Juristas como Luis Rubí y Vanesa Fernández piden a las entidades financieras que dispongan de canales accesibles para comunicar ciberincidentes

• Hasta el 35% de los intentos de fraude por ciberestafas dejan de notificarse a las entidades bancarias

La digitalización bancaria goza de una alta aceptación entre los clientes en España, pero la reacción ante los intentos de fraude sigue dejando un punto ciego relevante. Según Qaracter, consultora tecnológica española especializada en el sector financiero y asegurador, el 35% de los usuarios no informó a su banco tras sufrir un intento de fraude o phishing, una señal de que todavía persisten barreras en la gestión del incidente y en la relación de confianza con la entidad.

La paradoja es clara: mientras la operativa bancaria online se consolida como canal dominante, la notificación del fraude no acompaña ese mismo nivel de madurez. Según el I Barómetro Qaracter 2025: Tendencias y Digitalización en Banca y Seguros muestra que el 45,3% de los encuestados recibió en los últimos 12 meses algún mensaje que intentaba hacerse pasar por su banco para pedir datos personales o bancarios. Entre quienes recibieron ese intento de engaño, el 51,4% no llegó a comunicárselo a la entidad, y un 5,7% reconoce haber perdido dinero o haber sufrido acceso a su cuenta. .

Según datos del sector, el 96% de las empresas españolas sufrió algún tipo de ciberataque en 2024, mientras que los ataques al sector financiero aumentaron un 53% en 2023 a nivel global. Además, los servicios financieros concentraron el 17% de todos los incidentes globales en 2023, situándose a la cabeza entre los sectores más atacados.

“Los datos muestran que la confianza digital ya existe, pero la resiliencia real se mide en cómo reaccionan las organizaciones y sus clientes cuando el riesgo se materializa. El gran reto para banca y seguros no es solo prevenir mejor, sino hacer más fácil, más rápida y más clara la respuesta al fraude”, señala Enrique Galván, CEO de Qaracter.

Es imprescindible denunciar

	Luis Rubí desde ardiCiber subraya la  trazabilidad de estos incidentes. Cada fraude, sostiene Rubí, “debe poder reconstruirse con exactitud desde el primer momento.  (Imagen de ardiCiber)

El abogado Luis Rubi Blanc desde hace algo más de un año es protagonista de una alianza estratégica entre la agencia oscense recuperadora de capitales ciberestafados, ardiCiber, y su despacho jurídico RB Abogados, con sede en Madrid y del que es titular este prestigioso jurista , para ofrecer conjuntamente atención a las víctimas de ciberestafas y de otros delitos tecnológicos.

Este jurista sitúa el foco del fraude digital en la capacidad real del sistema bancario para gestionar, documentar y sostener jurídicamente un incidente cuando ya se ha producido. Su planteamiento no gira en torno a hipótesis, sino a evidencias operativas detectadas en el análisis de reclamaciones y patrones de fraude en España como ven cada día en los despachos de la firma ardiCiber a la que representa.

La firma articula su enfoque en torno a la trazabilidad. Cada fraude, sostiene Rubí, “debe poder reconstruirse con exactitud desde el primer momento. Para ello, es imprescindible que las víctimas denuncien y notifiquen de forma inmediata tanto a las fuerzas de seguridad como a sus entidades financieras. Esta acción no solo activa los mecanismos de respuesta, sino que protege al propio afectado frente a posibles alegaciones de negligencia grave que podrían impedir la recuperación de los fondos.

En paralelo, Luis Rubi Blanc subraya la necesidad de reforzar los controles internos de la banca sobre los flujos de capital, “propongo una actuación más ágil y exhaustiva en la detección y bloqueo de fondos procedentes de estafas, especialmente a través de las denominadas cuentas “mula”. Esto implica monitorizar patrones de movimiento incompatibles con el perfil del cliente, en línea con las obligaciones de conocimiento del cliente (KYC), y actuar con rapidez para frenar la dispersión del dinero a lo largo de la cadena bancaria”.

Otro de los pilares de su análisis es la gestión de la comunicación con el cliente. ardiCiber defiende que las entidades deben disponer de canales de notificación accesibles, eficaces y verificables, capaces de garantizar que cualquier incidencia quede registrada desde el primer momento. La comunicación deja de ser un elemento accesorio para convertirse en parte esencial del sistema de control, ya que de ella depende la capacidad de seguimiento y acreditación posterior.

Este enfoque se refuerza en el contexto regulatorio actual. Con la entrada en vigor de marcos como DORA y NIS2, las entidades están obligadas no solo a contar con medidas de seguridad, sino a demostrar cómo gestionan los incidentes. Rubi insiste en la necesidad de protocolos documentados, tiempos de respuesta auditables y procesos que permitan acreditar cada decisión adoptada durante la crisis.

