Cibercriminalidad en España 2025: análisis normativo y estadístico de una amenaza en expansión

1. Introducción: la cibercriminalidad como fenómeno estructural

1.1. Objeto y alcance del informe

El Informe sobre la Cibercriminalidad en España 2025, elaborado por la Secretaría de Estado de Seguridad (SES) del Ministerio del Interior a través de su Dirección General de Coordinación y Estudios, constituye la sexta edición de una serie anual que se ha consolidado como el principal instrumento de análisis estadístico y estratégico sobre la ciberdelincuencia en el ámbito nacional (1). El documento persigue ofrecer una comprensión rigurosa de la realidad criminal a la que se enfrentan las instituciones responsables de la seguridad pública en el ciberespacio, en un contexto de dependencia creciente de las tecnologías de la información y en el que los límites entre lo físico y lo digital se difuminan cada vez con mayor intensidad (1).

El ejercicio 2025 confirma una tendencia de crecimiento sostenido que, según el propio informe, constituye una realidad común a todo el entorno geopolítico español (1). La cibercriminalidad se consolida así como uno de los dominios estratégicos donde la frontera entre la seguridad física y la digital ha quedado prácticamente disuelta (1).

El documento aborda un doble plano de análisis. Por un lado, examina la cibercriminalidad propiamente dicha, esto es, las infracciones penales cometidas mediante tecnologías de la información o dirigidas contra los sistemas informáticos (1). Por otro, analiza los incidentes de ciberseguridad que afectan a los operadores de servicios esenciales (OSE) y a las infraestructuras críticas, cuya afectación puede repercutir directamente sobre la seguridad nacional, la economía y el bienestar de la ciudadanía (1). Esta doble perspectiva —policial y de ciberseguridad— confiere al informe un carácter integral que lo convierte en referencia obligada para el operador jurídico.

1.2. Las fuentes de información: el SEC y la OCC

El informe se sustenta en dos fuentes complementarias. El Sistema Estadístico de Criminalidad (SEC), dependiente de la SES, recopila los datos que la Policía Nacional, la Guardia Civil, las policías autonómicas y las policías locales comunican sobre ciberdelincuencia (1). La Oficina de Coordinación de Ciberseguridad (OCC), integrada en la Dirección General de Coordinación y Estudios de la SES, aporta los datos relativos a los incidentes de ciberseguridad que afectan a los operadores de servicios esenciales críticos, en el ejercicio de las funciones que le atribuyen el Real Decreto-ley 12/2018, de 7 de septiembre, sobre la seguridad de las redes y sistemas de información, y el Real Decreto 43/2021, de 26 de enero, que lo desarrolla (1)(7).

La OCC constituye el canal de comunicación con los CSIRT nacionales de referencia —CCN-CERT, INCIBE-CERT y ESPDEF-CERT— y recibe las notificaciones obligatorias de incidentes conforme a la Instrucción Nacional de Notificación y Gestión de Ciberincidentes, contenida en el anexo del Real Decreto 43/2021 (1)(7). En esta función, actúa de enlace entre los operadores, los CSIRT nacionales y las Fuerzas y Cuerpos de Seguridad del Estado a través de su Centro de Respuesta a Incidentes Cibernéticos de apoyo a la Policía Judicial (CSIRT-MIR-PJ) (1). La combinación de ambas fuentes —el SEC para los datos de criminalidad y la OCC para los incidentes de ciberseguridad— permite ofrecer una visión desagregada y complementaria del fenómeno.

2. Marco institucional y normativo

2.1. Organismos con competencias en cibercriminalidad y ciberseguridad

El ecosistema institucional español se caracteriza por su especialización y por la coordinación entre organismos nacionales e internacionales (1). Las Fuerzas y Cuerpos de Seguridad del Estado (FCSE), a través de sus unidades especializadas, y las policías autonómicas, dentro de su ámbito competencial, desempeñan el papel central en la prevención y persecución del cibercrimen (1). La OCC actúa además como Observatorio de la Cibercriminalidad del Ministerio del Interior (1), mientras que la Unidad Especializada en Criminalidad Informática de la Fiscalía General del Estado y sus delegados provinciales asumen la persecución penal de estas conductas (1).

