Estafas en España en 2026: cómo reconocerlas y qué hacer si es víctima

Las estafas por internet son hoy el delito digital más frecuente en España. Según el último Balance de Criminalidad del Ministerio del Interior, entre enero y junio de 2026 se registraron 214.621 estafas informáticas, un 1,6% más que en el mismo periodo de 2025. Suponen el 87,3% de toda la cibercriminalidad y el 17,6% de todos los delitos conocidos.

Resumimos qué está ocurriendo, cómo reconocer los engaños más habituales, cómo los trata la ley y qué puede hacer quien ha sido víctima.

Panorama: una de cada cinco infracciones ya es digital

• Peso de la cibercriminalidad: en el primer semestre de 2026 fue el 20,2% de las infracciones penales registradas, según Interior.
• Evolución: las estafas informáticas pasaron de 70.178 en 2016 a 429.677 en 2025, un aumento del 512,3%.
• Víctimas: el Informe sobre la Cibercriminalidad en España 2025 contabiliza 383.285, un 9,3% más que el año anterior. La franja más afectada es la de 51 a 65 años.
• Peticiones de ayuda: la línea 017 de INCIBE atendió 142.767 consultas en 2025, un 44,9% más que en 2024.
• Reclamaciones bancarias: según el Banco de España, el fraude con tarjetas y transferencias fue la primera causa de las reclamaciones admitidas en 2025, con casi el 28% del total.

El crecimiento se ha moderado en 2026, pero el nivel sigue siendo muy alto. Además, estas cifras solo recogen los hechos denunciados.

Las estafas más frecuentes y cómo reconocerlas

• Phishing, smishing y vishing: correos, SMS o llamadas que suplantan al banco, a Correos, a la DGT, a Hacienda o a la Seguridad Social. Meten prisa ("su cuenta será bloqueada", "tiene una multa pendiente") y piden pulsar un enlace o facilitar claves.
• Falso empleado del banco o falso policía: la llamada aparenta venir del número real de la entidad. Convencen a la víctima de que su dinero corre peligro y de que debe moverlo a una "cuenta segura" o dictar un código.
• "Hijo en apuros": un mensaje de WhatsApp de un supuesto familiar que necesita dinero urgente. En octubre de 2026, la Policía Nacional alertó de una variante en la que roban la cuenta del propio hijo. En junio desarticuló una red con 500 víctimas identificadas y un perjuicio cercano a los 3 millones de euros, según Interior.
• Falsas inversiones en criptomonedas: anuncios con famosos suplantados mediante vídeos manipulados con inteligencia artificial. Una operación de Policía Nacional y Guardia Civil detuvo a seis personas por estafar más de 19 millones de euros a 208 víctimas.
• Estafas románticas: una relación online que, tras semanas de confianza, termina en peticiones de dinero o en una "inversión" conjunta.
• Compraventa de segunda mano: un falso comprador en Wallapop, Vinted o Milanuncios envía un enlace para "cobrar" que captura los datos bancarios del vendedor.
• Alquileres y vacaciones inexistentes: piden una señal por un piso que no existe o que no es del anunciante.
• SIM swapping: el estafador obtiene un duplicado de la tarjeta SIM y recibe los códigos de verificación del banco.
• Fraude del directivo y falsas ofertas de empleo: órdenes urgentes de pago que suplantan a un directivo o proveedor, y ofertas de ganar dinero "dando likes" que acaban exigiendo depósitos o usando la cuenta de la víctima para mover dinero ajeno.

Europol advierte en su informe de 2026 de que la inteligencia artificial hace estos engaños más creíbles y más masivos.

Cómo castiga el Código Penal la estafa

• Estafa clásica (art. 248): comete estafa quien, con ánimo de lucro, utiliza engaño bastante para que otro realice un acto de disposición en perjuicio propio o ajeno. La pena es de prisión de seis meses a tres años. Si lo defraudado no excede de 400 euros, la pena es de multa de uno a tres meses. Desde el 10 de abril de 2026, tras la Ley Orgánica 1/2026, quien acumula al menos tres condenas por delitos de la misma naturaleza, una de ellas leve, recibe la pena de prisión aunque la cuantía sea pequeña.
• Estafa informática y medios de pago (art. 249): desde la reforma de 2022, castiga con la misma pena la manipulación informática que consigue una transferencia no consentida y el uso fraudulento de tarjetas u otros medios de pago distintos del efectivo. Según la Circular 1/2024 de la Fiscalía, estas conductas ya no pueden ser delito leve.
• Estafa agravada (art. 250): la pena sube a prisión de uno a seis años y multa en supuestos como una defraudación superior a 50.000 euros o que afecte a un elevado número de personas, con penas aún mayores en los casos más graves.

