Según el Ministerio del Interior, en 2025 se registraron en España 488.426 ciberdelitos, un 5,1 % más que el año anterior, que suponen ya el 19,8 % de toda la criminalidad conocida. Casi nueve de cada diez fueron fraudes informáticos, y los delitos de acceso e interceptación ilícita crecieron un 40,7 %. Ninguna empresa, por pequeña que sea, está a salvo: muchos ataques son automatizados y buscan cualquier vulnerabilidad. En esta guía explicamos cómo defenderse antes, durante y después de un ataque, desde el punto de vista técnico y jurídico.
1. Los ataques más frecuentes
| Ataque | Cómo funciona | Delito habitual |
|---|---|---|
| Ransomware | Un programa malicioso cifra los sistemas y los datos; los atacantes piden un rescate y a menudo amenazan con publicar la información robada (doble extorsión). | Daños informáticos (art. 264 CP), extorsión (art. 243 CP), descubrimiento y revelación de secretos (art. 197 CP). |
| Phishing y spear phishing | Correos, SMS o mensajes que suplantan a una entidad de confianza para obtener credenciales o instalar malware. | Estafa informática (arts. 248 y 249 CP), acceso ilícito (art. 197 bis CP). |
| Fraude del CEO y compromiso del correo empresarial (BEC) | El atacante accede al correo o lo suplanta y ordena pagos urgentes o cambia la cuenta bancaria de un proveedor. | Estafa (arts. 248 y siguientes CP). |
| Robo de credenciales y toma de cuentas | Reutilización de contraseñas filtradas o ataques de fuerza bruta contra accesos remotos, correo o banca. | Acceso ilícito a sistemas (art. 197 bis.1 CP). |
| Exfiltración de datos | Intrusión silenciosa para robar información confidencial, secretos empresariales o datos de clientes. | Descubrimiento y revelación de secretos (arts. 197 y 278 y siguientes CP). |
| Denegación de servicio (DDoS) | Saturación de la web o los servicios para dejarlos inoperativos. | Obstaculización de sistemas informáticos (art. 264 bis CP). |
| Suplantación de identidad en redes y WhatsApp | Robo de la cuenta para pedir dinero a los contactos o dañar la reputación. | Estafa, acceso ilícito y, en su caso, usurpación de identidad. |
| SIM swapping | Duplicado fraudulento de la tarjeta SIM para recibir los códigos de verificación de la víctima. | Estafa informática y acceso ilícito. |
| Ataque interno | Empleados o exempleados que acceden a sistemas o se llevan información. | Acceso ilícito, revelación de secretos, daños informáticos. |
2. Qué dice el Código Penal
- Acceso ilícito a sistemas (art. 197 bis.1 CP): acceder o facilitar el acceso a un sistema de información vulnerando las medidas de seguridad y sin autorización.
- Interceptación de transmisiones de datos informáticos (art. 197 bis.2 CP).
- Producción o adquisición de herramientas para cometer estos delitos (art. 197 ter CP).
- Daños informáticos: borrar, dañar, deteriorar, alterar o hacer inaccesibles datos o programas ajenos (art. 264 CP), y obstaculizar gravemente el funcionamiento de un sistema (art. 264 bis CP).
- Estafa informática, mediante manipulación informática o artificio semejante (art. 249 CP).
- Descubrimiento y revelación de secretos (art. 197 CP) y de secretos de empresa (arts. 278 a 280 CP).
- Responsabilidad penal de la persona jurídica: las empresas pueden ser responsables de algunos de estos delitos si se cometen en su beneficio y sin un modelo de prevención eficaz (arts. 31 bis, 197 quinquies y 264 quater CP). Esto afecta, por ejemplo, a la empresa cuyo empleado accede ilícitamente a los sistemas de un competidor.
