusa automática para que el banco no pague desde el inicio. El objetivo es que el usuario no cargue con la pérdida inicial mientras se resuelve la compleja investigación técnica del fraude. Es una estrategia de “reembolsar primero y discutir después” que garantiza la liquidez inmediata de las víctimas de estos delitos.

Futuro precedente obligatorio

Según el Derecho europeo, solo existe una excepción válida para que un banco frene el reembolso automático de una operación no autorizada. La entidad solo podría negarse si tiene motivos razonables para sospechar un fraude cometido por el propio usuario de la cuenta. En tal caso, el banco está obligado a comunicar sus sospechas por escrito al organismo supervisor nacional, como el Banco de España. Fuera de este supuesto, la sospecha de haber pinchado en un enlace malicioso no bastaría para retener el dinero. La carga de la prueba recae sobre la institución financiera, que debe demostrar ante un juez la negligencia específica del cliente. De este modo, se protege a los autónomos y consumidores de la indefensión que supone enfrentarse a algoritmos bancarios opacos.

En España, la situación es crítica debido al aumento exponencial de casos de 'phishing' que terminan en largas disputas sin resolución rápida. La OCU señala que muchas entidades rechazan los reembolsos de forma automática, obligando a los afectados a acudir al Banco de España. Sin embargo, el supervisor nacional reconoce a menudo que determinar la existencia de negligencia grave excede sus competencias administrativas. Esto deja a los ciudadanos en un callejón sin salida legal que solo se resuelve mediante demandas judiciales lentas y costosas. La futura sentencia del TJUE sentará un precedente obligatorio que todos los juzgados de la Unión Europea deberán acatar y aplicar. Los protocolos internos de las cajas y bancos españoles tendrán que ser revisados profundamente para cumplir con el nuevo marco protector.

Una nueva campaña de ciberestafa ha puesto en alerta a las autoridades españolas tras detectarse una suplantación masiva de Mi Carpeta Ciudadana, el portal administrativo oficial. El Instituto Nacional de Ciberseguridad (INCIBE) y la Guardia Civil han denunciado este fraude, que utiliza un reclamo económico muy tentador para engañar a miles de usuarios: los estafadores envían correos electrónicos que notifican un supuesto ingreso de 552,97 euros a favor del ciudadano, generando una sensación de urgencia y curiosidad inmediata en el receptor. Este gancho emocional está diseñado específicamente para que la víctima actúe de forma impulsiva y pinche en el enlace de acceso sin verificar la veracidad del mensaje.

El objetivo final de los profesionales de la ciberdelincuencia es obtener información personal y bancaria altamente sensible de ciudadanos que creen estar gestionando un trámite legítimo. La importancia de esta alerta es alta, debido a la sofisticación del engaño y al uso de logotipos oficiales que confunden a la población. Y es que Mi Carpeta Ciudadana es el espacio digital del Gobierno que permite a los ciudadanos consultar sus datos y realizar trámites administrativos en un único lugar de forma cómoda. Debido a la gran utilidad de este servicio, que evita desplazamientos físicos a las oficinas públicas, los atacantes han visto una oportunidad para camuflar sus peligrosos engaños. 

El portal oficial facilita la gestión de expedientes, citas previas y notificaciones de diversas administraciones, lo que otorga una apariencia de seriedad a cualquier mensaje recibido. Los estafadores se aprovechan de esta confianza institucional para lanzar ataques de tipo ‘phishing’ de forma indiscriminada a una enorme cantidad de correos electrónicos. Resulta fundamental comprender que este servicio administrativo nunca enviará comunicaciones solicitando datos bancarios privados a través de un simple mensaje de correo electrónico. La seguridad de la administración pública se basa en sistemas de identificación mucho más robustos y protegidos que un simple enlace directo.