A escala europea, Europol —a través del Centro Europeo de Ciberdelincuencia (EC3) y del Grupo de Trabajo Conjunto contra la Ciberdelincuencia (J-CAT)— refuerza la respuesta policial coordinada y transfronteriza (1). En el plano de la ciberseguridad, los CSIRT nacionales de referencia son el CCN-CERT (comunidad de entidades del ámbito de aplicación de la Ley 40/2015), el INCIBE-CERT (entidades no incluidas en dicha ley) y el ESPDEF-CERT (apoyo a operadores con incidencia en la Defensa Nacional) (1). La Agencia de la Unión Europea para la Ciberseguridad (ENISA) completa este ecosistema en el marco de la Directiva NIS2 y del Reglamento (UE) 2019/881 (1).

2.2. La transposición de la Directiva NIS2

La Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión —conocida como NIS2—, constituye el principal hito normativo europeo en la materia. En España, el Real Decreto-ley 12/2018 y el Real Decreto 43/2021 transpusieron la primera Directiva NIS y sentaron las bases de la ciberseguridad para los operadores de servicios esenciales, normas que permanecen vigentes en tanto no se complete la transposición de la nueva directiva (1).

El plazo de transposición de la NIS2 vencía el 17 de octubre de 2024, fecha que España —como otros Estados miembros— no cumplió; de hecho, la Comisión Europea ha llevado a España, junto con Irlanda, Francia y los Países Bajos, ante el Tribunal de Justicia de la Unión Europea por la falta de notificación de las medidas de transposición. El Consejo de Ministros aprobó el 14 de enero de 2025 el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad (1)(16), que crea el Centro Nacional de Ciberseguridad como autoridad nacional superior encargada de la dirección, el impulso y la coordinación de las distintas autoridades de control —los Ministerios del Interior, de Defensa y para la Transformación Digital y de la Función Pública— y como autoridad de gestión de crisis (1). El anteproyecto prevé además que la OCC comunique al Ministerio Fiscal y a las unidades de Policía Judicial los ciberincidentes que revistan carácter presuntamente delictivo, reforzando así el vínculo entre la respuesta técnica y la persecución penal (1).

En mayo de 2025 el Gobierno aprobó un paquete de inversión de 1.157 millones de euros destinado al refuerzo de la ciberseguridad y la ciberdefensa (6). No obstante, a la fecha de publicación del informe, el anteproyecto —tramitado por el procedimiento de urgencia— aún no había sido remitido a las Cortes Generales para su tramitación como proyecto de ley (6)(11).

2.3. La Convención de las Naciones Unidas contra la Ciberdelincuencia

El 13 de octubre de 2025, el Consejo de la Unión Europea autorizó, mediante su Decisión (UE) 2025/2307, la firma de la Convención de las Naciones Unidas contra la Ciberdelincuencia en nombre de la Unión (1). Este tratado, adoptado por la Asamblea General de la ONU el 24 de diciembre de 2024 tras cinco años de negociación, aspira a convertirse en el primer marco jurídico universal en la materia (1)(8). La ceremonia oficial de apertura a la firma tuvo lugar en Hanói los días 25 y 26 de octubre de 2025, con la adhesión inicial de setenta y dos Estados y de la propia Unión Europea.

La Convención persigue fortalecer la cooperación internacional frente a determinados delitos cometidos mediante sistemas de tecnología de la información y facilitar la transmisión de pruebas electrónicas en la investigación de delitos graves (1). Facilita la criminalización armonizada de conductas ilícitas en la red y promueve la asistencia judicial mutua entre Estados para reducir los espacios de impunidad que dificultan la acción de la justicia internacional (1). Su relevancia radica en su vocación universal, frente al alcance regional europeo del Convenio de Budapest (2001) y de su Segundo Protocolo Adicional, abierto a la firma desde 2022 (1)(8). La adhesión de Estados no europeos amplía de forma significativa el ámbito de la cooperación internacional en la lucha contra la ciberdelincuencia, si bien su eficacia real dependerá del ritmo de ratificación por parte de los Estados signatarios.

2.4. La Orden TDF/149/2025 contra la suplantación de identidad

Ante el incremento del spoofing —la suplantación de identidad mediante llamadas telefónicas y mensajes de texto fraudulentos—, se ha publicado la Orden TDF/149/2025, de 12 de febrero, por la que se establecen medidas para combatir las estafas de suplantación de identidad y garantizar la identificación de la numeración utilizada en los servicios de atención al cliente y en las llamadas comerciales no solicitadas (1)(14). La norma prohíbe las comunicaciones con manipulación del identificador de línea llamante, introduce mecanismos para prevenir el fraude en la numeración y los códigos alfanuméricos de mensajes cortos, y refuerza la identificación de la numeración empleada en la atención al cliente. Su finalidad es dotar a la ciudadanía de herramientas de verificación para distinguir las comunicaciones legítimas de las fraudulentas, en un contexto de proliferación del phishing, el smishing, el vishing y el spoofing como vectores de ataque prevalentes.