3. Las primeras 72 horas: plan de respuesta
La forma de reaccionar en las primeras horas determina el daño final, la posibilidad de recuperar la información y la posición jurídica de la empresa. Los frentes técnico y jurídico deben avanzar a la vez:
| Momento | Actuación técnica | Actuación jurídica |
|---|---|---|
| Detección (primera hora) | Activar el equipo de respuesta. Aislar de la red los equipos afectados sin apagarlos. Cambiar las credenciales de administración desde un equipo limpio. | Avisar al abogado y a la aseguradora de ciberriesgos. Abrir un registro del incidente con horas y decisiones. |
| Contención (primeras 24 horas) | Bloquear accesos remotos comprometidos, cuentas y conexiones sospechosas. Preservar registros (logs), memoria y discos. | Valorar si hay datos personales afectados y empezar a computar el plazo de 72 horas. Comunicar al banco cualquier pago fraudulento para intentar la retrocesión. |
| Análisis (24 a 48 horas) | Determinar el alcance, el vector de entrada y los datos afectados con apoyo de peritos forenses. | Decidir las notificaciones obligatorias (RGPD, NIS, DORA, Reglamento de Ciberresiliencia). Preparar la denuncia. |
| Recuperación (48 a 72 horas) | Restaurar desde copias de seguridad verificadas. Corregir la vulnerabilidad antes de volver a conectar. | Notificar a la AEPD y, si hay alto riesgo, a los afectados. Presentar la denuncia. Gestionar la comunicación con clientes y proveedores. |
| Después | Informe final, lecciones aprendidas y refuerzo de controles. | Reclamaciones a terceros responsables, gestión del siniestro con la aseguradora, defensa frente a reclamaciones y posibles expedientes sancionadores. |
4. Obligaciones de notificación
| Norma | Quién está obligado | Qué y cuándo |
|---|---|---|
| RGPD, art. 33 | Cualquier empresa u organización que trate datos personales. | Notificar la brecha de seguridad a la Agencia Española de Protección de Datos en un máximo de 72 horas desde que se tenga constancia, salvo que sea improbable que suponga un riesgo para las personas. |
| RGPD, art. 34 | Ídem. | Comunicar la brecha a los afectados sin dilación indebida cuando suponga un alto riesgo para sus derechos. |
| Real Decreto-ley 12/2018 (NIS) | Operadores de servicios esenciales y proveedores de servicios digitales. | Notificar los incidentes significativos al CSIRT de referencia (INCIBE-CERT o CCN-CERT). La Ley de Coordinación y Gobernanza de la Ciberseguridad, que trasladará la Directiva NIS2 y ampliará mucho el número de empresas obligadas, sigue en tramitación. |
| Reglamento DORA (UE) 2022/2554 | Entidades financieras y sus proveedores críticos de servicios TIC. | Clasificar y notificar los incidentes graves relacionados con las TIC a su supervisor en plazos de horas. Aplicable desde el 17 de enero de 2025. |
| Reglamento de Ciberresiliencia (UE) 2024/2847 | Fabricantes de productos con elementos digitales comercializados en la UE. | Desde el 11 de septiembre de 2026, notificar a ENISA y al CSIRT las vulnerabilidades explotadas activamente y los incidentes graves: alerta temprana en 24 horas, notificación en 72 horas e informe final. |
| Esquema Nacional de Seguridad | Administraciones públicas y sus proveedores. | Notificar los incidentes al CCN-CERT conforme al Real Decreto 311/2022. |
Además, conviene comunicar el incidente a INCIBE-CERT (o llamar al 017, la línea de ayuda en ciberseguridad), aunque no sea obligatorio: ofrecen apoyo técnico gratuito y la comunicación puede acreditar diligencia.
5. La denuncia y la vía penal
- Denuncia: ante las unidades especializadas de la Policía Nacional o la Guardia Civil, o directamente en el juzgado. Debe aportar una cronología, los indicadores técnicos del ataque y la documentación disponible.
- Querella: en ataques graves, personarse como acusación particular permite impulsar la investigación, pedir diligencias y reclamar la indemnización.
- Cadena de custodia: las evidencias digitales deben obtenerse y conservarse de forma que pueda acreditarse su integridad, preferiblemente con un perito informático forense y huellas digitales (hash) de cada archivo.
- Conservación de datos de terceros: los operadores de telecomunicaciones conservan determinados datos de tráfico durante doce meses (Ley 25/2007), a los que solo se accede con autorización judicial: actuar pronto es clave.
- Dimensión internacional: muchos atacantes operan desde el extranjero. Existen instrumentos de cooperación como el Convenio de Budapest sobre la Ciberdelincuencia y, en la UE, las órdenes europeas de producción y conservación de pruebas electrónicas del Reglamento (UE) 2023/1543.
6. ¿Se debe pagar el rescate?
En España no existe una prohibición general de pagar un rescate por ransomware, pero las autoridades recomiendan no hacerlo, y hay riesgos jurídicos serios:
- No hay garantía de recuperar los datos ni de que no se publiquen.
- Si los atacantes están sujetos a sanciones internacionales o vinculados a terrorismo, el pago puede constituir una infracción grave o un delito.
- Puede convertir a la empresa en objetivo de nuevos ataques.
- La aseguradora puede tener reglas propias sobre su cobertura.
La decisión debe tomarse con asesoramiento jurídico, documentando el análisis, y nunca sustituye a la denuncia ni a las notificaciones obligatorias.