El diseño del mensaje fraudulento es sumamente engañoso, ya que incluye el logotipo oficial de Mi Carpeta Ciudadana para proyectar una imagen de autenticidad y confianza absoluta. Además, los delincuentes utilizan un lenguaje técnico y legal, mencionando leyes como la 39/2015 y referencias de expedientes ficticios para intimidar a la posible víctima. El asunto del correo suele ser “Notificación de ingreso disponible”, un mensaje directo que busca la interacción inmediata del usuario antes de analizar los detalles. Otra señal sospechosa es que el texto invita a responder directamente al correo electrónico en caso de duda, algo que los sistemas oficiales nunca harían. Las notificaciones administrativas reales son unidireccionales y se gestionan exclusivamente a través de las sedes electrónicas oficiales tras una identificación de seguridad. 

Para identificar este fraude, el primer paso esencial es fijarse detenidamente en la dirección de correo electrónico del remitente, que suele ser la señal más reveladora. En este caso concreto, el correo proviene del dominio “info.com.es”, mientras que la Administración General del Estado siempre utiliza dominios terminados en “.gob.es”. Cualquier comunicación administrativa que llegue desde extensiones como .com, .net o .info debe ser tratada automáticamente como una amenaza potencial de ciberseguridad. Los expertos recomiendan pasar el ratón por encima de los enlaces sin pulsar para ver la dirección URL real a la que pretenden redirigir al usuario. Si la página de destino no comienza exactamente por la dirección oficial “micarpetaciudadana.gob.es”, se trata inequívocamente de un sitio web malicioso controlado por criminales. 

Cuando una persona pulsa en el botón de “Acceder ahora”, es redirigida a una página web que imita a la perfección el diseño del portal gubernamental para engañar. En este sitio falso, se le solicita al usuario que inicie un proceso de supuesta verificación y reidentificación para poder recibir el ingreso económico prometido. El formulario exige la introducción de datos personales críticos como el nombre completo, apellidos, fecha de nacimiento, número de teléfono y el número del DNI. Es en este momento cuando la víctima comienza a entregar las llaves de su identidad digital a los atacantes, primer paso de una estafa que busca posteriormente acceder a las cuentas bancarias.

Tras capturar la información personal, la web fraudulenta solicita al usuario que introduzca su número de cuenta bancaria o IBAN para efectuar el supuesto ingreso de dinero. Inmediatamente después, aparece una pasarela de pago ficticia que pide la contraseña de acceso a la banca electrónica del usuario bajo un falso pretexto de seguridad. Es vital recordar que ningún organismo público solicitará jamás una contraseña de acceso bancario a través de un enlace enviado por un correo electrónico. Una vez que el usuario facilita estas credenciales, los ciberdelincuentes obtienen el control total para realizar transferencias o contrataciones no autorizadas en su nombre. 

La mejor forma de evitar caer en estas trampas es recordar que para cualquier gestión oficial se requiere obligatoriamente el uso del sistema Cl@ve o certificado digital. Si al acceder a una supuesta web de la administración no se solicita uno de estos métodos de identificación oficial, es una señal inequívoca de un posible fraude. Nunca se deben seguir enlaces contenidos en mensajes sospechosos, especialmente aquellos que prometen inesperados ingresos de dinero. Si ya se han facilitado datos personales o bancarios en la web falsa, es imperativo actuar con la máxima celeridad para minimizar los posibles daños económicos futuros. 

Obtener pruebas y denunciar

El primer paso debe ser contactar inmediatamente con la entidad bancaria para bloquear las cuentas, tarjetas y cambiar las claves de acceso a la banca digital. Es fundamental guardar todas las evidencias posibles del fraude, como capturas de pantalla del correo y de la web maliciosa. Con estas pruebas, se debe acudir a una comisaría de la Policía Nacional o de la Guardia Civil para interponer la denuncia correspondiente lo antes posible. También se recomienda cambiar las contraseñas de otros servicios digitales. La rapidez en la respuesta es determinante para que el banco pueda intentar recuperar los fondos y para proteger la identidad.