3. Estrategias y planes de respuesta

3.1. El Plan Estratégico Integral sobre Cibercriminalidad, Ciberseguridad y Desinformación (PEICCD)

El Plan Estratégico Integral sobre Cibercriminalidad, Ciberseguridad y Desinformación del Ministerio del Interior (PEICCD) ha sustituido al anterior Plan Estratégico contra la Cibercriminalidad (PECC) (1). Además de la lucha contra la cibercriminalidad, el plan aborda la ciberseguridad de las entidades esenciales para el funcionamiento de la sociedad y la monitorización de la desinformación como elemento de perturbación de la convivencia, las instituciones y los procesos democráticos (1).

El plan, dotado con 5 millones de euros, se estructura en cuatro ejes desarrollados en veinticinco líneas de acción (1)(6): el Eje 1 contempla la adquisición y el desarrollo de capacidades TIC; el Eje 2, la formación y especialización de los miembros de las Fuerzas y Cuerpos de Seguridad; el Eje 3, la concienciación de ciudadanos y empresas; y el Eje 4, la coordinación y cooperación entre organismos y entidades (1). En su elaboración han participado los organismos del Ministerio del Interior, junto con las policías autonómicas y el Ministerio Fiscal como colaboradores (1).

3.2. La Estrategia Nacional de Ciberseguridad y su revisión

La Estrategia Nacional de Ciberseguridad 2019, aprobada por el Consejo de Seguridad Nacional el 12 de abril de 2019, ya contemplaba el refuerzo de las capacidades de investigación y persecución de la cibercriminalidad (1)(12). Se encuentra actualmente en proceso de revisión, atendiendo al impacto creciente de la cibercriminalidad sobre la seguridad nacional y a la irrupción de la inteligencia artificial como catalizador de nuevos vectores de ataque (1)(2)(4).

3.3. Los informes de referencia europeos

El informe español se nutre de las principales evaluaciones de amenaza elaboradas por organismos europeos. El EU-SOCTA 2025 (European Union Serious and Organised Crime Threat Assessment), que Europol publica cada cuatro años, pone de manifiesto que la delincuencia organizada explota vectores tecnológicos avanzados y sitúa la inteligencia artificial como catalizador clave de la amenaza, al facilitar ataques más complejos, automatizados y difíciles de detectar (1)(2). El IOCTA 2025 (Internet Organised Crime Threat Assessment), titulado "Steal, deal and repeat: How cybercriminals trade and exploit your data" y publicado por Europol en junio de 2025, documenta cómo la infraestructura digital y los datos que contiene se han convertido en objetivos prioritarios, funcionando a la vez como objetivo y como facilitador del cibercrimen (1)(3).

El ENISA Threat Landscape 2025, publicado el 1 de octubre de 2025, analiza 4.875 incidentes registrados entre julio de 2024 y junio de 2025 e identifica los ataques DDoS como el tipo de incidente dominante, con un 77% del total, desplegados mayoritariamente por actores hacktivistas (5). El informe sitúa el panorama de amenazas en un contexto de creciente tensión geopolítica que condiciona directamente la motivación y el origen de los ataques (5).

4. Incidentes de ciberseguridad en operadores de servicios esenciales

4.1. Incidentes con afectación crítica

La OCC gestionó y notificó un total de noventa (90) incidentes de ciberseguridad en España durante 2025, todos ellos clasificados con niveles de peligrosidad e impacto alto, muy alto o crítico (1). Esta cifra supone una disminución del 43,8% respecto a los 160 incidentes gestionados en 2024 (1). Los incidentes relacionados con el compromiso de la información y con la disponibilidad fueron los más frecuentes, con el 32% y el 31% del total respectivamente, seguidos del fraude, con un 19% (1).

El descenso en los incidentes de disponibilidad —de 65 en 2023 a 28 en 2024, cifra que se mantuvo en 2025— se atribuye a la implementación de medidas de mitigación eficaces (1). La tipología de "compromiso de la información" experimentó un repunte significativo en 2024 (62 incidentes) antes de reducirse a 29 en 2025 (1).