7. La responsabilidad de la empresa atacada
Ser víctima de un ataque no exime de responsabilidad si la empresa no había adoptado medidas de seguridad adecuadas.
- Frente a los afectados: el art. 82 RGPD permite reclamar los daños materiales e inmateriales causados por una brecha. El TJUE (asunto C-340/21, de 14 de diciembre de 2023) declaró que una brecha no implica por sí sola que las medidas fueran inadecuadas, pero que corresponde al responsable probar que lo eran, y que el temor a un uso indebido de los datos puede constituir un daño inmaterial.
- Frente a la AEPD: sanciones por no aplicar medidas técnicas y organizativas apropiadas (art. 32 RGPD) o por no notificar a tiempo.
- Frente a clientes y socios: responsabilidad contractual por incumplir compromisos de confidencialidad, seguridad o niveles de servicio.
- Administradores: el deber de diligencia (art. 225 de la Ley de Sociedades de Capital) incluye hoy la gestión del riesgo tecnológico. NIS2 prevé además la responsabilidad expresa de los órganos de dirección en la supervisión de la ciberseguridad.
8. Recuperar el dinero en un fraude del CEO o BEC
- Avisar al banco de inmediato para solicitar la retrocesión de la transferencia y que contacte con la entidad de destino; las primeras horas son decisivas.
- Denunciar y aportar la denuncia al banco para que pueda solicitar el bloqueo de los fondos.
- Si se trata de una operación no autorizada, el banco debe devolverla salvo fraude o negligencia grave del cliente (Real Decreto-ley 19/2018).
- Valorar las acciones frente al proveedor cuyo correo fue comprometido si incumplió sus deberes de seguridad, y frente al banco de destino si permitió abrir cuentas a los estafadores sin la diligencia debida.
Hemos desarrollado este tema en nuestro artículo sobre estafas con criptoactivos y cómo recuperar el dinero.
9. Defensa técnica: los controles que evitan la mayoría de los ataques
| Control | Qué evita | Prioridad |
|---|---|---|
| Autenticación de doble factor (MFA) en correo, accesos remotos, banca y aplicaciones en la nube | Toma de cuentas con contraseñas robadas. | Muy alta |
| Copias de seguridad 3-2-1, con al menos una copia inmutable o desconectada, y pruebas periódicas de restauración | Pérdida de datos y extorsión por ransomware. | Muy alta |
| Actualizaciones y parches en sistemas, aplicaciones y dispositivos | Explotación de vulnerabilidades conocidas. | Muy alta |
| Verificación de pagos y cambios de cuenta por un segundo canal (llamada a un teléfono conocido) | Fraude del CEO y del proveedor. | Muy alta |
| Protección de equipos con detección y respuesta (EDR) | Ejecución de malware y movimientos dentro de la red. | Alta |
| Principio de mínimo privilegio y cuentas de administrador separadas | Que un solo acceso comprometa toda la empresa. | Alta |
| Segmentación de la red | Propagación del ataque a todos los sistemas. | Alta |
| Autenticación del dominio de correo (SPF, DKIM y DMARC) | Suplantación del correo de la empresa. | Alta |
| Formación y simulacros de phishing | Errores humanos, la puerta de entrada más común. | Alta |
| Registro centralizado de actividad (logs) y alertas | Ataques que pasan desapercibidos; permite la investigación posterior. | Media-alta |
| Gestión de proveedores y de la cadena de suministro | Ataques que entran a través de un tercero. | Media-alta |
| Plan de respuesta a incidentes probado | Improvisación y decisiones erróneas en las primeras horas. | Alta |
10. Defensa jurídica preventiva
- Políticas internas de seguridad, uso de dispositivos, teletrabajo y control de accesos, comunicadas a la plantilla y respetuosas con la normativa laboral y de protección de datos.
- Modelo de prevención de delitos que incluya los riesgos tecnológicos: reduce o excluye la responsabilidad penal de la empresa (art. 31 bis CP).
- Contratos con proveedores tecnológicos con cláusulas de seguridad, notificación de incidentes, auditoría, encargo del tratamiento (art. 28 RGPD) y responsabilidad.
- Seguro de ciberriesgos revisado por un abogado: coberturas, exclusiones, requisitos de seguridad exigidos y gestión del siniestro.
- Protocolo de notificación de brechas con responsables, plantillas y plazos.
- Preparación para NIS2: aunque la ley española aún no se ha aprobado, muchas empresas de sectores como energía, transporte, salud, agua, infraestructuras digitales, fabricación o alimentación quedarán obligadas. Anticiparse evita sanciones y mejora la seguridad.