Para una protección a largo plazo, las autoridades recomiendan realizar prácticas de “egosurfing” periódicamente para detectar si nuestros datos personales han sido filtrados en internet. Existen herramientas y buscadores especializados que notifican si una dirección de correo o un número de teléfono aparecen en bases de datos de ciberataques previos. Ante cualquier duda sobre la veracidad de una comunicación oficial, los ciudadanos tienen a su disposición el número gratuito 017 de Ayuda en Ciberseguridad. Este servicio del INCIBE ofrece asesoramiento personalizado para confirmar si un mensaje es legítimo o si forma parte de una campaña de ‘phishing’ activa. 

LeakBase, uno de los principales mercados mundiales de compraventa de datos personales y contraseñas robadas, ha sido clausurado en una operación internacional en la que han participado la Policía Nacional y la Guardia Civil. La intervención se ha ejecutado de forma simultánea en 14 países para tumbar una plataforma que acumulaba más de 142.000 usuarios registrados desde su creación en el año 2021 y era accesible desde la web abierta.

La Policía describe a LeakBase como “un centro clave en el ecosistema del cibercrimen, especializado en el comercio de bases de datos filtradas”, así como en “los llamados stealer logs”, que son archivos de contraseñas y otras credenciales robadas programas maliciosos instalados en dispositivos infectados.

La información comercializada procedía fundamentalmente de brechas de seguridad en grandes compañías y del volcado de datos de equipos domésticos infectados con este tipo de malware. Los paquetes de datos expuestos incluían nombres de usuario, contraseñas y otros identificadores personales que posteriormente eran adquiridos por otros ciberdelincuentes “para ejecutar fraudes, suplantaciones de identidad o nuevos ciberataques”.

LeakBase había tenido un crecimiento exponencial desde 2024, cuando cayó otro foro similar llamado BreachForums. A finales de 2025 acumulaba ya unos 32.000 hilos públicos activos y 215.000 mensajes privados a diciembre 2025, según la información de diversos analistas de ciberseguridad. Su archivo maestro acumulaba cientos de millones de contraseñas robadas, incluyendo compilaciones como RockYou2024 (que agrupaba más 10.000 millones de contraseñas), que LeakBase revendía en paquetes segmentados por país o tipo de cuenta.

La plataforma surgió en 2021 como alternativa “fiable” a foros rusos como Exploit.in, posicionándose en la web para atraer a criminales no tan especializados en los ciberataques. “Entre sus normas internas destacaba la prohibición expresa de vender o publicar datos relacionados con Rusia”, recalca la Policía, una regla diseñada a evitar los contraataques de los grupos procedentes del país y hacer de LeakBase un “puerto seguro” para ciberdelincuentes occidentales.

Un detenido en España

En el despliegue realizado en España los agentes identificaron a dos personas y detuvieron a una de ellas. Estos individuos habían, presuntamente, “implementado complejos sistemas de anonimización y desarrollado técnicas avanzadas para ocultar su huella digital y dificultar su localización”. También se han efectuado dos registros domiciliarios en las provincias de A Coruña y Vizcaya, durante los que se ha intervenido abundante material informático y documentación relacionada con la gestión del portal.

“Como parte de la investigación, las autoridades incautaron la base de datos del foro, lo que permitió la desanonimización de numerosos usuarios que creían operar de manera anónima. Los agentes continúan rastreando activamente las huellas digitales para identificar a más infractores y establecer sus identidades en el mundo real”, detallan las autoridades.

Además de España, los países participantes en la operación han sido Australia, Estados Unidos, Canadá, Bélgica, Alemania, Grecia, Kosovo, Malasia, Países Bajos, Polonia, Portugal, Rumanía y Reino Unido.

“Esta operación también sirve como recordatorio de que, cuando se produce una filtración de datos, la información robada no desaparece automáticamente, sino que puede reaparecer en plataformas ilegales, donde podría ser utilizada para estafas, suplantaciones de identidad o intentos de acceso no autorizado a cuentas”, recuerda la Policía: “Proteger los datos personales sigue siendo esencial. Emplear contraseñas fuertes y únicas, junto con la activación de la autenticación multifactor, ayuda a reducir significativamente los riesgos si la información se ve comprometida”.