4.2. Distribución sectorial

El sector transporte es, con diferencia, el más afectado en 2025 (38 incidentes, el 42% del total), seguido de las TIC (14 incidentes, el 16%) y la administración (7 incidentes, el 8%) (1)(6). El sistema tributario y financiero, el más afectado en 2024 (28 incidentes), experimentó una notable reducción en 2025 (7 incidentes) (1).

4.3. Incidentes remitidos a ENISA

Durante 2025, la OCC notificó a ENISA, a través del Departamento de Seguridad Nacional como punto de contacto nacional, un total de treinta y dos (32) incidentes, en cumplimiento del artículo 27 del Real Decreto-ley 12/2018 (1). Esta cifra supuso un incremento del 3% respecto a los 31 incidentes de 2024 (1). Por tipología, el compromiso de la información y la disponibilidad representaron cada uno el 31% del total, seguidos del fraude (16%) y la intrusión (13%) (1). Por sector, el transporte concentró más del 47% de los incidentes, muy por encima de las TIC (19%) y la administración (16%) (1).

5. Datos estadísticos de cibercriminalidad

5.1. Evolución de los hechos conocidos

Entre 2021 y 2023 se constató un aumento progresivo de los delitos informáticos. En 2024 se produjo una disminución puntual del 1,6% respecto a 2023 —el primer descenso de la serie histórica—, para volver en 2025 a una tendencia alcista con un incremento del 5,1%, hasta alcanzar los 488.426 hechos conocidos (1). De esta cifra, el 88% corresponde a fraudes informáticos (estafas) y el 4,4% a falsificación informática, categoría que agrupa la usurpación de estado civil, la falsificación o tráfico de tarjetas bancarias y otras falsificaciones documentales (1)(6).

El peso de la cibercriminalidad sobre el total de la delincuencia ha mostrado una tendencia al alza sostenida, alcanzando el 19,8% en 2025, frente al 18,9% de 2024, el 19,2% de 2023, el 16,1% de 2022, el 15,6% de 2021 y el 16,3% de 2020 (1).

El porcentaje de hechos esclarecidos en 2025 se sitúa en torno al 14,6% del total de hechos conocidos, un leve ascenso respecto al 13,8% de 2024 (1). El número de detenidos e investigados alcanzó los 19.876, un incremento del 2,9% frente a 2024 (1). Desde la perspectiva policial, el número de delitos esclarecidos ha crecido un 54,6% desde 2021, pasando de 46.141 a 71.340, y el número de personas investigadas o detenidas ha subido un 44% en el mismo período (1)(6). Estos datos evidencian limitaciones estructurales derivadas del anonimato en la red, el uso de tecnologías de cifrado y la dimensión internacional de los delitos, que exigen reforzar las capacidades de investigación y de cooperación judicial (1).

5.2. Distribución mensual y territorial

En 2025, julio fue el mes con mayor incidencia de hechos conocidos (44.999), seguido de mayo (43.862) y septiembre (42.922) (1). Por comunidades autónomas, Andalucía (89.124 hechos), Cataluña (73.400), la Comunidad de Madrid (72.217) y la Comunidad Valenciana (48.413) concentran la mayor parte de las infracciones registradas (1)(11); Madrid, Barcelona y Valencia destacan como las provincias con mayor incidencia (1).

5.3. Victimizaciones: perfil por sexo, edad, nacionalidad y tipología

Las victimizaciones registradas por las FCS en 2025 alcanzan un total de 383.285, un incremento del 9,27% respecto a 2024, de las que el 52,1% corresponden a hombres y el 47,9% a mujeres (1). La mayoría de las víctimas se sitúa entre los 51 y los 65 años, siendo principalmente objeto de fraude informático (1). El 14,2% de las víctimas son de nacionalidad extranjera, destacando las procedentes de Marruecos, Colombia, Rumanía y Venezuela (1).

El análisis por edad y sexo revela vulnerabilidades específicas entre los menores: en el caso de las mujeres menores de edad, los delitos sexuales son la tipología más repetida (más del 31% de las victimizaciones), seguidos de las amenazas y coacciones (26%) y el fraude (18%); en el de los varones menores, predominan las amenazas y coacciones (más del 45%), seguidas del fraude (casi 27%) y los delitos sexuales (14%) (1). En el resto de las franjas de edad y sexo, los delitos sexuales no alcanzan el 1% y las amenazas y coacciones no superan el 14% (1), lo que confirma que la infancia y la adolescencia constituyen un grupo de riesgo cualitativamente distinto al del resto de la población.

