Ciberdelitos en España: guía completa

Los ciberdelitos en España han crecido exponencialmente en la última década. En 2026 son la principal fuente de denuncias en policía especializada, con incidencias que crecen cada mes. La suplantación de identidad digital, el phishing bancario, la sextorsión, el ciberacoso y el grooming son las modalidades más frecuentes. Esta guía cubre todo el panorama de ciberdelitos en España: qué figuras tipifica el Código Penal, cómo protegerse, cómo denunciar y qué recursos existen para las víctimas.

Está pensada para dos perfiles: víctimas de ciberdelito que necesitan actuar rápidamente para minimizar el daño y denunciar eficazmente; y personas que quieren entender el panorama de riesgos digitales para prevenirlo tanto personal como profesionalmente. Todo con normativa actualizada y herramientas técnicas de protección.

Ciberdelitos: marco legal en España

Un ciberdelito no es una categoría autónoma en el Código Penal español, sino conductas delictivas cometidas usando tecnologías de la información y comunicación (TIC). El ordenamiento español dispone de tipificación específica para las modalidades más importantes.

Marco normativo principal:

• Código Penal (LO 10/1995), reformado múltiples veces para incluir figuras digitales.
• LO 5/2010 y LO 1/2015: introducción de tipos específicos como grooming, ciberacoso, difusión no consentida de imágenes íntimas.
• Ley 34/2002 de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSICE).
• RGPD (Reglamento UE 2016/679) y LO 3/2018 de Protección de Datos: régimen sancionador administrativo complementario.
• Convenio de Budapest sobre Ciberdelincuencia (2001), ratificado por España en 2010.
• Directiva NIS2 (2022) sobre ciberseguridad de infraestructuras críticas.

Categorías principales de ciberdelitos:

Delitos contra el patrimonio digital:

• Estafa informática (art. 248.2 CP).
• Phishing y variantes.
• Uso fraudulento de tarjetas y datos bancarios.

Delitos contra la libertad y libertad sexual:

• Ciberacoso (art. 172 ter CP).
• Grooming (art. 183 ter CP).
• Sextorsión (art. 243 CP).
• Difusión no consentida de imágenes íntimas (art. 197.7 CP).

Delitos contra la intimidad y datos personales:

• Descubrimiento y revelación de secretos digitales (art. 197 CP).
• Suplantación de identidad digital.
• Acceso ilegal a cuentas online.

Delitos contra sistemas informáticos:

• Hackeo y acceso no autorizado (art. 197 bis CP).
• Sabotaje informático (art. 264 CP).
• Distribución de malware.

Órganos especializados:

• Fiscalía: sección específica de Criminalidad Informática desde 2011.
• Policía Nacional: Unidad de Investigación Tecnológica (UIT).
• Guardia Civil: Grupo de Delitos Telemáticos (GDT).
• INCIBE (Instituto Nacional de Ciberseguridad): asesoramiento técnico y línea 017.
• CNI y CCN-CERT: para ataques a infraestructuras críticas.

Suplantación de identidad digital

La suplantación de identidad digital es una de las conductas digitales más frecuentes en 2026. Consiste en usar la identidad de otra persona sin autorización en el entorno digital.

Modalidades:

• Creación de perfiles falsos: abrir cuentas en redes sociales, apps de citas, foros o plataformas usando el nombre y datos de otra persona.
• Acceso no autorizado a cuentas: entrar en cuentas de correo, redes sociales o servicios online de otra persona sin permiso.
• Suplantación en comunicaciones: hacerse pasar por otra persona por email, mensajería o teléfono para engañar a terceros.
• Robo de identidad para operaciones: usar los datos de otra persona para solicitar préstamos, contratar servicios, hacer compras.

Tipificación penal:

Usurpación de estado civil (art. 401 CP): usar la identidad de otra persona con relevancia jurídica (contratos, actos ante autoridades).

• Pena: 6 meses a 3 años de prisión.

Descubrimiento y revelación de secretos (art. 197 CP): apoderarse de datos personales, correos, mensajes, imágenes íntimas de otra persona sin autorización.

• Pena básica: 1 a 4 años de prisión + multa 12-24 meses.
• Agravado si se difunde: 2-5 años.
• Muy agravado si víctima es menor o hay ánimo de lucro: 3-7 años.

