El fraude en los pagos digitales representa ya alrededor de 300 millones de euros anuales en España. Una cifra que refleja la dimensión económica de una delincuencia cada vez más sofisticada y que plantea importantes desafíos jurídicos para las empresas: desde la responsabilidad de sus administradores por la falta de prevención hasta las posibilidades de reclamar a las entidades financieras el dinero sustraído.
Según los datos de 2024 del Banco Central Europeo (BCE) y la Autoridad Bancaria Europea (EBA), el valor de las operaciones fraudulentas alcanzó los 4.200 millones de euros en el Espacio Económico Europeo.
La dimensión del fenómeno preocupa. Según los datos expuestos por Grant Thornton, el 87,3 % de los ciberdelitos está relacionado con ciberestafas. En Cataluña son el segundo delito más denunciado, tras los hurtos, con más de 80.000 denuncias anuales y más de 200.000 víctimas entre 2024 y agosto de 2026.
Estas cifras han centrado la jornada «Fraude digital en la empresa: prevención, respuesta y defensa jurídica», organizada por Grant Thornton en Barcelona, con la participación de Ignacio Ripol y Eloi Font, socios de su área Legal.
Los administradores deben demostrar que hicieron lo necesario
La ciberseguridad ya no es un asunto exclusivo de los informáticos. También forma parte de las responsabilidades de quienes dirigen una empresa.
El artículo 225 de la Ley de Sociedades de Capital impone a los administradores un deber general de diligencia. No están obligados a garantizar que nunca se producirá un ciberataque, pero sí a establecer controles razonables para prevenirlo. Es una obligación de medios, no de resultado.
«La responsabilidad de los órganos de administración en materia de prevención de la ciberdelincuencia es cada vez más clara. La CNMV está incorporando nuevas recomendaciones para que los consejos de administración establezcan medidas de prevención frente a estos riesgos», ha señalado Ripol.
A ello se añaden los marcos europeos NIS2 y DORA, que refuerzan las exigencias de ciberseguridad en los sectores y entidades a los que resultan aplicables.
Lo esencial, según los especialistas, es poder acreditar qué medidas se adoptaron antes del fraude: auditorías, formación de empleados, seguros especializados y sistemas de doble o triple comprobación cuando cambian las cuentas bancarias de proveedores o clientes. También recomiendan que ninguna persona pueda ordenar y ejecutar determinados pagos sin supervisión.
La IA ayuda a los estafadores a elegir a sus víctimas
El segundo gran problema es que los delincuentes cuentan ahora con herramientas cada vez más sofisticadas. La inteligencia artificial les permite estudiar a sus posibles víctimas, conocer sus relaciones comerciales y preparar comunicaciones fraudulentas mucho más difíciles de detectar.
Ya no necesitan enviar miles de correos mal redactados esperando que alguien caiga en la trampa. Pueden hacerse pasar por un proveedor habitual, reproducir el estilo de comunicación de un directivo o preparar una solicitud de transferencia que, aparentemente, no despierte sospechas.
«Con la llegada de la Inteligencia Artificial igual hay menos víctimas pero están más seleccionadas e identificadas y se les puede atacar más fácilmente», ha advertido Eloi Font.
El banco puede ser la clave para recuperar el dinero
Cuando el fraude se consuma, la prioridad es recuperar los fondos. Y la vía bancaria puede ofrecer más posibilidades que la investigación penal.
«La vía penal tiene un recorrido muy limitado en este tipo de fraudes. Aunque se consiga identificar al titular de la cuenta, el dinero suele haber desaparecido o estar repartido entre otras cuentas. Por eso, la reclamación frente a la entidad financiera puede convertirse en la principal vía para recuperar los fondos», advierte Ripol.
El artículo 45 del Real Decreto-ley 19/2018 obliga, como regla general, a devolver las operaciones de pago no autorizadas de inmediato o, como máximo, al finalizar el siguiente día hábil, con las excepciones previstas legalmente.
La distinción decisiva es si el delincuente ordenó el pago sin consentimiento o si fue la propia víctima quien transfirió el dinero engañada. No reciben necesariamente el mismo tratamiento jurídico.
La sentencia 571/2025, de 9 de abril, del Tribunal Supremo recuerda que el registro correcto de una operación no demuestra por sí solo que el cliente la autorizase.
Por su parte, el TJUE, en la sentencia de 15 de octubre de 2026, asunto C-70/25 (Tukowiecka), ha establecido que el banco no puede rechazar el reembolso inicial de una operación no autorizada alegando negligencia grave del cliente. Podrá reclamar después si acredita esa responsabilidad. En las operaciones empresariales también deben examinarse las condiciones contractuales aplicables.
Actuar rápido y conservar las pruebas
Los especialistas aconsejan avisar inmediatamente al banco, intentar bloquear la transferencia, conservar correos, mensajes y justificantes, y presentar denuncia.
Si el incidente afecta a datos personales y puede suponer un riesgo para los derechos y libertades de los afectados, el artículo 33 del RGPD exige notificar la brecha a la autoridad competente sin dilación indebida y, de ser posible, dentro de las 72 horas desde que se conoce.
La conclusión es clara: prevenir el fraude requiere tecnología, controles internos y preparación jurídica. Y, si la estafa llega a producirse, reaccionar con rapidez puede marcar la diferencia entre perder el dinero y recuperarlo.