5.4. Detenciones e investigados

El 75,7% de las personas detenidas o investigadas por ciberdelincuencia son de nacionalidad española (1); entre las de nacionalidad extranjera destacan las de Marruecos (3,1%), Colombia (2,7%) y Rumanía (1,8%). El grupo de edad con mayor número de responsables es el comprendido entre los 26 y los 40 años, con 6.802 detenidos o investigados, y el predominio masculino se sitúa en torno al 70% (1).

6. Ciberataques: ransomware y DDoS

6.1. Ransomware: evolución global frente al contexto nacional

El ransomware es un tipo de malware que cifra la información de un sistema o el acceso a ella, de modo que la víctima queda incapacitada para recuperar sus datos hasta el pago de un rescate, en un esquema habitualmente precedido de robo de información (1). A escala internacional, las fuentes abiertas apuntan a un crecimiento cercano al 198% en este tipo de incidentes desde 2022 (1). El informe Zscaler ThreatLabz 2025 Ransomware Report confirma esta tendencia y documenta un incremento global del 146% en ataques bloqueados, el mayor repunte de los últimos tres años (9).

En el ámbito nacional, la evolución difiere según la fuente. Los datos del SEC muestran un descenso aproximado del 11,9% entre 2022 y 2025, frente a un incremento del 55,9% en los datos de fuentes abiertas recopilados por la OCC en el mismo período (1). El crecimiento nacional se mantiene, en consecuencia, contenido y relativamente estable, mientras que a escala mundial el incremento resulta mucho más acusado —cercano al 198%—, lo que sitúa la participación española en el total mundial de ataques de ransomware, según los datos OCC, en torno al 2,1% en 2025, frente al 4,1% de 2022 (1).

El informe Zscaler ThreatLabz 2025 documenta que España registró 134 ataques de ransomware en 2025, frente a 62 en 2024, un incremento interanual superior al 116%, uno de los mayores crecimientos entre los países europeos (9). España representa en torno al 2% de los ataques a escala global, situándose entre los quince países más afectados, con la fabricación, la tecnología y la sanidad como sectores más señalados a nivel mundial (9).

Por tipo de operador de servicio esencial, la distribución de los ataques de ransomware varió sensiblemente entre 2023 y 2025: en 2023, el sector más afectado fue el de las TIC (3 ataques), seguido de la energía (1); en 2024, las TIC continuaron a la cabeza (2 ataques), seguidas del transporte y la salud (1 ataque cada uno); en 2025, la administración pública y el transporte pasaron a ser los sectores más afectados, con 2 ataques cada uno (1). Esta variabilidad apunta a un desplazamiento constante de los objetivos, en línea con la evolución de la superficie de exposición de cada sector.

El ransomware ha evolucionado no solo en sofisticación técnica sino también en sus modelos de extorsión, combinando el cifrado de datos con la filtración de información confidencial, y todo apunta a que continuará su desplazamiento hacia formas más dirigidas y automatizadas, apoyadas en la inteligencia artificial para identificar vulnerabilidades y seleccionar objetivos de alto valor (1). El modelo de ransomware como servicio (RaaS) sigue ampliando el espectro de actores capaces de desplegar este tipo de ataques, al reducir las barreras técnicas de entrada (1).

Diversos informes del sector privado sitúan a los grupos Qilin y Akira entre los actores de ransomware más activos contra objetivos españoles durante 2025 y 2026, si bien la mayor parte de los ataques se atribuye a un número elevado de grupos de menor tamaño y actividad más fragmentada (13), un patrón de dispersión que coincide con el observado a escala europea por otros proveedores de inteligencia de amenazas.

6.2. Ataques DDoS: hacktivismo y geopolítica

Los ataques de denegación de servicio distribuido (DDoS) buscan degradar o anular la disponibilidad de un servicio saturando los recursos del sistema que lo aloja (1). Según los datos del SEC, los incidentes de disponibilidad —que incluyen los ataques DDoS— pasaron de 1.741 en 2023 a 1.917 en 2024 y a 1.763 en 2025, un descenso de aproximadamente el 15,7% entre 2024 y 2025 (1)(6). Según las fuentes abiertas recopiladas por la OCC, el aumento resulta mucho más acusado: de 6 ataques en 2022 a 606 en 2025, con un salto especialmente significativo entre 2022 y 2023 (1).