Estafa (art. 248 CP): si además del uso de identidad hay fraude patrimonial. Pena adicional según cuantía (ver guía de estafa).

Casos frecuentes:

• Ex-pareja crea perfiles falsos en apps de citas con datos e imágenes de la víctima para provocarle daño reputacional.
• Suplantación bancaria: pedir préstamos o contratar tarjetas con documentación de otra persona.
• Contratos de telefonía o luz a nombre de la víctima sin su conocimiento.
• Suplantación empresarial (CEO fraud): hacerse pasar por directivo para dar instrucciones al departamento financiero.
• Perfiles empresariales falsos: crear webs y perfiles imitando marcas legítimas.

Cómo detectar suplantación:

• Movimientos bancarios sospechosos o cargos no reconocidos.
• Notificaciones de servicios que no has contratado.
• Amigos que dicen haber recibido mensajes tuyos que no enviaste.
• Aparecer en registros de morosos por deudas ajenas.
• Recibir correspondencia dirigida a ti con dirección o teléfono desconocidos.

Cómo actuar:

1. Denuncia policial con toda la documentación disponible.
2. Contacta con las plataformas afectadas para bloquear cuentas suplantadas.
3. Bloquea todo el crédito: alerta a ASNEF, Equifax, RAI para evitar más operaciones.
4. Solicita informe crediticio completo para detectar operaciones fraudulentas.
5. Cambia todas las contraseñas y datos: DNI (si ha sido robado físicamente), teléfono, correos.

Phishing, smishing y vishing

El phishing y sus variantes son las técnicas más habituales para robar credenciales y engañar a víctimas para transferencias fraudulentas.

Phishing (por email):

• Correos electrónicos que suplantan a entidades legítimas (bancos, Hacienda, empresas de paquetería).
• Contienen enlaces a webs falsas donde la víctima introduce credenciales.
• Los datos capturados se usan para vaciar cuentas o cometer más fraudes.

Smishing (por SMS):

• SMS con enlaces engañosos, muy frecuente suplantando a Correos, DHL, bancos, Hacienda.
• Mensajes de urgencia («tu paquete está en aduana, paga la tasa aquí»).

Vishing (por llamada telefónica):

• Llamadas suplantando al banco, Policía, Hacienda o Seguridad Social.
• En 2026, con voces generadas por IA que hacen la suplantación muy convincente.
• Solicitan datos, códigos de verificación o transferencias urgentes.

Modalidades específicas en 2026:

• Spear phishing: dirigido a personas concretas con información personalizada.
• Whaling: dirigido a altos directivos con información específica de su empresa.
• CEO fraud: suplantación del CEO por email pidiendo transferencias urgentes.
• Business Email Compromise (BEC): compromiso de cuentas corporativas para redirigir pagos.
• QRishing: uso de códigos QR falsos en carteles o publicidad.

Tipificación penal:

El phishing se persigue como estafa agravada por manipulación informática (art. 250.1.6 CP):

• Pena: 1 a 6 años de prisión + multa 6-12 meses.
• Si además hay uso de datos bancarios de terceros: concurso con descubrimiento de secretos.
• Si el importe supera 50.000€: pena máxima.

Cómo detectar phishing:

• URL sospechosa: revisar el dominio completo, no solo el texto visible del enlace.
• Errores ortográficos o gramaticales en el mensaje.
• Urgencia excesiva que presiona a actuar sin pensar.
• Solicitud de datos que la entidad legítima nunca pediría por email/SMS.
• Remitente sospechoso aunque el nombre coincida (revisar la dirección completa).
• Diseño similar pero no idéntico al oficial.

Recuperación del dinero por phishing bancario:

Los bancos, según la Directiva PSD2 (Ley 3/2020), tienen la obligación de reintegrar los pagos no autorizados de forma inmediata, salvo que puedan demostrar que el cliente actuó con negligencia grave o dolo.

• Si has sido víctima y el banco te lo niega: reclama al Servicio de Atención al Cliente del banco, y si no responde satisfactoriamente, al Servicio de Reclamaciones del Banco de España (gratuito).
• Actuación rápida (bloqueo en 24-48h) es clave para recuperación.

Sextorsión y difusión no consentida de imágenes íntimas

Sextorsión: chantaje con imágenes o vídeos íntimos, reales o falsos (deepfakes), amenazando con difundirlos si la víctima no cumple determinadas exigencias (habitualmente pago económico).

