El fraude digital exige algo más que tecnología

Estas cifras reflejan la dimensión de una amenaza que exige a las empresas reforzar sus mecanismos de prevención y su capacidad de respuesta. La amenaza evoluciona, además, al ritmo de la tecnología. La inteligencia artificial está modificando el fenómeno: hay menos víctimas, pero mejor seleccionadas, con especial atención a directivos y empresas. A través de técnicas como el phishing y sus variantes - smishing , vishing o spoofing -, los delincuentes suplantan la identidad de personas y entidades por correo electrónico, SMS, teléfono o redes sociales. Pueden recurrir a marcas reconocidas o hacerse pasar por miembros de la alta dirección para conseguir información sensible o inducir pagos fraudulentos.

Pero la sofisticación de estos ataques no debería eliminar las señales de alerta. Una petición inesperadamente urgente, una dirección de correo que apenas difiere del dominio legítimo o una solicitud a distancia de credenciales y datos bancarios deben activar mecanismos de comprobación. El Tribunal Supremo señaló en su sentencia de 15 de febrero de 2022 que la obligación de adoptar medidas de seguridad es una obligación de medios, no de resultado. No basta con que existan protocolos sobre el papel; deben aplicarse y utilizarse correctamente.

El nuevo marco europeo, con normas como la Directiva NIS2 y el Reglamento DORA, recoge la responsabilidad del órgano de dirección, algo totalmente inédito hasta ahora. A mi juicio, desde el punto de vista empresarial, cualquier compañía debe estar preparada, y esto significa formar y concienciar a la plantilla, establecer una doble o triple verificación ante cambios en las instrucciones de cobro o pago y separar las funciones para que una única persona no pueda ejecutar determinadas operaciones. También exige revisar periódicamente la seguridad mediante auditorías y pruebas de intrusión, contar con protocolos de actuación ante suplantaciones y mecanismos de control interno efectivos. Por supuesto, estas medidas no garantizan que nunca se produzca un ataque, pero permiten reducir la exposición.

Lo más importante. Si el fraude llega a materializarse, la rapidez de la respuesta es decisiva. Es necesario documentar lo ocurrido, encargar un informe técnico urgente -y un análisis forense cuando la gravedad del caso lo requiera- y preservar las evidencias disponibles mediante un acta electrónica emitida por un tercero de confianza. La empresa debe valorar también si se han visto afectados datos personales y, cuando proceda, notificar la brecha a la Agencia Española de Protección de Datos en el plazo máximo de 72 horas y comunicarla a las personas afectadas sin dilación indebida.

Sin embargo, la respuesta no termina con la denuncia. Para la víctima, recuperar los fondos sustraídos suele ser una prioridad inmediata. En las operaciones de pago no autorizadas, la normativa europea de servicios de pago y el Real Decreto-ley 19/2018 establece, como regla general, la obligación de la entidad financiera de reembolsar el importe de la operación de inmediato y, a más tardar, al final del siguiente día hábil desde que tenga conocimiento de ella, con las excepciones previstas legalmente. Corresponde al banco acreditar que el cliente actuó con negligencia grave para trasladar la responsabilidad del pago fraudulento. El Tribunal Supremo ha confirmado este criterio en su sentencia 571/2025, de 9 de abril.

Y, según el documento de referencia, el Tribunal de Justicia de la Unión Europea, en su sentencia de 15 de octubre de 2026 (asunto C-70/25, Tukowiecka), ha señalado que la entidad no puede invocar la negligencia grave del cliente para negarse a devolver el importe: debe reembolsarlo primero y, en su caso, reclamar después al cliente. Este marco refuerza la importancia de que las empresas conozcan no solo cómo prevenir una estafa, sino también qué pasos dar para proteger sus derechos cuando se produce.

El fraude digital es mucho más que un problema tecnológico: es una prueba de hasta qué punto una empresa está preparada para protegerse y proteger a quienes confían en ella. Ninguna organización puede garantizar que no sufrirá un ataque, pero sí puede decidir cómo se prepara para evitarlo y cómo actúa cuando sucede. En mi opinión, ahí reside la verdadera diferencia: no en disponer de la tecnología más avanzada, sino en asumir que la seguridad es una responsabilidad compartida, que exige anticipación, criterio y capacidad de reacción ante un incidente. Y esa preparación debe formar parte de la cultura de la empresa mucho antes de que ocurra.

Publicado originalmente en Expansión