El ENISA Threat Landscape 2025 sitúa los ataques DDoS como el tipo de incidente dominante en la Unión Europea, con el 77% de los incidentes reportados, mayoritariamente desplegados por actores hacktivistas (5). En marzo de 2025, coincidiendo con una intensa campaña de la organización prorrusa NoName057(16) —conocida como "OpSpain"— contra ayuntamientos, diputaciones y organismos públicos españoles, distintos proveedores de inteligencia de amenazas documentaron un repunte muy significativo de los ataques DDoS registrados contra objetivos nacionales, entre los que figuraron portales institucionales y entidades estratégicas (1)(10). Los sectores más atacados por los grupos hacktivistas durante los últimos años han sido la administración pública y el transporte (1), en coherencia con su objetivo de maximizar la visibilidad mediática y deslegitimar a las instituciones frente a las políticas que consideran adversas.

Respecto a los ciberataques dirigidos contra infraestructuras críticas y operadores de servicios esenciales, cuya afectación puede repercutir directamente sobre la seguridad nacional, la economía y el bienestar de la población, predominan —junto a los motivados económicamente— los relacionados con factores geopolíticos, que en muchas ocasiones se integran en estrategias híbridas (1).

6.3. Fraude, phishing y Business Email Compromise: la ingeniería social como vector de entrada

Las campañas de suplantación de identidad de clientes o proveedores, tanto telefónicas como por correo electrónico, continúan proliferando, con técnicas de phishing dirigido y ataques de fraude al CEO (Business Email Compromise, BEC) en los que los atacantes se hacen pasar por altos cargos para inducir a los empleados a realizar transferencias económicas o a compartir información confidencial (1). El phishing, en sus variantes de spear phishing, smishing y vishing, continúa siendo una de las principales puertas de entrada para este tipo de fraudes, al aprovechar la ingeniería social y la urgencia emocional para comprometer a las víctimas (1). El fraude al CEO ha evolucionado hacia escenarios más personalizados, con un uso creciente de inteligencia artificial para imitar patrones de comunicación y generar mensajes altamente creíbles (1).

Las estafas a través de tecnologías de la información constituyen la tipología delictiva predominante dentro del cibercrimen registrado (1). Según el informe Check Point 2025 Finance Threat Landscape Report, España sufrió treinta grandes ciberataques financieros en 2025, situándose como el cuarto país más amenazado de Europa, solo por detrás del Reino Unido, Francia y Alemania (12).

7. Metodología y fuentes de información

7.1. Criterios estadísticos del SEC

Por hechos conocidos se entiende el conjunto de infracciones penales conocidas por las Fuerzas y Cuerpos de Seguridad, ya sea por denuncia o por actuación policial motu proprio (1). Los hechos esclarecidos se consideran tales cuando concurre la detención del autor in fraganti, su identificación plena aunque no esté detenido, una confesión verificada o pruebas sólidas, o cuando la investigación revela que no hubo infracción (1). El porcentaje de esclarecimiento se obtiene dividiendo el total de hechos esclarecidos entre el total de hechos conocidos y multiplicando por cien (1). Cabe advertir que solo aportan datos de hechos esclarecidos la Policía Nacional, la Guardia Civil, los Mossos d'Esquadra, la Policía Foral de Navarra y las policías locales; al no disponerse de datos de la Ertzaintza, los correspondientes al País Vasco están infrarrepresentados (1).

El concepto de victimización se refiere al número de hechos denunciados en los que una persona manifiesta ser víctima o perjudicada, y se diferencia del de víctima, que designa a la persona individual: en una misma denuncia pueden concurrir varios hechos y varias víctimas, de modo que las victimizaciones son el término que engloba los diferentes hechos que afectan a una determinada víctima (1).

7.2. Fuentes de la OCC

La OCC incorpora información procedente de las unidades especializadas en delitos tecnológicos de las FCS, de las notificaciones de los operadores de servicios esenciales a través de los CSIRT nacionales de referencia —en virtud del Real Decreto-ley 12/2018 (1)(7)—, de informes sobre tendencias basados en fuentes públicas y privadas, y de su propia monitorización de actores como grupos hacktivistas, ciberyihadistas y organizaciones especializadas en la distribución de ransomware (1). Este enfoque permite una comprensión más profunda de las tácticas y estrategias empleadas, facilitando la anticipación y mitigación de amenazas (1).