En la práctica, la respuesta judicial es lenta. Según la Memoria de la Fiscalía General del Estado de 2025, en 2024 se tramitaron 27.104 procedimientos judiciales por ciberdelincuencia, 22.614 de ellos por estafas. Los autores suelen actuar desde el extranjero y a través de cuentas de terceros, lo que dificulta identificarlos.

¿Debe el banco devolver el dinero?

Depende de un punto clave: si la operación fue autorizada por el cliente o no autorizada.

• Operación no autorizada (alguien usa sus claves, su tarjeta o un duplicado de su SIM): según el Real Decreto-ley 19/2018 de servicios de pago, el banco debe devolver el importe de inmediato y, como máximo, al final del día hábil siguiente. El cliente solo responde de hasta 50 euros, salvo fraude o negligencia grave, y es el banco quien debe probarla.
• Jurisprudencia: el Tribunal Supremo, en su sentencia 571/2025, de 9 de abril, confirmó esa carga de la prueba en un caso de suplantación. El Tribunal de Justicia de la Unión Europea, en su sentencia de 15 de octubre de 2026 (asunto C-70/25), declaró que alegar negligencia grave no exime al banco de devolver de inmediato. Si después cree que el cliente fue gravemente negligente, deberá reclamárselo y probarlo.
• Transferencia ordenada por la propia víctima engañada (el "hijo en apuros" o una inversión falsa): la recuperación es más difícil. Se podría plantear la responsabilidad de la entidad si no aplicó los controles exigibles, pero no es automática. El nuevo Reglamento europeo de Servicios de Pago prevé reforzar la protección en algunos casos, pero todavía no es aplicable.

Qué hacer si ha sido víctima

1. Llame al banco de inmediato al teléfono oficial de la tarjeta o de la app, nunca al que le dio el estafador. Pida el bloqueo de tarjetas, banca online y Bizum, y que se intente frenar la transferencia.
2. Cambie sus contraseñas y, si sospecha de un duplicado de SIM, avise a su operadora. El 017 de INCIBE ofrece orientación gratuita.
3. Guarde las pruebas: capturas de mensajes con número y hora, correos, enlaces, justificantes y extractos. No borre las conversaciones.
4. Denuncie ante la Policía Nacional, la Guardia Civil o la policía autonómica, aportando la cuenta o el teléfono de destino del dinero.
5. Reclame por escrito al banco, pidiendo la devolución. Comunique las operaciones no autorizadas sin demora y, en todo caso, antes de trece meses desde el cargo.
6. Si el banco no responde o lo deniega, puede acudir al Servicio de Reclamaciones del Banco de España y valorar la vía civil y la penal. En 2025 las entidades devolvieron 6,8 millones de euros tras estas reclamaciones.

Cómo protegerse

• Desconfíe de la urgencia. Ningún banco ni organismo pide claves o códigos por teléfono, SMS o WhatsApp.
• Verifique por otro canal. Cuelgue y llame usted al número oficial, o llame a su familiar a su número de siempre.
• Lea los avisos del banco. Desde octubre de 2025, en las transferencias en euros se comprueba que el nombre del destinatario coincida con el titular de la cuenta. Si salta una alerta, no continúe.
• Desconfíe de las rentabilidades garantizadas y de los famosos que recomiendan inversiones en redes.
• Active la verificación en dos pasos en WhatsApp, correo y banca.

Cómo podemos ayudarle

La diferencia entre una operación autorizada y otra no autorizada, o la prueba de una supuesta negligencia, puede decidir si se recupera el dinero. En Córdoba Moreno Abogados analizamos cada caso, preparamos la reclamación al banco y acompañamos en la vía penal y civil. Si ha sido víctima de una estafa, puede consultarnos.

Fuentes principales: Ministerio del Interior (Balance de Criminalidad del segundo trimestre de 2026 e Informe sobre la Cibercriminalidad en España 2025); INCIBE (Balance de Ciberseguridad 2025); Banco de España (Memoria de Reclamaciones 2025); Fiscalía General del Estado (Memoria 2025); BOE (Código Penal, LO 14/2022, LO 1/2026, Circular FGE 1/2024); Real Decreto-ley 19/2018; STS 571/2025; TJUE, asunto C-70/25; Europol (IOCTA 2026).