- Formación de los administradores en sus obligaciones de supervisión del riesgo tecnológico.
11. Si eres un particular
- Si te han robado una cuenta (correo, redes sociales, WhatsApp), usa los procedimientos de recuperación oficiales de cada plataforma, cambia las contraseñas y activa el doble factor.
- Avisa a tus contactos de que pueden recibir mensajes fraudulentos en tu nombre.
- Si te han sacado dinero, llama de inmediato a tu banco y denuncia.
- En casos de extorsión con imágenes íntimas, no pagues, guarda las pruebas y denuncia; la línea 017 de INCIBE ofrece ayuda gratuita.
- Revisa si tus datos aparecen en filtraciones conocidas y cambia las contraseñas reutilizadas.
12. Errores frecuentes
- No tener copias de seguridad desconectadas o no haber probado nunca a restaurarlas.
- Apagar o reinstalar los equipos y destruir las evidencias.
- Dejar pasar las 72 horas sin decidir sobre la notificación a la AEPD.
- Pagar a proveedores por un cambio de cuenta comunicado solo por correo electrónico.
- Contratar un seguro de ciberriesgos sin leer los requisitos de seguridad que exige.
- No implicar al abogado hasta que llega una reclamación o un expediente sancionador.
- Pensar que una empresa pequeña no es objetivo.
Preguntas frecuentes
¿Qué hago si mi empresa sufre un ataque de ransomware?
Aísla los equipos afectados sin apagarlos, activa tu plan de respuesta, preserva las evidencias, avisa a tu abogado y a tu aseguradora, valora la notificación a la AEPD en 72 horas si hay datos personales afectados, denuncia ante la Policía Nacional o la Guardia Civil y restaura desde copias de seguridad limpias. No pagues el rescate sin asesoramiento.
¿Es obligatorio notificar un ciberataque?
Si afecta a datos personales, hay que notificarlo a la Agencia Española de Protección de Datos en 72 horas, salvo que sea improbable que suponga un riesgo, y a los afectados si el riesgo es alto (arts. 33 y 34 RGPD). Además, hay obligaciones sectoriales para operadores esenciales (Real Decreto-ley 12/2018), entidades financieras (DORA) y fabricantes de productos digitales (Reglamento de Ciberresiliencia, desde el 11 de septiembre de 2026).
¿Qué delito comete quien hackea un sistema?
El acceso no autorizado a un sistema vulnerando sus medidas de seguridad es delito (art. 197 bis CP). Si además se borran, dañan o cifran datos es un delito de daños informáticos (art. 264 CP), y si se obtiene dinero mediante manipulación informática, una estafa informática (art. 249 CP).
¿Es legal pagar un rescate por ransomware en España?
No existe una prohibición general, pero no se recomienda: no garantiza la recuperación de los datos y puede ser ilegal si los atacantes están sujetos a sanciones internacionales o vinculados a terrorismo. La decisión debe tomarse con asesoramiento jurídico.
¿Puede reclamarme un cliente si me roban sus datos?
Sí. El art. 82 RGPD permite reclamar daños materiales e inmateriales. Según el TJUE, una brecha no prueba por sí sola que las medidas fueran inadecuadas, pero la empresa debe demostrar que lo eran. Por eso es clave documentar las medidas de seguridad adoptadas.
¿Me devuelve el banco el dinero de un fraude del CEO?
Depende. Si la transferencia la ordenó la propia empresa engañada, en principio es una operación autorizada; por eso es decisivo avisar al banco en las primeras horas para intentar la retrocesión. Si la operación no fue autorizada, el banco debe devolverla salvo fraude o negligencia grave del cliente.
¿Qué es la Directiva NIS2 y cuándo se aplicará en España?
Es la directiva europea que amplía las obligaciones de ciberseguridad a muchas más empresas de sectores esenciales e importantes. En España se trasladará mediante la Ley de Coordinación y Gobernanza de la Ciberseguridad, todavía en tramitación; mientras tanto se aplica el Real Decreto-ley 12/2018.
¿Dónde puedo pedir ayuda ante un ciberataque?
En la línea gratuita 017 y en INCIBE-CERT del Instituto Nacional de Ciberseguridad, en las unidades de ciberdelincuencia de la Policía Nacional y la Guardia Civil, y con abogados y peritos forenses especializados.
Juan Manuel Calderón Godoy, abogado (ICAS nº 7.291). Artículo informativo y general, actualizado a 27 de octubre de 2026; no sustituye el asesoramiento jurídico ni técnico en cada caso.