Alude el abogado de ardiCiber que también traslada el análisis al ámbito de la gobernanza, “La gestión del fraude refleja el grado de madurez de la organización en materia de cumplimiento, diseño de procesos y coordinación interna. Vinculamos directamente estos incidentes con la responsabilidad de los órganos de administración, al entender que forman parte del sistema de control global de la entidad.

En conjunto, ardiCiber plantea un modelo de control basado en la acción, la evidencia y la capacidad de respuesta. Su aportación no se limita a describir el fraude, sino que define cómo debe gestionarse: con rapidez, con control sobre los flujos financieros y con una documentación rigurosa que permita sostener cada caso tanto en el plano operativo como en el jurídico.

Hay que denunciar

	Vanesa Fernández cree que si  “ el usuario no avisa, no documenta o no denuncia, no es por falta de voluntad: es porque nadie le ha explicado claramente cómo hacerlo”    (Imagen icam)

Por su parte, Vanesa Fernández, abogada experta en derecho de consumo es autora de una Guia, junto con otros autores como Iciar Bertolá, el decano del ICAM y presidente de la Asociación Española de Derecho de Consumo, Eugenio Ribón o el laj Adrián Gomez, explico en este pasado VII Congreso de Derecho de Consumo celebrado en el ICAM en noviembre del 2025 cuales son los conceptos claves para entender el phishing y el fraude bancario. Sobre este I Barómetro Qaracter 2025 cree que ofrece una radiografía que va más allá de la ciberseguridad: tiene profundas implicaciones jurídicas.

Su hallazgo más significativo no es la magnitud del fraude, sino el silencio que lo rodea. El 45,3% de los encuestados recibió en el último año mensajes que suplantaban a su banco para obtener datos personales o bancarios; de ese grupo, el 51,4% no lo comunicó a la entidad, y un 5,7% afirma haber sufrido pérdidas económicas o acceso no autorizado a su cuenta.

Desde su punto de vista, estos números obligan a reencuadrar el problema: no estamos ante una cuestión exclusivamente técnica, sino que nos encontramos ante una disfunción en la cadena de prevención, reacción y mitigación del daño, con consecuencias directas en términos de responsabilidad, prueba y cumplimiento normativo”

Esta jurista aclara que la infranotificación no es un comportamiento neutro, pues el artículo 45 del Real Decreto-ley 19/2018 de servicios de pago obliga al usuario a notificar sin demora indebida cualquier operación no autorizada a su proveedor. El incumplimiento puede limitar o excluir su derecho al reembolso por parte de la entidad bancaria.

Frena a ello recuerda que la Directiva NIS2 y el Reglamento DORA han reforzado sustancialmente las obligaciones de notificación de incidentes de las entidades financieras. Sin embargo, ambos marcos parten de una premisa que el barómetro pone en entredicho, que el incidente llega efectivamente a conocimiento de la entidad. Si el usuario no reporta, ese presupuesto queda vacío de contenido.

A su juicio, “la cuestión ya no es, por tanto, si los bancos invierten en ciberseguridad, sino si están consiguiendo que el cliente comprenda cuándo está ante un incidente, cómo debe escalarlo y qué respuesta puede esperar”.

Vanesa Escudero considera que “la protección del usuario financiero en entornos digitales no se satisface solo con medidas técnicas invisibles, sino que exige trazabilidad en la comunicación, canales de reporte claros, tiempos de respuesta proporcionados y una política de información que no traslade de facto al consumidor esa carga”.

Obligación jurídica de cómo actuar

Desde su punto de vista, el informe señala que las entidades deben hacer más evidente al cliente cómo actuar ante una amenaza y esa obligación no es únicamente ética o reputacional, sino que tiene naturaleza jurídica.

“Las entidades que no provean de canales ágiles y accesibles para notificar el fraude pueden encontrarse con argumentos sólidos de responsabilidad por omisión. La información precontractual y contractual sobre qué hacer ante un intento de phishing debería tener la misma visibilidad que las propias condiciones de contratación de la banca a distancia”,

“En consecuencia, el verdadero indicador de madurez del sector no será el volumen de inversión tecnológica, sino la capacidad de los bancos de guiar a sus clientes cuando se produce un incidente”.

En su opinión, si el usuario no avisa, no documenta o no denuncia, no es por falta de voluntad: es porque nadie le ha explicado claramente cómo hacerlo. Las leyes y los sistemas de seguridad más avanzados pierden su eficacia si la entidad no ha sabido construir esa comunicación con su cliente”.

Para esta jurista, “el reto, en mi opinión, consiste en integrar en un único modelo de gestión cuatro dimensiones que hoy aún operan de forma fragmentada: prevención tecnológica, cumplimiento normativo, respuesta operativa eficaz y confianza activa del cliente”.

Esta experta cree que “de cómo se resuelva esa integración dependerá, en buena medida, la responsabilidad futura de las entidades ante incidentes que, como muestran los datos, siguen sufriéndose en silencio”.