Modalidades:

• Sextorsión con imágenes reales: el chantajista ha obtenido imágenes íntimas (por hackeo, por relación previa, por engaño) y amenaza con difundirlas.
• Sextorsión con material falso: se dice tener imágenes que en realidad no existen, o se usan deepfakes generados por IA.
• Sextorsión masiva por email: emails automatizados que afirman haber grabado por webcam. Habitualmente son bluff sin material real.

Tipificación penal:

Extorsión (art. 243 CP): obligar a otro a realizar un acto en perjuicio patrimonial con violencia o intimidación.

• Pena: 1 a 5 años de prisión.
• Agravada por víctima especialmente vulnerable o cuantía elevada.

Amenazas condicionales (art. 169 CP): si la sextorsión no llega a exigir dinero sino otra conducta.

• Pena según gravedad de la amenaza.

Difusión de imágenes íntimas sin consentimiento (art. 197.7 CP): difundir imágenes íntimas obtenidas con consentimiento pero sin autorización de difusión.

• Pena: 3 meses a 1 año de prisión o multa 6-12 meses.
• Agravada si la víctima es pareja/expareja: 6 meses a 2 años.
• Muy agravada si hay ánimo de lucro o víctima menor: 1-4 años.

Producción y distribución de pornografía infantil (arts. 189-189 bis CP): con víctima menor las penas se agravan enormemente hasta 5-9 años.

Reglas ante la sextorsión:

• Nunca pagar: en el 90% de casos el chantajista vuelve a exigir más.
• No responder: cualquier respuesta confirma que hay una víctima humana.
• Documentar: capturas de pantalla de todos los mensajes.
• Denunciar inmediatamente: aunque exija dinero relativamente bajo.
• Contactar con INCIBE (017): asesoramiento técnico y psicológico.
• Bloquear al chantajista en todas las plataformas.

Pornovenganza (revenge porn):

• Difusión de imágenes íntimas por parte de ex-pareja como venganza.
• Perseguido por art. 197.7 CP con agravación.
• Retirada rápida en plataformas: la Ley Orgánica 3/2018 permite exigir retirada urgente.

Deepfakes íntimos:

• Imágenes o vídeos falsos generados por IA que muestran a la víctima en situaciones sexuales.
• Regulados desde 2023 en el art. 173 CP como trato degradante y en el art. 197.7 CP por analogía.
• La UE ha aprobado normativa específica (2024) sobre IA que refuerza la protección.

Ciberacoso, grooming y ciberbullying

Ciberacoso (stalking digital, art. 172 ter CP):

Hostigamiento reiterado a través de medios electrónicos que altera la vida cotidiana de la víctima.

Conductas típicas:

• Mensajes constantes por WhatsApp, redes o email.
• Monitorización online de la víctima.
• Publicación de datos personales para exponerla o amenazarla (doxxing).
• Contacto persistente a pesar de bloqueos.
• Uso indebido de datos para adquirir bienes o servicios en su nombre.

Pena: 3 meses a 2 años de prisión o multa 6-24 meses.

Agravada si es contra pareja o expareja: 1-2 años.

Ciberacoso laboral (mobbing digital):

• Hostigamiento a través de canales corporativos (email, Slack, Teams).
• Se persigue como trato degradante (art. 173.1 CP) o violencia habitual.
• Además genera responsabilidad civil de la empresa y sanciones laborales.

Ciberbullying (acoso escolar digital):

Acoso entre menores a través de medios digitales.

• Menores de 14 años: no tienen responsabilidad penal, pero sí sus tutores civilmente.
• Menores de 14 a 18 años: aplicación de la Ley Orgánica 5/2000 con medidas educativas.
• Adultos: responsabilidad penal ordinaria.

Grooming (art. 183 ter CP):

Contacto de un adulto con un menor de 16 años por medios electrónicos con finalidad sexual.

Elementos:

• Contacto electrónico con menor de 16 años.
• Actor mayor de edad.
• Finalidad sexual demostrada por el contenido de las comunicaciones o por acciones (proponer encuentros, solicitar imágenes íntimas).

Penas:

• Contacto con finalidad sexual sin acto físico: 1-3 años de prisión.
• Con solicitud de material sexual del menor: 1-3 años agravados.
• Con encuentro físico o consumación de acto sexual: se aplican las penas más graves de agresión sexual a menores.