7.3. Limitaciones y diferencias metodológicas

La comparación entre las cifras del SEC y las de la OCC pone de manifiesto diferencias significativas, particularmente en el caso del ransomware y de los ataques DDoS (1). Esta variación responde a los distintos orígenes, enfoques y metodologías de recopilación empleados por cada organismo, lo que condiciona directamente la interpretación y el alcance de los datos (1). Entre los factores que explican estas divergencias se encuentran, sobre la base de diversos elementos, la cifra oculta de delitos no denunciados por desconocimiento o temor a represalias, la rápida evolución de las técnicas de ataque y la alta variabilidad de las metodologías empleadas en las fuentes abiertas (1). No se trata, en consecuencia, de conciliar ambas cifras, sino de complementarlas para obtener una visión más completa del fenómeno y reforzar la capacidad de planificación de las estrategias de prevención y respuesta (1).

8. Conclusiones

8.1. Principales hallazgos del informe 2025

El Informe sobre la Cibercriminalidad en España 2025 confirma la consolidación de la cibercriminalidad como un fenómeno estructural de primer orden, que representa ya el 19,8% de la criminalidad total registrada en el país (1). Los 488.426 hechos conocidos en 2025 suponen un incremento del 5,1% respecto al año anterior, que revierte la caída puntual de 2024 y confirma una tendencia de crecimiento sostenido (1).

El fraude informático (429.677 hechos) continúa siendo el delito de mayor incidencia en todos los grupos de edad, con la excepción de los menores, entre quienes predominan las amenazas y coacciones y, en el caso de las mujeres menores, los delitos sexuales (1). Este dato subraya la vulnerabilidad específica de la población infantil y juvenil frente a determinadas tipologías delictivas, que reclaman respuestas diferenciadas en materia de prevención y protección.

Desde la perspectiva de la respuesta policial, el número de delitos esclarecidos ha crecido un 54,6% desde 2021, aunque la tasa de esclarecimiento se sitúa en el 14,6%, ligeramente por debajo del 15% de 2021 (1). El número de personas investigadas o detenidas ha subido un 44%, hasta 19.876 (1), lo que confirma las limitaciones estructurales derivadas del anonimato en la red, el cifrado de las comunicaciones y la dimensión internacional de estos delitos.

En el ámbito de la ciberseguridad, la OCC gestionó 90 incidentes críticos en operadores de servicios esenciales durante 2025, con una disminución del 43,8% respecto a 2024 (1). El sector transporte fue el más afectado (42% de los incidentes), seguido de las TIC y la administración (1), mientras que los incidentes remitidos a ENISA aumentaron ligeramente (+3%) hasta los 32, con el compromiso de información y la disponibilidad como principales tipologías (1).

8.2. Tendencias observadas y desafíos estructurales

Las tendencias observadas en 2025 apuntan a una creciente sofisticación del cibercrimen, impulsada por el uso de tecnologías emergentes —en particular, la inteligencia artificial— que permiten automatizar los ataques, generar contenidos fraudulentos altamente realistas y optimizar las campañas de ingeniería social (1)(2)(3). El ransomware se mantiene en un modelo híbrido que combina el cifrado de datos con la exfiltración y la doble extorsión, mientras que el modelo de ransomware como servicio continúa ampliando el espectro de actores con menor cualificación técnica capaces de desplegarlo (1)(5).

El hacktivismo vinculado a la invasión de Ucrania por Rusia ha intensificado los ataques DDoS contra objetivos españoles, situando al país entre los más afectados de Europa en determinados momentos (1)(10). Esta dimensión geopolítica de la ciberamenaza exige un enfoque de seguridad nacional que integre la ciberseguridad como un dominio estratégico más, y no como un problema meramente técnico.

El desafío estructural más relevante sigue siendo la cifra oculta de delitos no denunciados, junto con la dificultad de investigación derivada del anonimato, el cifrado y la transnacionalidad de las conductas delictivas (1). La rápida evolución de las técnicas de ataque exige una inversión continua en capacidades tecnológicas, formación y cooperación internacional.

8.3. Perspectivas de futuro en el marco normativo y estratégico

El marco normativo español atraviesa un momento de transformación significativa. La transposición de la Directiva NIS2 —pendiente aún de tramitación parlamentaria a través del Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, y ya objeto de un recurso de la Comisión Europea ante el Tribunal de Justicia de la Unión Europea por el retraso acumulado— creará el Centro Nacional de Ciberseguridad y reforzará las competencias de la OCC en la comunicación de incidentes a las autoridades judiciales (1)(7).

A escala internacional, la firma de la Convención de las Naciones Unidas contra la Ciberdelincuencia y la apertura a la firma del Segundo Protocolo Adicional al Convenio de Budapest ofrecen nuevas herramientas para la cooperación judicial y la obtención de pruebas electrónicas, si bien su efectividad dependerá del grado de ratificación y de aplicación práctica por parte de los Estados (1)(8).