Reforzado por:

• Convención de Lanzarote (Consejo de Europa) ratificada por España.
• Regímenes de asistencia jurídica y protección específica.

Casos específicos:

• Grooming a través de videojuegos online: creciente en 2026.
• Grooming en apps de mensajería infantil o juvenil.
• Grooming en redes sociales: TikTok, Instagram con menores.

Protección de menores online:

• Sistemas de control parental: activos y actualizados.
• Educación digital desde edad temprana.
• Denuncia inmediata ante cualquier sospecha.
• INCIBE Menores (900 116 117): línea especializada gratuita.
• ANAR (900 20 20 10): teléfono para menores en riesgo.

Hackeo, acceso ilegal y sabotaje informático

Acceso ilegal a sistemas informáticos (art. 197 bis CP):

Acceder sin autorización a cualquier sistema informático (correo, cuentas de redes sociales, servidor de empresa, etc.).

Elementos:

• Acceso sin autorización al sistema.
• Vulneración de medidas de seguridad (contraseñas, autenticación).

Pena: 6 meses a 2 años de prisión.

Agravado si el acceso se produce para obtener datos personales o secretos empresariales: concurso con art. 197 CP (1-4 años).

Interceptación de comunicaciones (art. 197 CP):

Interceptar, sin autorización, comunicaciones electrónicas ajenas (emails, WhatsApp, llamadas VoIP).

Pena: 1-4 años + multa.

Daños informáticos y sabotaje (art. 264 CP):

Dañar, borrar, alterar o suprimir datos o programas informáticos ajenos.

Modalidades:

• Ataques DDoS que dejan fuera de servicio sistemas.
• Ransomware: cifrado de datos ajenos con exigencia de rescate.
• Malware destructivo.
• Ataques a infraestructuras críticas (art. 264 bis CP): agravado.

Pena:

• Daños ordinarios: 6 meses a 3 años.
• Daños agravados (organización, cuantía elevada, sistemas críticos): 2-5 años.
• Sabotaje de infraestructuras críticas: 3-8 años.

Fabricación y distribución de malware (art. 264 quater CP):

Fabricar, importar, distribuir o poseer herramientas destinadas a cometer delitos informáticos.

Pena: 6 meses a 2 años + multa.

Ransomware corporativo:

Muy frecuente en 2026 contra empresas medianas. Los atacantes cifran los datos y exigen rescate en criptomonedas.

Recomendaciones:

• Nunca pagar: no garantiza recuperación y financia futura actividad criminal.
• Denunciar inmediatamente: la policía especializada tiene herramientas de recuperación en algunos casos.
• Aislar sistemas para limitar propagación.
• Restaurar desde copias de seguridad limpias.

Espionaje empresarial digital: acceso ilegal a datos corporativos, propiedad industrial, secretos comerciales. Regulado por la Ley 1/2019 sobre secretos empresariales + tipos penales específicos.

Cómo protegerse y prevenir ciberataques

Protección personal:

Contraseñas y autenticación:

• Contraseñas robustas: mínimo 12 caracteres, con mezcla de mayúsculas, minúsculas, números y símbolos.
• Contraseñas únicas para cada servicio (no reutilizar).
• Gestor de contraseñas (KeePass, 1Password, Bitwarden) para generar y almacenar.
• Doble factor de autenticación (2FA) en todos los servicios sensibles: banca, correo, redes.
• Aplicaciones autenticadoras (Google Authenticator, Authy) preferibles a SMS por seguridad.

Software:

• Actualizaciones automáticas de sistema operativo, apps y navegador.
• Antivirus actualizado en dispositivos.
• Firewall activado.
• VPN para conexiones en redes wifi públicas.

Navegación segura:

• HTTPS obligatorio: no introducir datos sensibles en webs sin candado en la URL.
• Extensiones antifraude del navegador (uBlock Origin, PhishTank).
• Verificar URLs completas antes de introducir credenciales.
• No hacer clic en enlaces de correos o SMS: acceder directamente escribiendo la web oficial.

Redes sociales:

• Privacidad al máximo: limitar visibilidad de perfil.
• No compartir información personal relevante públicamente (dirección, teléfono, DNI, viajes en curso).
• Bloquear y reportar cuentas sospechosas.
• Autenticación de dos factores activada.

Móviles:

• PIN o biometría para desbloquear.
• Cifrado del dispositivo activado.
• Aplicaciones solo desde tiendas oficiales.
• Revisar permisos de las apps periódicamente.

Empresa:

• Programas de compliance de ciberseguridad.
• Formación regular del personal.
• Copias de seguridad frecuentes y verificadas.
• Seguros específicos de ciberseguridad.
• Simulacros de phishing para detectar vulnerabilidades del personal.

Cómo denunciar ciberdelitos paso a paso

Actuación inmediata (críticas primeras 24 horas):

1. Cambia contraseñas de todas las cuentas potencialmente comprometidas.
2. Activa doble factor si no lo tenías.
3. Documenta todo: capturas de pantalla con fecha visible, cabeceras de emails, URLs, direcciones IP si las tienes.
4. No borres nada: mantén el rastro digital para las investigaciones.
5. Contacta con tu banco si hay operaciones fraudulentas.
6. Reporta a las plataformas (Facebook, Instagram, WhatsApp) para bloqueo del atacante.

Denuncia formal:

Presencial:

• Grupo de Delitos Telemáticos (GDT) de la Guardia Civil.
• Unidad de Investigación Tecnológica (UIT) de Policía Nacional.
• Comisaría o cuartel ordinarios: para casos menos complejos.

Online:

• denuncias.policia.es: para estafas sin autor conocido y ciberdelitos menores.
• Guardia Civil: canales online específicos.

Documentación a aportar:

• Capturas de pantalla de todo el material digital relevante, con fecha y URL visibles.
• Cabeceras completas de emails sospechosos (no solo el texto).
• Direcciones IP si has podido obtenerlas.
• URLs sospechosas (guarda las completas).
• Extractos bancarios si hay perjuicio económico.
• Datos del presunto autor si los conoces: alias, cuentas, teléfonos.
• Testigos si los hay.

INCIBE (Instituto Nacional de Ciberseguridad):

• Teléfono 017: gratuito, 24/7.
• Asesoramiento técnico y psicológico especializado.
• No es órgano denunciante: te orientan pero la denuncia formal se hace en policía o Guardia Civil.

Reclamación a plataformas:

• Cada plataforma tiene sus propios canales de reporte.
• Twitter/X, Facebook, Instagram, WhatsApp: formularios específicos para casos de suplantación, acoso o difusión no consentida.
• Retirada rápida: la LO 3/2018 de Protección de Datos y el RGPD permiten exigir retirada urgente de contenido lesivo.

Reclamación a bancos:

• Escrito formal solicitando la retrocesión de la operación por fraude.
• Directiva PSD2: el banco debe reintegrar salvo negligencia grave probada.
• Si no acepta: reclamar al Banco de España (gratuito).

Perito informático:

En casos complejos, puede ser útil contratar un perito informático que:

• Recupere pruebas.
• Certifique la autenticidad de las capturas.
• Emita informe pericial admisible en juicio.
• Coste: 300-3.000€ según complejidad.

Cómo obtener ayuda profesional

INCIBE (017): línea 24/7 gratuita para asesoramiento técnico y psicológico ante cualquier ciberdelito. Especialmente útil en primeras 24 horas.

INCIBE Menores (900 116 117): específica para casos con menores implicados.

Grupo de Delitos Telemáticos (Guardia Civil) y UIT (Policía Nacional): para denuncia y colaboración en investigación de ciberdelitos.

Abogado especialista en ciberdelitos: primera consulta 60-150€. Elaboración de querella y acusación en ciberdelito grave: 1.500-6.000€.

Perito informático colegiado: para pruebas complejas y peritajes judiciales. 300-3.000€ según caso.

Turno de oficio: aplicable si eres víctima con ingresos bajos. Se solicita en el Colegio de Abogados.

Servicio de Reclamaciones del Banco de España: gratuito, para reclamaciones bancarias por operaciones no autorizadas.

Agencia Española de Protección de Datos (AEPD): para casos de uso indebido de datos personales, difusión no consentida, filtraciones.

Fundación ANAR (900 20 20 10): para menores víctimas de ciberdelitos.

Colegios de Psicólogos: apoyo psicológico especializado en víctimas de ciberdelitos.

Este contenido tiene fines informativos y no sustituye el asesoramiento personalizado. Para cualquier ciberdelito consulta con un abogado especialista o llama al 017 (INCIBE) para asesoramiento técnico gratuito. Última actualización: julio de 2026.