El Plan Estratégico Integral sobre Cibercriminalidad, Ciberseguridad y Desinformación, dotado con 5 millones de euros, constituye un marco de actuación que aborda las cuatro dimensiones necesarias para enfrentar la evolución de la cibercriminalidad —capacidades tecnológicas, formación, concienciación y coordinación—, cuya implementación efectiva será determinante en los próximos años (1)(6). La revisión en curso de la Estrategia Nacional de Ciberseguridad deberá integrar las lecciones del informe 2025, en particular el peso creciente de la cibercriminalidad en la seguridad nacional y la necesidad de abordar la desinformación como vector de perturbación de la convivencia y de los procesos democráticos (1)(12).

En definitiva, el Informe sobre la Cibercriminalidad en España 2025 confirma que la cibercriminalidad no constituye un fenómeno marginal, sino una realidad estructural que exige una respuesta integral, coordinada y sostenida en el tiempo, capaz de combinar la persecución policial, la prevención, la cooperación internacional y la inversión en capacidades tecnológicas y humanas.

Bibliografía

(1) Informe sobre la Cibercriminalidad en España 2025. Ministerio del Interior, Secretaría de Estado de Seguridad, Dirección General de Coordinación y Estudios, 6ª edición, 2026. cpage.mpr.gob.es

(2) EU-SOCTA 2025 — European Union Serious and Organised Crime Threat Assessment. Europol, 2025. europol.europa.eu

(3) IOCTA 2025 — "Steal, deal and repeat: How cybercriminals trade and exploit your data". Internet Organised Crime Threat Assessment, Europol, junio de 2025. europol.europa.eu

(4) ENISA Threat Landscape 2025. Agencia de la Unión Europea para la Ciberseguridad (ENISA), 1 de octubre de 2025. enisa.europa.eu

(5) Referencia consolidada con la anterior (4): ENISA Threat Landscape 2025.

(6) Nota de prensa de La Moncloa. Resumen ejecutivo del Informe sobre la Cibercriminalidad en España 2025. Presidencia del Gobierno de España, 10 de julio de 2026. lamoncloa.gob.es

(7) Real Decreto-ley 12/2018, de 7 de septiembre, sobre la seguridad de las redes y sistemas de información. Boletín Oficial del Estado. boe.es

(8) Convención de las Naciones Unidas contra la Ciberdelincuencia. Asamblea General de la ONU, adoptada el 24 de diciembre de 2024; abierta a la firma en Hanói el 25-26 de octubre de 2025. unodc.org

(9) Zscaler ThreatLabz 2025 Ransomware Report. Zscaler, julio de 2025. zscaler.com

(10) Cobertura periodística de fuente abierta sobre la campaña de ataques DDoS de la organización prorrusa NoName057(16) ("OpSpain") contra portales institucionales españoles, marzo de 2025. No se ha podido localizar un informe primario específico con las cifras exactas atribuidas a Group-IB; el dato se recoge con la debida cautela metodológica.

(11) Departamento de Seguridad Nacional (DSN), sitio institucional. dsn.gob.es

(12) Check Point 2025 Finance Threat Landscape Report. Check Point Software Technologies, 2025. Sin enlace público al informe original localizado; datos recogidos por cobertura periodística especializada.

(13) Informes de inteligencia de amenazas del sector privado sobre actividad de grupos de ransomware en España (2025-2026), con datos convergentes de fragmentación del ecosistema de actores. Las cifras concretas de reparto por grupo varían según proveedor y fecha de consulta, por lo que se han omitido porcentajes puntuales no verificables de forma independiente.

(14) Orden TDF/149/2025, de 12 de febrero, por la que se establecen medidas para combatir las estafas de suplantación de identidad a través de llamadas telefónicas y mensajes de texto fraudulentos y para garantizar la identificación de la numeración utilizada para la prestación de servicios de atención al cliente y realización de llamadas comerciales no solicitadas. Boletín Oficial del Estado. boe.es

(15) Segundo Protocolo Adicional al Convenio de Budapest sobre la Ciberdelincuencia. Consejo de Europa, abierto a la firma desde 2022. coe.int

(16) Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad. Gobierno de España, aprobado por el Consejo de Ministros el 14 de enero de 2025. interior.gob.es

(17) Real Decreto 43/2021, de 26 de enero, por el que se desarrolla el Real Decreto-ley 12/2018, de 7 de septiembre, sobre la seguridad de las redes y sistemas de información. Boletín Oficial del Estado. boe.es